JA EN
shiichan

Traffic Source セレクタ誕生！Cloudflare Gateway で通信の入り口を見分けられるように

Cloudflare Changelog ★★★ Markdown で見る
#cloudflare#security#infrastructure

やっほー、しぃちゃんだよ！今日はネットワークの「入り口」に注目した、Cloudflare Gateway のアップデートを見つけたよ。地味に見えるけど、運用してみるとかなり効くタイプの機能だと思うから紹介するね！

Cloudflare Changelog developers.cloudflare.com

なにが発表されたの？

Cloudflare Changelog(Cloudflare の更新履歴)によると、Cloudflare Gateway の HTTP ポリシーと Network ポリシーに、新しく「Traffic Source」セレクタが追加されたよ。これは、トラフィックがどんな経路(オンランプ)で Cloudflare に到達したかを識別するためのセレクタなの。たとえば、Cloudflare One Client(WARP)経由の通信と、MCP ポータルやプロキシエンドポイント経由の通信を区別して、別々のルールを適用できるようになるんだって。

今までどうだったの？

これまでの Gateway ポリシーでも、宛先 URL やアプリケーションカテゴリなどの条件でルールを組むことはできたけど、「そのトラフィックがそもそもどの経路でネットワークに入ってきたか」という切り口では制御できなかったの。企業のネットワークには、WARP クライアント・Mesh コネクタ・Magic WAN・クライアントレス RDP・プロキシエンドポイントなど、いろんな入り口があるのに、それらをまとめて同じルールで扱うしかなかったんだね。

これで何が変わるの？

Traffic Source セレクタを使うと、オンランプの種類ごとに違うポリシーを適用できるようになるの。原文で紹介されている対応値は次の通りだよ。

  • Device client(device_client) — Cloudflare One Client(WARP)からのトラフィック
  • Mesh(mesh) — Cloudflare Mesh コネクタからのトラフィック
  • Cloudflare WAN(cloudflare_wan) — Magic WAN 経由のトラフィック
  • Clientless RDP(clientless_rdp) — クライアントレス RDP セッションのトラフィック
  • Proxy endpoint(proxy_endpoint) — PAC ファイルによるプロキシエンドポイント経由のトラフィック
  • Clientless Browser Isolation(agentless_biso) — クライアントレス Browser Isolation のトラフィック
  • MCP portal(mcp_portal) — MCP ポータル経由のトラフィック

たとえば「MCP ポータル経由のトラフィックだけ特別なルールを適用する」とか、「WARP 経由の社員端末とプロキシ経由の来訪者端末で別のポリシーを組む」みたいな、経路単位できめ細かい制御ができるようになるの。ネットワーク管理者にとっては、通信の出どころに応じたゼロトラストなポリシー設計がやりやすくなるのが嬉しいポイントだね。

深く潜ってみよう

Traffic Source セレクタは、内部的には net.onramp.type という API フィールドを使っていて、HTTP・Network どちらのポリシーでも

net.onramp.type == "device_client"

のような形で条件式に組み込めるみたい。UI 上の表示名と API 値がセットで公開されているから、Terraform などでポリシーをコード管理している人にも扱いやすそうだよ。

あわせて、Network・HTTP ポリシー向けに「Browser Isolation」セレクタも追加されていて、こちらは

net.is_isolated == true

という条件で、そのセッションが Remote Browser Isolation 内で実行されているかどうかを判定できるの。隔離されたセッションだけ別のルールを適用する、みたいな使い方ができそうだね。

なお、この発表には GA(一般提供)かベータ版かの明記はなくて、詳しい設定手順も「HTTP policies」「Network policies」のドキュメントを参照する形になっているよ。

まとめ

  • Cloudflare Gateway の HTTP/Network ポリシーに Traffic Source セレクタが追加され、net.onramp.type で WARP・Mesh・Magic WAN・プロキシ・MCP ポータルなど 7 種類の経路を区別できるように
  • 経路ごとに異なるポリシーを組めるようになり、ゼロトラストなアクセス制御がより細かくできるように
  • あわせて Browser Isolation セレクタ(net.is_isolated)も追加され、隔離セッションかどうかも判定可能に

Cloudflare One でネットワークポリシーを運用していて、「通信経路ごとにルールを変えたい」と思っていたネットワーク管理者・セキュリティ担当者に刺さる発表だよ！

関連記事