22-3 これまでの部品を地図に置く
道具箱の中身は、一つずつ見ている間は覚えられません。どこで使う道具かが分かった瞬間に、名前と役目が結び付きます。
前の節で描いた網の地図には、置き場所が四つありました。ここに、これまでの章で作った部品を実際に置いていきます。
Cloudflare Lab では、第 9 章で部屋を作り、第 20 章で通路を掘り、第 21 章で制服を着せます。この節は、その三つを一枚に並べる作業です。
Learning goals
この節でできるようになること
- 部屋・通路・制服が地図のどこに置かれるかを言える
- ブラウザだけで部屋に入れる仕組みの名前を言える
- 通路が店の側から外へ向かって掘られる理由を説明できる
- 決まりを確かめる関所が二つあることを言える
1. 部屋を守る
Section titled “1. 部屋を守る”関係者専用の部屋には、扉の前に警備員がいます。誰が来たかを確かめ、名簿にある人だけを通します。
この役を担うのが Cloudflare Access で、公式はこの働き全体を ZTNA（Zero Trust Network Access）と呼びます。public hostname を一つ決めると、その名前宛ての通信はまず Cloudflare の網へ届き、決まりで検査されてから中の部屋へ渡されます。
嬉しいのは、来る側が何も準備しなくてよい点です。公式はこれを clientless access と呼び、端末に何も入れずにブラウザだけで社内のアプリへ入れる形だと説明しています。外部の協力会社や、個人の端末で働く人にそのまま渡せます。
客はブラウザを開くだけで、扉の前の確認を受けて部屋へ入ります。端末に道具を入れる工程がありません。
つまり、部屋は Cloudflare Access が守り、入口はブラウザ一つで足ります。
2. 通路で繋ぐ
Section titled “2. 通路で繋ぐ”店の裏にある品物を外へ出すとき、表の扉を開け放つのは危険です。裏口から目的地まで専用の通路を掘れば、表の扉は閉じたままで済みます。
この通路が Cloudflare Tunnel で、通路の入口で待つ案内係が cloudflared です。公式は、これを組織の設備に入れる軽いプログラムで、Cloudflare の網へ向かって外向きの接続を作ると説明しています。
外向きなので、多くの場合は防火壁の設定を変えずに済みます。通路は QUIC という新しい方式で暗号化され、複数のデータセンターへ同時に繋がるので、片方が応答しなくなっても自動で切り替わります。
通路は店の側から外へ向かって掘られ、受付に繋がっています。外から店へ穴を開けるのではない、という向きが大事です。
つまり、通路は店の側から出ていく形で作られます。
3. 制服と決まりを着せる
Section titled “3. 制服と決まりを着せる”出先で働く人には、店の決まりが届きません。そこで、端末に制服を着せて、通信が必ず店の網を通るようにします。
この制服が Cloudflare One Client（公式では device agent とも呼ばれます）です。公式は、これが端末の通信を Cloudflare へ送り、同時に端末の状態も集めると説明しています。集めた状態が device posture で、許可の判断材料になります。
通信に効く決まりを書くのが Secure Web Gateway です。行き先の種類で止める・通すを決められます。印刷機のような社内向けの通信だけ店の網を通さない、という書き分け（split tunnel）もできます。
制服を着た端末から出た通信が、店の決まりの紙を通っています。家でも出先でも、同じ紙が効きます。
つまり、制服は通信の道筋を揃え、決まりは行き先を選り分けます。
4. 一枚の地図に置く
Section titled “4. 一枚の地図に置く”三つを並べると、通信の関所が二つあることが見えてきます。公式は、Cloudflare の網で許可を決める主な場所は SWG と ZTNA の二つだと説明しています。
社内の部屋へ入る通信は ZTNA の関所を通り、Internet へ出る通信は SWG の関所を通ります。どちらの決まりも同じ管理画面から書くので、二つを組み合わせることもできます。
決まりを配る操作盤は前の節の policy engine です。部屋・通路・制服という三つの部品が、二つの関所と一つの操作盤の下に並ぶ。これが Cloudflare One の一枚の地図です。
部屋・通路・制服が横に並び、その上に二つの関所と操作盤が乗っています。上から下へ、決まりが一方向に流れます。
つまり、三つの部品は二つの関所と一つの操作盤で束ねられます。
Cloudflare Lab での使われ方
Section titled “Cloudflare Lab での使われ方”ここで紹介した三つの部品が、いま読んでいる Cloudflare Lab でどう使われるかを見ます。
Cloudflare Lab では、部屋にあたる Cloudflare Access を第 9 章で作りました。通路と制服は、作者の手元のパソコンを教材にして第 20 章と第 21 章で試す予定です。三つを一枚に並べた図と実測は、実装後にこの章へ追記します。
つまずきやすいところ
Section titled “つまずきやすいところ”この節のまとめ
Section titled “この節のまとめ”- 部屋は Cloudflare Access が守り、clientless access ならブラウザだけで入れます。
- 通路は cloudflared が店の側から外へ向かって掘り、QUIC で暗号化されます。
- 決まりを確かめる関所は ZTNA と SWG の二つで、操作盤は一つです。
この節で出てきた言葉を、つながりの順に並べると次のようになります。
図のラベル: 関係者専用の部屋 Access・第 9 章 / 裏口の専用通路 Tunnel・第 20 章 / 端末の制服と決まり client・第 21 章 / 二つの関所 ZTNA と SWG / 決まりを配る操作盤 policy engine / 一枚の地図 Cloudflare One
次の節では、この一枚の地図を、相手に向かって短く説明する練習をします。
この節のチェック
© 2026 osdse