Cloudflare Access
従来型VPN・GREが抱える課題
従来型のVPNは、一度接続を許可すると、社内ネットワーク全体への到達性を利用者に与えてしまいます。
拠点間をGRE等のトンネルで結ぶ従来型のWAN構成も同様に、一度ネットワークに乗ってしまえば、本来アクセスする必要のないシステムにまで到達できてしまう構造になりがちです。
リモートワークの拡大に伴い、VPN機器そのものが攻撃対象になるケースも増えており、「一度つながれば社内は信頼できる」という前提そのものが、現在のセキュリティ環境には適さなくなっています。
ゼロトラストモデルとは
ゼロトラストは、「社内ネットワークだから安全」という場所に基づく信頼を前提とせず、あらゆるアクセスについて、その都度、利用者の身元・デバイスの状態・アクセス先を検証してから許可する考え方です。
Cloudflare Accessは、このゼロトラストモデルに基づき、アプリケーション単位でアクセス制御を行うサービスです。
社内ネットワークに接続させるのではなく、あくまで「そのアプリケーションだけ」にアクセスを許可する点が、VPNとの大きな違いです。
Cloudflare Accessの主な機能
- アイデンティティベースのアクセス制御
- Okta、Azure AD、Google Workspaceなど、既存のID基盤(IdP)と連携し、社内アプリケーションへのアクセスをユーザー単位で制御します。VPNクライアントの配布・管理は不要です。
- ポリシーベースの認可
- ユーザーの所属グループ、アクセス元の国・地域、デバイスの証明書の有無など、複数の条件を組み合わせたアクセスポリシーを設定できます。
- デバイスポスチャチェック
- アクセス元デバイスが、会社が発行した証明書を持っているか、OSやセキュリティソフトが最新か、といった状態を確認したうえで、アクセス可否を判定できます。
- サービストークンとの連携
- 人が介在しないシステム間連携(CI/CDパイプライン等)についても、サービストークンを用いた認証・認可を組み込めます。
- OAuthとの連携
- OAuthに対応したアプリケーションと連携し、既存の認可フローに組み込むことも可能です。
Cloudflare Tunnel:オリジンを外部に露出させない接続
Cloudflare Tunnelは、社内アプリケーションのサーバーやオフィスのネットワーク機器に、ファイアウォールのポートを一切開放することなく、Cloudflareのネットワークへ常時接続を確立できる機能です。
従来、社外からのアクセスのためにVPN機器やGREトンネルを終端させていた箇所を、Cloudflare Tunnelに置き換えることで、インバウンド方向の通信経路そのものをなくし、攻撃対象領域を縮小できます。
Gateway:セキュアWebゲートウェイ
Gatewayは、社内ネットワークやリモートワーク環境から外部インターネットへ向かう通信を保護する、セキュアWebゲートウェイ機能です。
DNS/HTTPレベルでのフィルタリングやマルウェア対策により、従業員がどこから接続していても、一貫したポリシーを適用できます。
Externa / Internaパッケージにおける位置づけ
Cloudflareは現在、Enterprise向けの提供を「Externa」(外部公開システムの接続と保護)と「Interna」(内部システムの接続と保護)という2つのパッケージに整理しています。
Cloudflare Access、Cloudflare Tunnel、Gatewayといった、本ページでご紹介した機能は、Internaパッケージに含まれます。
Externaパッケージには、Interna Essentialsのシートが50席分含まれており、CDNやWAFなど外部公開システムの保護から始めた場合でも、追加のアーキテクチャ変更なしに、Internaへ段階的に拡張することが可能です。
Externa/Internaの詳細については、Cloudflareの契約種別のページもあわせてご参照ください。
Spelldataによる導入支援
VPNやGREからCloudflare Accessへの移行では、既存のアクセス経路の棚卸し、アプリケーションごとのポリシー設計、IdPとの連携設定など、段階的な移行計画が重要になります。
弊社Spelldataは、Cloudflareの正規代理店として、既存のネットワーク構成の調査から、Cloudflare Access・Tunnel・Gatewayの導入・移行までを一貫して支援します。
お問い合わせフォーム
本サービスのご相談やお見積り、事例についてなど、お気軽にお問い合わせ下さい。