目的

Cloudflare Zero Trust の Enterprise オプションである Dedicated Egress IP について挙動を整理します。

Cloudflare Gateway専用エグレスとエグレスポリシー

出口 IP を固定化したい場合、アーキテクチャ上、Dedicated Egress IP オプションを購入するやり方が最もシンプルでおすすめです。

出口 IP を固定化する他のやり方については、以下の記事を参考にしてください。

Cloudflare を経由し、固定の IP から Internet にアクセスをする - Qiita

Dedicated egress IP

Dedicated egress IPs · Cloudflare Zero Trust docs

特徴

Static = 出口 IP は動的に変わらず、固定
- 通常は Cloudflare Default IP Pool から動的に割り当てられた出口 IP が使用される
Dedicated = 購入したアカウントだけで専有
- 通常は、他のアカウントと共有の Shared IP が出口 IP として使用される
1 IP は 1 データセンタに対して紐づき、その地理情報が適用される
- 最小単位で、Cloudflareは2つの異なるデータセンターに対応する2つのDedicated Egress IPをアカウントに提供。追加の Dedicated Egress IP も購入可。

No Egress Policy Match

Egress ポリシーがない、もしくはマッチしない場合、デフォルトの挙動としては、接続ユーザーに最も近い Dedicated Egress IP を使って出ていく形になります。
ただし、IPv4/IPv6 による接続か、サイトが Cloudflare によってプロキシされているか（Grey/Orange）によって挙動が異なります。

IPv4 Grey Web Sites

宛先が IPv4 かつ Cloudflare によってプロキシされていない場合、以下の挙動になります。

宛先 IP	宛先サイトが Cloudflare によってプロキシされているか	物理的な Egress 場所	ソース IP と地理情報
IPv4	No (Grey)	Dedicated Egress IP が紐づけられたデータセンターから出ていく	Dedicated Egress IP の情報を使用

IPv4 Orange Web Sites (IPv6 の場合も含む)

一方で、宛先が IPv4 かつ Cloudflare によってプロキシされている場合、以下の挙動になります。

（宛先が IPv6 のケースも同様の挙動となるため、省略します。）

宛先 IP	宛先サイトが Cloudflare によってプロキシされているか	物理的な Egress 場所	ソース IP と地理情報
IPv4	Yes (Orange)	ローカルに接続されたデータセンターから出ていく	Dedicated Egress IP の情報を使用
IPv6	No (Grey)	ローカルに接続されたデータセンターから出ていく	Dedicated Egress IP の情報を使用
IPv6	Yes (Orange)	ローカルに接続されたデータセンターから出ていく	Dedicated Egress IP の情報を使用

また、一旦 Reverse Proxy サービスに入ってしまえば、Smart Routing や Tiered Cache 機能により、PoP 同士の横のつながり Cloudflare Backbone Network を経由して、実際の Origin Pull PoP が変わることも考えられます。

Egress ポリシー

Egress ポリシーを使って、条件にマッチした場合に特定の Egress 挙動をさせることが可能です。

Egress policies · Cloudflare Zero Trust docs

ポリシーは上から順番に評価され、最初にマッチしたものが実行されます。

Order of enforcement · Cloudflare Zero Trust docs
Gatewayでは、優先順位は最初の一致の原則に従います - サイトがAllowまたはBlockポリシーに一致すると、評価は停止され、後続のポリシーは決定を上書きできません。したがって、最も具体的なポリシーと例外をリストの一番上に、最も一般的なポリシーを一番下に置くことをお勧めします。

Egress メソッドとしては、以下の2つを選べます。

Default Cloudflare egress

すべてのZero Trustアカウントで共有されるデフォルトのソースIPレンジを使用します。ユーザーのトラフィックが最も近いCloudflareデータセンターから排出されるため、最もパフォーマンスの高いインターネット体験を保証します。

Dedicated Cloudflare egress IPs

ドロップダウンメニューで選択されたプライマリIPv4アドレスとIPv6範囲を使用します。オプションで別のデータセンターのセカンダリIPv4アドレスを指定できます。プライマリデータセンターがダウンした場合、ゲートウェイはセカンダリデータセンターからイグジットし、リルート中のトラフィック低下を回避します。IPv6トラフィックはどのCloudflareデータセンターからもイグジットできるため、セカンダリIPv6は必要ありません。

