Cloudflare Gateway、トラフィックの出口ごとにポリシーを分けられるようになったよ！

みんな、しぃちゃんだよ！ 今日は Cloudflare Changelog から気になるアップデートを見つけたから、さっそく紹介しちゃうね。

Cloudflare Changelog developers.cloudflare.com

なにが発表されたの？

Cloudflare Changelog によると、Cloudflare Gateway の HTTP ポリシーと Network ポリシーに、新しく「Traffic Destination」というセレクタが追加されたんだって。これは、トラフィックが Cloudflare からどうやって外に出ていくか(オフランプの方法)を識別するためのセレクタなの。

これによって管理者は、トラフィックの出口方法ごとに違うルールを書けるようになったよ。たとえば、公開インターネット向けのトラフィックと、Cloudflare Tunnel や Cloudflare WAN を経由するトラフィックとで、別々のポリシーを適用できるようになったんだって。

今までどうだったの？

これまでの Gateway ポリシーでは、トラフィックの送信先の種類を細かく見分けて制御するのが難しかったみたい。宛先が「インターネットなのか」「社内の Tunnel 経由の宛先なのか」を明確に区別するセレクタがなかったから、出口ルートによってポリシーを切り分けたい場合は工夫が必要だったの。

これで何が変わるの？

Traffic Destination セレクタが使えるようになったことで、インターネット向け・Cloudflare WAN 経由・Cloudflare Tunnel 経由・Cloudflare One Client 宛て・Mesh 経由、それぞれのトラフィックに対して別々のポリシーを設定できるようになったよ。

たとえば「インターネットに出ていくトラフィックだけ厳しく制限する」とか「Tunnel 経由の社内向けトラフィックは別ルールにする」みたいな、出口ルートに応じた柔軟なポリシー設計がしやすくなるってことだね。Cloudflare One や Zero Trust 環境をきめ細かく管理したい人には、うれしいアップデートだと思うよ。

深く潜ってみよう

このセレクタで指定できるトラフィックの送信先と、対応する API の値はこんな感じだよ。

• Internet(internet) 公開インターネットへのトラフィック
• Cloudflare WAN(cloudflare_wan) Cloudflare WAN 接続を通るトラフィック
• Cloudflare Tunnel(cloudflare_tunnel) Cloudflare Tunnel を経由してプライベートオリジンに向かうトラフィック
• Cloudflare One Client(device_client) Cloudflare One Client が動いている別のデバイスへ向かうトラフィック
• Mesh(mesh) Cloudflare Mesh ノードを経由するトラフィック

API 上では net.offramp.type というフィールドで、この値を判定できるの。HTTP ポリシーでも Network ポリシーでも使えるみたい。式で書くとこんな感じだよ。

net.offramp.type == "internet"

まとめ

• Gateway の HTTP/Network ポリシーに Traffic Destination セレクタが追加された
• トラフィックの出口方法(インターネット/Cloudflare WAN/Tunnel/Client/Mesh)ごとに違うポリシーを書けるようになった
• API フィールドは net.offramp.type で、internet や cloudflare_tunnel などの値を判定できる
• 出口ルートに応じた細かい制御がしたい Cloudflare One・Zero Trust の管理者さんにとって、特に刺さるアップデートだね！