クライアントエージェントを展開せずにプライベートアプリへアクセスする

Cloudflare を使ってプライベートリソース（インターネットに直接公開されていないアプリケーション、サーバー、ネットワークなど）へアクセスする場合、通常はデバイスに（エージェント）を展開し、サーバー側エージェント（cloudflared、Cloudflare Mesh）でプライベートネットワークまたはアプリケーションを Cloudflare に接続します。この文書では、ユーザーのデバイスにソフトウェアを展開する必要をなくす代替アプローチを説明します。契約社員やパートナーなど、第三者アクセスを許可しやすくなります。

内部リソースへのアクセスを提供するには、通常 Cloudflare Zero Trust Network Access ZTNA ↗ を使います。ZTNA は、ユーザーデバイスがプライベートリソースにアクセスする方法として 2 つの方法をサポートします。

• 公開 DNS の CNAME。Cloudflare トンネルを表すホスト名に解決し、内部アプリケーションへのリクエストをプロキシします。

• Cloudflare トンネルが公開する IP アドレス。同様に、その IP アドレスへトラフィックを直接プロキシします。

一部の組織は、内部サービスを参照する公開 DNS レコードを好みません。ZTNA サービスが強いアクセスセキュリティを提供しても、公開 DNS にサービス名が存在するだけで望ましくないことがあります。IP アドレスをユーザーに直接公開するのも良い考えではありません。覚えにくく、IP アドレスは変わることがあります。公開 DNS レコード経由でプロキシを通して Web アプリケーションにアクセスする場合と異なり、プライベート IP アドレス経由で公開したアプリケーションでは、トラフィックをキャプチャして Cloudflare へルーティングし、そこからアプリケーションへルーティングするために、ユーザーがデバイスにエージェントをインストールする必要があります。このエージェントのインストールは、パートナーや契約社員などの第三者では難しいことがあります。

では、公開 DNS レコードを作成せず、ユーザーがデバイスにソフトウェアをインストールせずに、プライベートリソースへのアクセスを許可するにはどうすればよいでしょうか。Cloudflare は Resolver Policies でこの課題を解決し、内部 DNS サービスを使えるようにしました。エージェントレスの Remote Browser Isolation と組み合わせると、モダンな Web ブラウザーだけでプライベート Web アプリケーションへの Zero Trust アクセスを作成できます。アプリへのアクセスを制御するポリシーは、Secure Web Gateway (SWG) サービスの ネットワークファイアウォール ポリシーとして書きます。この方法は HTTP ベースのアプリケーションをサポートします。ただし Cloudflare は、SSH と VNC サービス向けのブラウザーレンダリングサービスも提供します。

クライアントエージェントを展開せずにプライベートな Web ベースのリソースへ安全にアクセスする設定方法は、この チュートリアル に従ってください。

1. ユーザーは、Cloudflare Browser Isolation ↗ サービスへの認証からアクセスを開始します。これは Cloudflare のエッジネットワーク上で動くブラウザーなので、すべてのリクエストはデフォルトで Cloudflare が処理します。内容は、HTTPS と WebRTC チャネルを使う安全な暗号化ベクトルストリーム経由で、ユーザーのブラウザーへレンダリングされます。
2. ユーザーがリモートブラウザーに認証すると、内部 DNS サービスのレコードである内部ホスト名へリクエストを送ります。例: https://app.company.internal ↗
3. Cloudflare は resolver policies を使って内部ホスト名を検索し、内部 DNS サーバーからプライベート IP アドレスを取得します。この DNS 解決は Cloudflare ネットワーク内で行われ、ユーザーデバイス上の DNS クライアント変更は不要です。
4. Cloudflare はネットワークファイアウォールポリシーを評価し、ユーザーが宛先アドレスに到達する権限があるかを確認します。
5. リクエストがポリシーを通過すると、安全な QUIC ↗ トンネル経由で Cloudflared コネクタへ送られ、アプリケーションサーバーへリバースプロキシされます。すべてのデータは Cloudflare 経由で、暗号化ベクトルストリームによりユーザーのブラウザーへ安全に送信されます。

• チュートリアル: Cloudflare One Client なしでプライベートホスト名経由の Web アプリケーションにアクセスする