オリジンパラメーター

オリジンパラメーターは、公開アプリケーション のオリジンサーバーへ cloudflared がリクエストを送る方法を決めます。

このセクションでは、リモート管理トンネル のオリジンパラメーターを更新する方法を説明します。ローカル管理トンネル を使っている場合は、これらのパラメーターを 設定ファイル に追加します。

オリジンサーバー証明書から cloudflared が期待するホスト名です。空の場合、cloudflared はサービス URL のホスト名を使います。たとえばサービスが https://localhost:443 なら localhost です。

true の場合、cloudflared は TLS ハンドシェイク中の Server Name Indication (SNI) を、オリジンへ送るリクエストの Host 値に設定します。HTTP Host Header を設定している場合、cloudflared はその値を SNI に使います。この設定は、リクエストごとに Origin Server Name を上書きします。

複数のサービスをホストし、リクエストのルーティングや正しい証明書の提示に SNI を使うエントリポイントへトラフィックを送るときに便利です。ワイルドカードルーティングを使う場合、サービスごとに originServerName を明示する必要がなくなります。

オリジンサーバー証明書の認証局 (CA) へのローカルファイルパスです（例: /root/certs/ca.pem）。パスは、1 つ以上の信頼済みルート CA 証明書を含む .pem または .crt 形式の証明書ストア、またはバンドルファイルを指します。cloudflared はこれらの証明書をデフォルトの信頼プールに追加します。プライベート CA が証明書に署名しており、その CA がデフォルトの信頼プールにない場合に設定します。

false の場合、オリジンが提示する証明書に対して TLS 検証を行います。

true の場合、TLS 検証は無効になります。オリジンからの任意の証明書を受け入れます。

Tunnel を HTTPS サーバーに接続する場合に、オリジンサーバーとの TLS ハンドシェイクを完了するまでのタイムアウトです。

false の場合、cloudflared は HTTP/1.1 でオリジンに接続します。

true の場合、cloudflared は HTTP/1.1 ではなく HTTP/2 でオリジンサーバーへ接続を試みます。オリジンへの HTTP/2 には HTTPS が必要です。プライベート CA が署名した証明書では、CA Pool を設定し、TLS 検証は有効のままにします。

ローカルサービスへ送るリクエストの HTTP Host ヘッダーを設定します。

false の場合、cloudflared は HTTP/1.1 でデータを転送するときにチャンク転送エンコーディングを行います。

true の場合、チャンク転送エンコーディングは無効になります。Web Server Gateway Interface (WSGI) サーバーを動かしている場合に便利です。

オリジンサーバーへの新しい TCP 接続を確立するまでのタイムアウトです。TLS の確立にかかった時間は含みません。TLS は tlsTimeout で制御します。

false の場合、ローカルネットワークで一方のプロトコルが誤設定されていても、cloudflared は IPv4/IPv6 フォールバックに Happy Eyeballs アルゴリズムを使います。

true の場合、Happy Eyeballs は無効になります。

cloudflared は、SSH や RDP などをプロキシするときに、HTTP トラフィックを TCP へ変換するプロキシサーバーを起動します。 起動するプロキシの種類を設定します。有効なオプションは次のとおりです。

• "" — 通常のプロキシ
• "socks" — SOCKS5 プロキシ。詳細は kubectl で Cloudflare Access 経由で接続するチュートリアル を参照してください。

cloudflared は、SSH や RDP などをプロキシするときに、HTTP トラフィックを TCP へ変換するプロキシサーバーを起動します。 そのプロキシの待ち受けアドレスを設定します。

cloudflared は、SSH や RDP などをプロキシするときに、HTTP トラフィックを TCP へ変換するプロキシサーバーを起動します。 そのプロキシの待ち受けポートを設定します。ゼロにすると、未使用のポートがランダムに選ばれます。

アイドル状態の keepalive 接続を破棄できるまでのタイムアウトです。

デフォルト: 100

cloudflared とオリジンのあいだの、アイドル状態の keepalive 接続の最大数です。同時接続の総数は制限しません。

デフォルト: 30s

cloudflared がオリジンサーバーへ TCP keepalive パケットを送るまでのタイムアウトです。

オリジンへトラフィックをプロキシする前に、cloudflared が Cloudflare Access JWT を検証する必要があります。Access アプリケーションで保護している公開ホスト名サービスに、このチェックを適用できます。これらのホスト名へのすべての L7 リクエストで、Access は JWT を Cf-Access-Jwt-Assertion リクエストヘッダーとして cloudflared へ送ります。

設定ファイル でこのセキュリティ制御を有効にするには、Access アプリケーションの AUD タグを取得 し、originRequest に次のルールを追加します。

access:
  required: true
  teamName: <your-team-name>
  audTag:
    - <Access-application-audience-tag>
    - <Optional-additional-tags>