# Traffic Source セレクタ誕生！Cloudflare Gateway で通信の入り口を見分けられるように

やっほー、しぃちゃんだよ！今日はネットワークの「入り口」に注目した、Cloudflare Gatewayのアップデートを見つけたよ。地味に見えるけど、運用してみるとかなり効くタイプの機能だと思うから紹介するね！

## なにが発表されたの？

Cloudflare Changelog(Cloudflareの更新履歴)によると、Cloudflare GatewayのHTTPポリシーとNetworkポリシーに、新しく「Traffic Source」セレクタが追加されたよ。これは、トラフィックがどんな経路(オンランプ)でCloudflareに到達したかを識別するためのセレクタなの。たとえば、Cloudflare One Client(WARP)経由の通信と、MCPポータルやプロキシエンドポイント経由の通信を区別して、別々のルールを適用できるようになるんだって。

## 今までどうだったの？

これまでのGatewayポリシーでも、宛先URLやアプリケーションカテゴリなどの条件でルールを組むことはできたけど、「そのトラフィックがそもそもどの経路でネットワークに入ってきたか」という切り口では制御できなかったの。企業のネットワークには、WARPクライアント・Meshコネクタ・Magic WAN・クライアントレスRDP・プロキシエンドポイントなど、いろんな入り口があるのに、それらをまとめて同じルールで扱うしかなかったんだね。

## これで何が変わるの？

Traffic Sourceセレクタを使うと、オンランプの種類ごとに違うポリシーを適用できるようになるの。原文で紹介されている対応値は次の通りだよ。

- Device client(`device_client`) — Cloudflare One Client(WARP)からのトラフィック
- Mesh(`mesh`) — Cloudflare Meshコネクタからのトラフィック
- Cloudflare WAN(`cloudflare_wan`) — Magic WAN経由のトラフィック
- Clientless RDP(`clientless_rdp`) — クライアントレスRDPセッションのトラフィック
- Proxy endpoint(`proxy_endpoint`) — PACファイルによるプロキシエンドポイント経由のトラフィック
- Clientless Browser Isolation(`agentless_biso`) — クライアントレスBrowser Isolationのトラフィック
- MCP portal(`mcp_portal`) — MCPポータル経由のトラフィック

たとえば「MCPポータル経由のトラフィックだけ特別なルールを適用する」とか、「WARP経由の社員端末とプロキシ経由の来訪者端末で別のポリシーを組む」みたいな、経路単位できめ細かい制御ができるようになるの。ネットワーク管理者にとっては、通信の出どころに応じたゼロトラストなポリシー設計がやりやすくなるのが嬉しいポイントだね。

## 深く潜ってみよう

Traffic Sourceセレクタは、内部的には `net.onramp.type` というAPIフィールドを使っていて、HTTP・Networkどちらのポリシーでも

```
net.onramp.type == "device_client"
```

のような形で条件式に組み込めるみたい。UI上の表示名とAPI値がセットで公開されているから、Terraformなどでポリシーをコード管理している人にも扱いやすそうだよ。

あわせて、Network・HTTPポリシー向けに「Browser Isolation」セレクタも追加されていて、こちらは

```
net.is_isolated == true
```

という条件で、そのセッションがRemote Browser Isolation内で実行されているかどうかを判定できるの。隔離されたセッションだけ別のルールを適用する、みたいな使い方ができそうだね。

なお、この発表にはGA(一般提供)かベータ版かの明記はなくて、詳しい設定手順も「HTTP policies」「Network policies」のドキュメントを参照する形になっているよ。

## まとめ

- Cloudflare GatewayのHTTP/Networkポリシーに Traffic Source セレクタが追加され、`net.onramp.type` でWARP・Mesh・Magic WAN・プロキシ・MCPポータルなど7種類の経路を区別できるように
- 経路ごとに異なるポリシーを組めるようになり、ゼロトラストなアクセス制御がより細かくできるように
- あわせてBrowser Isolationセレクタ(`net.is_isolated`)も追加され、隔離セッションかどうかも判定可能に

Cloudflare Oneでネットワークポリシーを運用していて、「通信経路ごとにルールを変えたい」と思っていたネットワーク管理者・セキュリティ担当者に刺さる発表だよ！