2026/08/24 · Cloudflare / Zero Trust / Security

Cloudflare Tunnel・Access・Zero Trustの違いと使いどころ

Cloudflare Tunnelだけで安全になるわけではありません。Tunnelは通信経路、Accessは認証・認可、Zero Trustはそれらを組み合わせる設計思想です。3つの役割、活用例、料金、導入時の注意点を整理します。

まず3つの言葉を分けて考える

Cloudflare Tunnel

内部のサーバーからCloudflareへ、外向きに安全な通信経路を作る仕組み。公開IPや受信ポートを原則として必要としません。

Cloudflare Access

アプリの手前で利用者や端末を確認し、通す・拒否するを決めるZero Trust Network Access製品です。

Cloudflare Zero Trust

社内ネットワークにいるだけでは信用せず、アクセスのたびにID、端末、場所などを確認する考え方と製品群です。

たとえるなら、Tunnelは「建物までの専用通路」、Accessは「入口の警備員」、Zero Trustは「関係者らしく見えても入場条件を毎回確認する警備方針」です。

Cloudflare Tunnelの仕組み

通常、社内サーバーや自宅サーバーを外部公開するには、グローバルIPを割り当て、ルーターやファイアウォールの受信ポートを開けます。Cloudflare Tunnelでは、内部に置いた軽量コネクターcloudflaredがCloudflareへ外向きの接続を確立します。

利用者ブラウザー / 端末

AccessID・端末・条件を確認

Cloudflare Tunnel確立済みの外向き接続

内部サービスWeb / SSH / RDP / API

Accessで許可された通信だけを、Tunnel経由で内部サービスへ届ける構成。

cloudflaredは主にQUICまたはHTTP/2を使い、Cloudflareのネットワークへ接続します。ファイアウォールはTCP/UDP 7844番の外向き通信を許可し、受信通信を閉じる構成にできます。オリジンサーバーをインターネットから直接到達できない状態にしやすい点が強みです。

Tunnelで得られるもの

固定グローバルIPやポート開放に依存しない公開経路
オリジンサーバーのIPアドレスを隠しやすい構成
1本のTunnelから複数のホスト名・サービスへの振り分け
複数のcloudflaredを使った冗長化
CloudflareのDNS、TLS、DDoS対策などとの統合

重要：Tunnelは経路を作る機能です。公開ホスト名にAccessポリシーを設定しなければ、サービスがインターネットから誰でも到達できる状態になることがあります。

Cloudflare Accessは何を確認するのか

Accessは、保護対象のアプリへリクエストを通す前にポリシーを評価します。Google Workspace、Microsoft Entra ID、OktaなどのIdentity Provider（IdP）と連携できるほか、メールのワンタイムPINも利用できます。

ポリシーでは、たとえば次の条件を組み合わせられます。

特定のメールアドレスやメールドメイン
IdPのユーザーグループ
接続元の国やIPアドレス
多要素認証の方法
Cloudflare One Clientへの接続状態
OSバージョンやディスク暗号化などの端末状態
機械間通信向けのService TokenやmTLS証明書

人がブラウザーで使うアプリだけでなく、APIや自動処理にService Tokenを使う構成も可能です。許可後は署名付きJWTが発行され、アプリ単位のセッションとして扱われます。

従来型VPNとの違い

観点	従来型VPN	Tunnel＋Access
許可の単位	ネットワークやサブネット単位になりやすい	アプリ、ホスト、ユーザー単位に絞りやすい
Webアプリの利用	VPNクライアントが必要なことが多い	公開ホスト名型ならブラウザーだけでも利用可能
判断材料	接続資格とネットワーク位置が中心	ID、端末状態、国、MFAなどを組み合わせ可能
内部への入口	VPN装置への受信経路が必要	`cloudflared`からの外向き接続
向く用途	幅広いプロトコル、双方向通信、拠点接続	社内Web、管理画面、アプリ単位のリモートアクセス

AccessがVPNを常に置き換えるわけではありません。VoIP、SIP、サーバー起点の通信、端末同士の接続、完全な拠点間通信では、IPsec、GRE、Cloudflare Meshなど別方式が適する場合があります。

Zero Trustは「一度ログインしたから信用」ではない

Zero Trustは「社内にいる」「VPNへ接続できた」といったネットワーク位置だけで信用しない考え方です。誰が、どの端末から、何へ、どの条件でアクセスしようとしているかを検証し、必要最小限だけ許可します。

明示的に検証する：ID、MFA、端末状態、接続元などを確認する。
最小権限にする：社内ネットワーク全体ではなく、必要なアプリだけ許可する。
侵害を前提にする：認証情報や端末が侵害されても被害が広がりにくい境界を作る。

