Cloudflare Tunnel/Zero Trust（クラウドフレアトンネル）
Cloudflare Zero Trust。Cloudflare Tunnel(旧Argo Tunnel・cloudflared daemon・home server外部公開・no port open)・Cloudflare Access(SSO + 2FA・RDP/SSH/web app認証)・WARP+ ($4.99/mo・Public Wi-Fi VPN)・Cloudflare One($7/user/mo)・Magic Transit/Magic WAN($Custom)・Tunnel→Service Token認証・YAML config・Linux/Mac/Win/RPi対応・Domain free Cloudflare account必須・代替: Tailscale Funnel(2024年)/ngrok・2026年 Self-host service安全公開定番、Synology/UnRAID対応広範。
概要
クラウドフレアトンネル（旧Argo Tunnel）は、外部から自宅サーバーや社内ネットワークへ安全に接続するためのゼロトラストプロキシです。ポートを開放せずに、暗号化されたトンネルを介して Cloudflare のエッジに接続し、IPアドレスを隠蔽しながら認証を行います。Cloudflare Access が提供する SSO + 2FA で RDP/SSH/Web アプリにアクセスでき、WARP+ は $4.99/月でパブリック Wi‑Fi でも高速 VPN を提供します。2025 年には「Cloudflare One」の統合管理機能が拡充され、2026 年には自己ホスト型サービスが標準化されると予測されます。
主な特徴・仕組み
- ポート不要：1 つの
cloudflaredデーモンで 0 から 1 つのトンネルを作成。外部からのアクセスは 443 番ポートのみを使用。 - ゼロトラスト認証：Cloudflare Access により、ユーザーは SSO + 2FA で認証。RDP/SSH/Web アプリを一元管理。
- WARP+：$4.99/月で 1Gbps 近い帯域幅を提供。パブリック Wi‑Fi での速度低下を最小化。
- Cloudflare One：$7/user/月。IAM、WAF、DDoS 防御を統合。2025 年に「Zero Trust Workload」機能が追加予定。
- Magic Transit / Magic WAN：カスタム料金で 5Gbps 以上の専用帯域を提供。2026 年に 10Gbps への拡張が計画。
- YAML 設定：
config.ymlでトンネルのルールを宣言。例：hostname: example.com、service: http。 - 多プラットフォーム：Linux, macOS, Windows, Raspberry Pi 4 (ARMv8) で動作。CPU 2 コア、RAM 1GB で動作可能。
- Service Token 認証：トークンを使用してトンネルを自動生成。API キーは 30 日で自動失効。
- 代替サービス：Tailscale Funnel (2024年)・ngrok・自社ホスト型サービス（Synology, UnRAID）に対抗。
- 料金：無料 Cloudflare アカウントでトンネル 1 本、Cloudflare Access 無料版は 10 ユーザーまで。
スペック比較表
| 仕様項目 | Cloudflare Tunnel | Tailscale Funnel | ngrok |
|---|---|---|---|
| ポート要件 | 443 だけ | 任意 | 80/443 |
| 認証方式 | SSO+2FA | Magic Key | OAuth |
| 料金 | 無料 (1 本) | $7/月 (1 本) | $5/月 (1 本) |
| 最大帯域 | 5Gbps (Magic Transit) | 1Gbps | 1Gbps |
| サポート OS | Linux, macOS, Win, RPi | Linux, macOS, Win | Linux, macOS, Win |
| 主要用途 | ゼロトラスト VPN | VPN/SSH | 開発用トンネル |
具体例・対応製品
- Synology NAS（モデル：DS920+）
- 8 コア 2.0 GHz、16GB DDR4、1TB SSD
cloudflaredを Docker で実行し、NAS 上の Web アプリを外部公開。
- UnRAID Server（CPU：AMD Ryzen 5 5600X）
- 6 コア 3.6 GHz、32GB DDR4、2TB NVMe
cloudflaredをコンテナで実行し、SSH と RDP を Cloudflare Access で保護。
- Raspberry Pi 4 (4GB RAM)
- ARMv8 64bit、1.5 GHz、4GB LPDDR4
- 軽量トンネルを構築し、ホームサーバーの HTTPS サイトを公開。
自作PCでの選び方・注意点
- CPU & メモリ：
cloudflaredは 1 コア 512MB で動作するが、同時に 10 本以上のトンネルを使用する場合は 2 コア 1GB 推奨。 - ネットワーク：イーサネットの 1Gbps 以上の帯域が必要。VPN トラフィックを 2% 以上増加させるため、100Mbps 以上の回線を推奨。
- 電源：5V 2A 以上の USB-C 供給が必要。Pi 4 で動作させる場合は 3.3V 5A の電源が推奨。
- セキュリティ：
cloudflaredのバージョンを常に最新に保ち、config.ymlでallow/denyを厳格に設定。 - バックアップ：設定ファイルは Git で管理し、失敗時にロールバックできるようにする。
- 監視：
cloudflaredのログを Grafana で可視化し、トラフィック量とエラー率をリアルタイムで確認。 - 2025 年の動向：Cloudflare One の「Zero Trust Workload」機能が導入され、コンテナ化されたアプリに対しても同一認証が適用可能。
- 2026 年の動向：自己ホスト型 Cloudflare エッジノードが公開され、オンプレミスで完全にゼロトラスト環境を構築できるようになる。
関連用語との違い
- Tailscale Funnel
- 低レイテンシ VPN を提供。Cloudflare の CDN とは異なり、エッジキャッシュは行わない。
- ngrok
- 開発者向けの一時的なトンネル。認証は基本的に API キーのみ。
- Zero Trust Network Access (ZTNA)
- Cloudflare Access は ZTNA の実装例。ZTNA は「何がアクセスできるか」をポリシーで細分化する。
- WARP+
- Cloudflare が提供する VPN。トンネルの構築は自動化されず、主にクライアント向けの VPN 接続。
よくある質問(FAQ)
Q1. Cloudflare Tunnel を自宅の Raspberry Pi で動かす場合、必要なハードウェアは？
A1. Raspberry Pi 4 (4GB RAM) で十分。CPU は 1.5 GHz、USB-C 5V 3A の電源が必要。1Gbps イーサネットがあれば帯域不足はほぼ無い。
Q2. Cloudflare Access で 2FA を設定した後、RDP へのアクセスは自動で許可されますか？
A2. はい。Access のポリシーで「RDP」アプリを指定すれば、認証済みユーザーは自動的に許可される。設定は Cloudflare Dashboard の「Access > Policies」で行う。
Q3. 2026 年に自己ホスト型 Cloudflare エッジノードが登場するとのことですが、既存のトンネルはそのまま使えますか？
A3. はい。cloudflared の設定はそのまま移行可能。エッジノードは同じ API を利用し、認証とトラフィックルーティングが継続される。
まとめ
クラウドフレアトンネルは、ポートを開放せずに安全に外部アクセスを可能にするゼロトラストソリューションです。2025 年の Cloudflare One の拡張や 2026 年の自己ホスト型エッジノードにより、より柔軟で高性能なネットワーク構築が期待されます。自作 PC でも十分に導入でき、Synology、UnRAID、Raspberry Pi など多彩なデバイスと互換性があります。設定は YAML で簡潔に管理でき、CPU・メモリは低スペックでも動作します。今後の動向を注視しつつ、ゼロトラスト環境を構築してみてください。