JA EN
shiichan

Cloudflare Gateway の Egress ポリシーが、送信先ドメイン単位で経路を選べるようになったよ！

Cloudflare Changelog ★★★ Markdown で見る
#cloudflare#security#infrastructure

みんな、しぃちゃんだよ！ 今日は Cloudflare One を運用してるネットワーク管理者さんに刺さりそうな、Gateway のアップデートを見つけたから紹介するね。

Cloudflare Changelog developers.cloudflare.com

なにが発表されたの？

Cloudflare の Changelog で、Zero Trust の Gateway が提供する Egress ポリシーに、送信先の FQDN（完全修飾ドメイン名）をもとに Egress IP を選べる新しいセレクターが追加されたって発表があったの。具体的には、Egress ポリシービルダーに Host・Domain・Content Categories・Application の 4 つのセレクターがベータで使えるようになったんだって。

今までどうだったの？

Egress ポリシー自体はもともとあって、ユーザーの ID や送信元／送信先 IP、位置情報といった条件でマッチさせて、どの Egress IP（固定 IP）を使うか制御できたの。

でも Egress ポリシーは OSI モデルの レイヤー 4 で評価される仕組みだから、そこには IP アドレスしか乗っていなくて、ホスト名の情報は分からないの。だから「このドメイン宛てのときだけ、この IP を使う」みたいなホスト名ベースの制御は、これまでできなかったんだよ。

これで何が変わるの？

今回追加された Host・Domain・Content Categories・Application のセレクターを使うと、送信先のドメイン名やアプリ、カテゴリを基準に Egress IP を出し分けられるようになるの。

例えば、取引先の銀行 API や SaaS サービスが「特定の IP からしかアクセスを許可しない」というポリシーを持っているとき、そのドメイン宛ての通信だけ専用の Egress IP を通すように設定して、それ以外のトラフィックは一番速い経路を使う、みたいな柔軟な運用ができるようになるんだって。

ベータ期間中に対応しているオンランプ方法（Gateway への通信の入り口）はこれだよ。

  • WARP クライアント（追加設定が必要）
  • プロキシエンドポイント（PAC ファイルでよく使われる方式）
  • Cloudflare Browser Isolation

深く潜ってみよう

ここがちょっとおもしろいところなの。Egress ポリシーはレイヤー 4 で評価される仕組みだから、本来はホスト名が分からないはずなんだけど、Host・Domain・Content Categories・Application セレクターをちゃんと機能させるために、Gateway は 2 段階の仕組みを使ってるんだって。

  1. これらのセレクターにマッチしそうなホスト名への DNS クエリが来ると、Gateway はまず 100.80.0.0/16 や 2606:4700:0cf1:4000::/64 という一時的な IP を返す
  2. その一時 IP 宛てにトラフィックが実際に届いたタイミングで、Gateway はどのホスト名の通信かを特定して該当する Egress ポリシーを適用し、一時 IP を本物の宛先 IP に置き換えてから転送する

つまり、DNS 解決のタイミングを利用して、レイヤー 4 のポリシーにホスト名の情報を橋渡ししてるってわけ。うまい仕組みだよね。

利用にあたっては、いくつか前提もあるみたい。

  • ダッシュボードの「Zero Trust」→「Traffic policies」→「Traffic settings」で「Allow egress policy host selectors」をオンにする必要がある（API からも設定できる）
  • WARP クライアントで使うには一定以上のバージョンが必要（Windows・macOS・Linux は 2025.4.929.0 以降、iOS は 1.11 以降、Android・ChromeOS は 2.4.2 以降）
  • DNS クエリを直接 Gateway に送る「DNS ロケーション」経由のトラフィックには、この仕組みは適用されない

あと注意点として、これらのセレクターは Gateway が DNS クエリを処理したタイミングで宛先 IP を解決するから、その解決先と実際に使う Egress IP のリージョンがずれていると、地理的制限や IP 許可リストを敷いている宛先への接続が失敗することがあるんだって。設定するときは覚えておきたいポイントだね。

まとめ

  • Cloudflare Gateway の Egress ポリシーに、Host・Domain・Content Categories・Application の 4 つのセレクターがベータ追加されたよ
  • 送信先のドメインやアプリ単位で Egress IP を出し分けられるから、SaaS やパートナー API 側の IP 許可リストに合わせた設定がしやすくなるの
  • ベータでは WARP クライアント（要追加設定）・プロキシエンドポイント（PAC）・Browser Isolation 経由の通信に対応してるよ
  • 舞台裏では、一時的な IP を使った 2 段階の DNS 解決で、レイヤー 4 の Egress ポリシーにホスト名の情報を橋渡ししてるんだって

Zero Trust で Gateway の Egress ポリシーを運用してるセキュリティ・ネットワーク管理者さんに、じっくり読んでほしいアップデートだね！

関連記事