Cloudflare Zero Trustは、この考え方をAccess、Gateway、Cloudflare One Client、Tunnelなどで実装する製品群です。Tunnel単体を導入しただけでZero Trustが完成するわけではなく、Accessポリシー、IdP、端末管理、ログ監視まで含めて設計します。

代表的な活用例

社内Webシステム

社内Wiki、勤怠、BI、管理画面をTunnelで接続し、会社アカウントとMFAをAccessで要求します。

自宅サーバー

Home Assistantや個人用ダッシュボードへ、固定IPとポート開放なしで接続します。管理画面にはAccessを必ず併用します。

開発プレビュー

ローカルWebアプリを一時URLで共有します。Quick Tunnelはテスト専用で、本番利用には向きません。

Webhook・API

内部のAPIを外部サービスから到達可能にします。Webhook署名の検証はアプリ側でも必要です。

SSH・RDP

管理用サーバーへの接続をIDベースで制御します。方式によって利用者側にもクライアントが必要です。

機械間通信

Service TokenやmTLSを使い、人のログイン操作なしで内部APIへのアクセスを認可します。

料金の目安

以下は2026年8月24日時点でCloudflare公式料金ページに表示されているSASE／Workspace Securityプランの概要です。料金や含まれる機能は変更される可能性があるため、契約前に最新の公式ページを確認してください。

プラン	料金	主な対象	検討ポイント
Free	0ドル、期限なし	50ユーザー未満のチーム、検証	Accessログの標準保持は24時間。小規模導入やPoC向け
Pay-as-you-go	1ユーザーあたり月7ドル	50ユーザーを超えるチーム、限定的なSSE用途	公式ページ上では個別のEnterpriseサポートを必要としない組織向け
Contract	年間契約・ユーザー単価は個別見積もり	本格的なSASE／Workspace Security導入	高度な機能、長期ログ、サポート、組織要件を含めて見積もる

Cloudflare TunnelはFreeプランから利用できます。ただし、実際の費用判断ではTunnelだけでなく、Accessを利用する人数、ログ保持、Gateway、ブラウザー分離、データ保護、サポート、SLAなどを含めて考える必要があります。

公式ドキュメントに記載された標準上限では、1アカウントあたりTunnel 1,000本、ルート1,000件、1つのTunnelにつきアクティブなcloudflaredレプリカ25個です。Enterpriseでは上限引き上げを相談できる場合があります。

無料プランで見落としやすい点：Access、DNS、Network、HTTPログの標準保持は24時間です。監査やインシデント調査で長期ログが必要なら、有料プランや外部保存を含めて確認します。

導入時の注意点

Accessを先に設計する：Tunnelを公開してから認証を考えるのではなく、許可対象と拒否条件を先に決めます。
EveryoneやBypassを安易に使わない：設定によっては認証を実質的に無効化します。
アプリ側の認証も残す：重要な管理操作では多層防御を考えます。
Tunnel Tokenを秘密情報として扱う：漏えいすると第三者がコネクターを起動できる可能性があります。
冗長化する：本番では異なるホストで複数のcloudflaredを動かします。
元のIPの扱いを確認する：HTTPではCF-Connecting-IPを利用できますが、非HTTPでは元の接続元IPがオリジンへ渡らない場合があります。
Cloudflare依存を受け入れられるか考える：障害時の管理経路、DNS、IdPの復旧手順も用意します。

小さく始めるためのチェックリスト

外部から使いたいWebアプリを1つ選ぶ。
Cloudflare Zero Trust組織とテスト用Accessポリシーを作る。
アプリへ到達できる端末にcloudflaredを導入する。
Tunnelとホスト名を設定し、許可ユーザーだけログインできることを確認する。
未認証、対象外ユーザー、対象外端末が拒否されることも確認する。
ログ、Token管理、コネクター停止時の影響を確認する。
本番化するなら冗長化と緊急アクセス手順を決める。

まとめ

Cloudflare Tunnelは、内部サービスを受信ポートなしでCloudflareへつなぐ便利な経路です。Cloudflare Accessは、その経路を通ってよい利用者や端末をアプリ単位で判断します。Zero Trustは、この2つを含めて「場所では信用せず、毎回検証し、必要最小限だけ許可する」設計です。

社内Web、自宅サーバー、開発環境の共有には相性がよく、Freeプランで小さく試せます。一方で、ログ保持、可用性、認証設定、Cloudflareへの依存、VPNを置き換えられない通信もあります。まず重要度の低いWebアプリを1つ選び、許可だけでなく拒否のテストまで行うのが現実的です。

Cloudflare Tunnel・Access・Zero Trustの違いと使いどころ

まず3つの言葉を分けて考える