例えば、以下のような設定が可能です。

IPv4 Grey Web Sites

宛先が IPv4 かつ Cloudflare によってプロキシされていない場合、以下の挙動になります。

宛先 IP	宛先サイトが Cloudflare によってプロキシされているか	物理的な Egress 場所	ソース IP と地理情報
IPv4	No (Grey)	Dedicated Egress IP が紐づけられたデータセンターから出ていく	Dedicated Egress IP の情報を使用

IPv4 Orange Web Sites (IPv6 の場合も含む)

一方で、宛先が IPv4 かつ Cloudflare によってプロキシされている場合、以下の挙動になります。

（宛先が IPv6 のケースも同様の挙動となるため、省略します。）

宛先 IP	宛先サイトが Cloudflare によってプロキシされているか	物理的な Egress 場所	ソース IP と地理情報
IPv4	Yes (Orange)	ローカルに接続されたデータセンターから出ていく	Dedicated Egress IP の情報を使用
IPv6	No (Grey)	ローカルに接続されたデータセンターから出ていく	Dedicated Egress IP の情報を使用
IPv6	Yes (Orange)	ローカルに接続されたデータセンターから出ていく	Dedicated Egress IP の情報を使用

`catch-all` シナリオ

一般的なインターネット体験を確実にするには、リストの一番下に catch-all ポリシーを配置する設定が推奨されます。

Dedicated Egress IP を使う必要がない場合には、すべてのZero Trustアカウントで共有されるデフォルトの Egress IPレンジを使用して、ユーザーの接続元ソースIPの地理情報を維持する形で、近いCloudflareデータセンターから排出されるような設定です。

基本的には、ユーザが接続されたデータセンターからそのまま排出されることがほとんどですが、
例えば、ユーザの接続元ソースIPがメキシコで、ユーザがロサンゼルスに接続した場合には、共有 Egress IP プールの中でメキシコの地理情報を持つデータセンターから排出されます。

Dedicated Egress IP ジオロケーション情報

以下のサイトで確認できます。

GeoIP2 Web Service Demo | MaxMind

ログ

Network Session Logs を Logpush することで確認できます。

Zero Trust Network Session Logs · Cloudflare Logs docs

例えば以下のログだと "EgressRuleName": "" マッチがなく
ユーザは大阪 PoP "IngressColoName": "KIX" に接続し
東京 PoP "EgressColoName": "NRT" から
"EgressIP": "x.x.x.x" を使って
"OriginIP": "y.y.y.y" に通信をおこなったことがわかります。

zero_trust_network_sessions.json

{
  "AccountID": "xxx",
  "BytesReceived": 158443,
  "BytesSent": 214346,
  "ClientTCPHandshakeDurationMs": 0,
  "ClientTLSCipher": "",
  "ClientTLSHandshakeDurationMs": 0,
  "ClientTLSVersion": "none",
  "ConnectionCloseReason": "UNKNOWN",
  "ConnectionReuse": false,
  "DestinationTunnelID": "00000000-0000-0000-0000-000000000000",
  "DetectedProtocol": "",
  "DeviceID": "76e2f2a9-5da5-11ee-a515-deeb8ec3d15a",
  "DeviceName": "my-osaka-device",
  "EgressColoName": "NRT",
  "EgressIP": "x.x.x.x",
  "EgressPort": 48963,
  "EgressRuleID": "00000000-0000-0000-0000-000000000000",
  "EgressRuleName": "",
  "Email": "non_identity@xxx.cloudflareaccess.com",
  "IngressColoName": "KIX",
  "Offramp": "INTERNET",
  "OriginIP": "y.y.y.y",
  "OriginPort": 7844,
  "OriginTLSCertificateIssuer": "",
  "OriginTLSCertificateValidationResult": "NONE",
  "OriginTLSCipher": "",
  "OriginTLSHandshakeDurationMs": 0,
  "OriginTLSVersion": "none",
  "Protocol": "UDP",
  "RuleEvaluationDurationMs": 0,
  "SessionEndTime": 1695869611744000000,
  "SessionID": "1b7b315a7500000a7646525400000001",
  "SessionStartTime": 1695867748982000000,
  "SourceIP": "100.96.0.29",
  "SourceInternalIP": "",
  "SourcePort": 55395,
  "UserID": "b7761faf-27e6-4d08-a35a-802db584b739",
  "VirtualNetworkID": "604aa865-1642-405c-a745-3d448f69b8f1"
}

まとめ

Dedicated Egress IP オプションを使えば、Cloudflare Zero Trust 全体としてパフォーマンスを最適化しつつ、固定 IP のニーズをシンプルなアーキテクチャで満たすことができることを確認できました。

アーキテクチャを複雑にしたくない場合は、ぜひ Enterprise プランもご検討ください。