Cloudflare Tunnel

Cloudflare Tunnel は、Cloudflare が提供するセキュアな接続サービスです。サーバーや社内ネットワークに cloudflared という軽量なデーモンをインストールすると、Cloudflare のグローバルネットワークに対して、自ら永続的なアウトバウンド接続を確立します。オリジンへのトラフィックはすべて Cloudflare を経由するため、CDN キャッシュ、WAF、ボット管理、DDoS 防御が自動的に適用されます。公式ドキュメントでは「インバウンドポートもパブリック IP も不要」とされており、すべてのプランで利用できます。

仕組み

1. サーバーまたはネットワークに cloudflared をインストールします。
2. cloudflared が Cloudflare へアウトバウンドのポスト量子暗号化接続を確立します。インバウンドポートは不要で、ファイアウォールの設定変更も必要ありません。
3. パブリックホスト名をローカルサービスにマッピングします。例えば、app.example.com を http://localhost:8080 に対応付けます。
4. トラフィックは Cloudflare ネットワークを経由してオリジンに転送され、その際に CDN とセキュリティ保護が適用されます。

各トンネルは、2 つの Cloudflare データセンターとの間に 4 本の長期接続を維持し、標準で冗長性を確保します。さらに、複数の cloudflared レプリカを実行すれば、可用性をいっそう高められます。

主な機能

• オリジンへの安全な接続：オリジンのパブリック IP を公開する必要がなくなり、トラフィックはすべて Cloudflare の CDN、WAF、DDoS 防御を経由します。
• パブリックなイングレスルーティング：内部アプリケーションをホスト名単位でインターネットに公開できます。HTTP、HTTPS、TCP、SSH、RDP などのプロトコルに対応しています。
• Workers VPC：Cloudflare Workers からトンネル経由で、プライベートなデータベース、API、サービスに安全にアクセスできます。
• ロードバランシング：トンネルを Cloudflare Load Balancer のオリジンプールのエンドポイントとして利用し、高可用性とトラフィック分散を実現します。
• 連携：Cloudflare One や Access などの製品と組み合わせて利用できます。
• 設定方法：ダッシュボードまたは API でトンネルを作成し、レプリカ、ファイアウォールルール、トークン、実行パラメーターを設定できます。

対象ユーザーと利用シーン

• 自宅サーバーや NAS でサービスをセルフホストしていて、パブリック IP がない、またはポートフォワーディングを避けたい個人ユーザー。
• オリジンの IP を隠し、攻撃対象領域を減らしたいウェブサイトやアプリケーションの運用担当者。
• 内部アプリケーション、SSH、RDP サービスを安全に公開する必要がある開発・運用チーム。
• すでに Cloudflare の DNS、CDN、セキュリティ製品を利用しており、トラフィックの入口を一元管理したいユーザー。

主なメリット

• アウトバウンド接続のみを使用するため、インバウンドポートを開放する必要がなく、外部に露出する範囲を大幅に減らせます。
• 接続にはポスト量子暗号化が採用されています。
• Cloudflare の CDN、WAF、DDoS 防御などの機能と緊密に統合されています。
• 複数接続による冗長化を標準で備え、複数レプリカでのデプロイにも対応しています。
• 公式によると、ダッシュボードまたは API から 5 分以内に最初のトンネルを作成できます。

デプロイと技術要件

• Cloudflare アカウントが必要で、対象のホスト名を Cloudflare で管理している必要があります。
• オリジンが稼働するサーバーまたはネットワーク上で cloudflared デーモンを実行します。このプロセスは Cloudflare ネットワークにアクセスできる必要があります。
• ダッシュボードまたは API でトンネルを作成し、パブリックホスト名をローカルサービスにマッピングします。具体的な手順は、公式の「Get started」ドキュメントを参照してください。

注意事項

• これはマネージドサービスであり、トラフィックは Cloudflare のネットワークを経由するため、Cloudflare のサービスやポリシーに依存します。
• 本ドキュメントでは、主に公開アプリケーション向けの用途を説明しています。VPN の代替、プライベートネットワークへのアクセス、ネットワークトラフィックのフィルタリングについては、Cloudflare One の Tunnel ドキュメントを参照してください。
• 対応プロトコルの範囲や各プランの制限については、公式ドキュメントをご確認ください。