Cloudflare Gateway の Protocol Detection が、無料プランでも使えるようになったよ！

こんにちは、しぃちゃんだよ！ 今日は Cloudflare One を使ってるみんなに嬉しいニュースを見つけたよ。今まで上位プラン限定だった機能が、無料プランでも使えるようになったんだって！

Cloudflare Changelog developers.cloudflare.com

なにが発表されたの？

Cloudflare の Changelog で、Cloudflare One Gateway の Protocol Detection（プロトコル検出）機能が、Pay-as-you-go プランと Free プランを含む全プランで使えるようになったって発表があったの。Protocol Detection を使うと、Gateway を経由するトラフィックの中身を HTTP・TLS・SSH といった実際のネットワークプロトコルの種類で見分けて、ログに残したりポリシーで制御したりできるようになるんだよ。

今までどうだったの？

これまで Protocol Detection は、上位プランのユーザーだけが使える機能だったの。Free プランや Pay-as-you-go プランを使ってる人は、ポート番号だけを頼りにポリシーを組むしかなくて、「そのポート、本当に HTTP なの？」ってところまでは見えなかったんだよね。

これで何が変わるの？

これからはプラン tier に関係なく、アカウントのネットワーク設定から Protocol Detection を有効化できるようになるの。小規模なチームや個人でも、通信の中身（プロトコル）を基準にしたポリシーを組めるようになって、セキュリティの見える化がぐっとしやすくなるよ。

深く潜ってみよう

公式ドキュメントを見てみると、Gateway が検出できるプロトコルは結構種類があるみたい。

• HTTP / HTTP2
• TLS（1.1〜1.3）
• SSH
• DCERPC
• MQTT
• TPKT
• IMAP / POP3 / SMTP
• MYSQL
• RSYNC-DAEMON
• LDAP
• NTP

ポリシーは「Detected Protocol」というセレクタを条件にできて、たとえば「Detected Protocol」が「SSH」に一致する通信を、ポート番号に関係なくまるごとブロックするルールも作れるんだって。ポート番号を偽装した通信もちゃんと見分けられるのが嬉しいポイントだね。

有効化するには、Zero Trust ダッシュボードの「Traffic policies」→「Traffic settings」→「Proxy and inspection settings」から「Allow protocol detection」を ON にするだけ。あわせて「Inspect on all ports」を有効にすると、標準ポート（80/443）以外での HTTP/HTTPS 通信も検査対象にできるんだって。

ただし制限もあって、Protocol Detection が効くのは Cloudflare One Client を「Traffic and DNS」モードで使ってる端末だけなの。それと、TLS を全ポートでインターセプトしている場合は、TLS の中に隠れた HTTP 以外のプロトコルまでは Gateway がフィルタできないみたい。くわしくは Protocol detection のドキュメント を見てみてね。

まとめ

• Cloudflare One Gateway の Protocol Detection が、Free プランと Pay-as-you-go プランを含む 全プラン で使えるようになったよ
• HTTP・TLS・SSH など実際のプロトコルの種類を基準に、ログ収集やポリシー制御ができるようになるの
• 有効化はアカウントのネットワーク設定からワンクリックでできて、Cloudflare One Client の Traffic and DNS モードが前提だよ

無料や PAYG プランで Cloudflare One を運用してる管理者さんに、ぜひ試してほしいアップデートだね！