Cloudflare 00：全体像 ― 利用者とあなたの間に立つ網

Cloudflare が無いと、利用者はオリジンに直接つながる

まず、Cloudflare を使わない場合を考えます。利用者のブラウザは、あなたのサーバーに直接つながります。このサーバーを、Cloudflare の世界ではオリジン（元のサーバー）と呼びます。

直接つながる形には、次のような困りごとがあります。

これらは、サーバーを1台置いただけでは解決できない問題です。世界中に拠点を持ち、大量の通信をさばける網があって初めて、まとめて解決できます。

間に入る「リバースプロキシ」

Cloudflare の基本の形は、リバースプロキシです。利用者とオリジンの間に入り、利用者の代わりにオリジンと話します。

利用者から見ると、話している相手は Cloudflare です。利用者が送ったリクエストは、まず Cloudflare の拠点（エッジ）に届きます。Cloudflare はそこで、攻撃なら止め、手元に答えがあればその場で返し、必要なときだけオリジンに取りに行きます。

「プロキシ」は代理人という意味です。利用者の側に立つ代理（会社の出口にあるプロキシなど）を「フォワードプロキシ」、サーバーの側に立つ代理を「リバースプロキシ」と呼び分けます。Cloudflare は後者です。

オリジンの IP アドレスは、利用者からは見えなくなります。これ自体が1つの守りになります。攻撃者は、オリジンの番号が分からなければ、直接攻撃できないからです。

では、どうやって利用者のリクエストを Cloudflare に向けるのでしょうか。答えは DNS です。ドメインの DNS を Cloudflare に任せると、example.com の番号を聞かれたときに、オリジンではなく Cloudflare の番号を答えるようになります。管理画面では、DNS の行ごとにあるオレンジの雲のマークがこれを表します（01号）。

同じ番号を、世界中の拠点が同時に名乗る（エニーキャスト）

Cloudflare の拠点は、世界の300を超える都市にあります。では、利用者はどの拠点につながるのでしょうか。

ここで使われているのがエニーキャストです。Cloudflare は、同じ IP アドレスを、世界中の拠点で同時に名乗っています。ネットワークのしくみシリーズの7本目で見た BGP で、東京の拠点も、ロンドンの拠点も、「この番号はうちにある」と周りのネットワークに伝えています。

すると、インターネットのルーターは、それぞれ「いちばん近い（経路が短い）ほう」に小包を運びます。結果として、東京の利用者は東京の拠点に、ロンドンの利用者はロンドンの拠点に、自然にたどり着きます。誰も「あなたは東京へ」と指示していません。

エニーキャストには、もう1つ大きな利点があります。ある拠点が落ちても、その拠点が名乗るのをやめるだけで、通信は次に近い拠点へ自動で流れることです。攻撃が来たときも、世界中の拠点に分散して届くので、1か所に集中しません（04号）。

エッジの中で、リクエストは順番に処理される

利用者のリクエストが近くの拠点に届くと、エッジの中で、順番にいろいろな処理が行われます。図は、その流れを大まかに並べたものです。

基本の考え方は、「悪いものは早く落とし、返せるものは近くで返し、残りだけをオリジンへ」です。オリジンに届くリクエストが減るほど、オリジンは楽になり、利用者は速くなります。

ここからの数ページで、それぞれを1つずつ見ていきます。

まず、攻撃の洪水をせき止める

いちばん前にいるのが DDoS 対策です。DDoS（分散型サービス妨害）は、たくさんの機械から一斉にアクセスを送りつけて、サーバーや回線をあふれさせる攻撃です。

1台のサーバーでは、どれだけ頑張っても、回線の太さ以上の通信は受け止められません。Cloudflare は、前のページのエニーキャストのおかげで、攻撃を世界中の拠点に分散して受け止めます。網全体の容量は、ふつうの攻撃よりはるかに大きいので、吸収できます。

しかも、この対策は全プランで、量の上限なく提供されています。攻撃を受けたからといって追加料金を取られることもありません。多くの人が Cloudflare を使い始めるいちばんの理由が、これです（04号）。

次に、怪しいリクエストを見分けて止める

洪水のような攻撃とは別に、1つ1つは普通に見えるけれど中身が悪いリクエストもあります。

これらを見分けて止めるのが、WAF（Web アプリケーションファイアウォール）、レート制限、ボット対策、そして人間かどうかを確かめる Turnstile です（05〜08号）。

どれも、世界中のサイトを流れる大量の通信を見ている Cloudflare だからこそ、「最近こういう攻撃が流行っている」「このパターンはボットだ」と素早く判断できます。

返せるものは、その場で返す（キャッシュ）

悪くないリクエストのうち、毎回同じ答えになるものがあります。画像、CSS、JavaScript、フォントなどです。

Cloudflare の拠点は、こうしたファイルを一度オリジンから取ってきたら、しばらく覚えておきます。これがキャッシュです。次に同じファイルを求められたら、オリジンに行かず、その場で返します。

これが、いわゆる CDN（コンテンツ配信ネットワーク）の仕事です。Cloudflare はもともと、この CDN と守りの会社として始まりました（02号）。

エッジでコードを動かせる（Workers）

ここからが、ここ数年の Cloudflare の大きな変化です。エッジで、自分の書いたコードを動かせるようになりました。これが Workers です（18号）。

最初は「オリジンに行く前に、ちょっとリクエストを書き換える」程度の使い方でした。ところが、データを置く場所（KV・Durable Objects・R2・D1）や、キュー、AI まで次々に加わり、今ではオリジンが無くても、エッジだけでアプリ全体を作れるようになっています。図の右の「オリジン」が、なくてもよいものに変わったのはそのためです。

世界中の拠点で同じコードが動くので、利用者の近くで処理が走り、サーバーの台数や場所を考える必要もありません。このマガジンの後半（18〜31号）は、この「開発者向けの Cloudflare」を扱います。

外向きだけでなく、社内への入り口も守る（Zero Trust）

ここまでは、一般の利用者があなたのサイトを見る場面でした。Cloudflare は、もう1つの場面も守ります。社員が社内のツールに入る場面です。

昔は、社内のツールは会社のネットワークの中に置き、外から使うときは VPN で会社の中に入る、という形が普通でした。でも、VPN は一度入れば中を自由に歩けてしまうので、1人のパスワードが漏れると大きな被害になります。

Cloudflare の Zero Trust では、社内ツールも Cloudflare の後ろに置き、1回ごとに「誰が、どの端末から、何にアクセスしようとしているか」を確かめてから通します。「社内だから信頼する」をやめる（ゼロトラスト）という考え方です。

なぜ、無料でここまで使えるのか

Cloudflare を触った人がまず驚くのは、無料のプランでも、かなりのことができる点です。DNS も、CDN も、SSL 証明書も、DDoS 対策も、無料で使えます。なぜ成り立つのでしょうか。

もちろん、無料プランには上限や機能の差があります。このマガジンの各号では、「料金と制限」を必ず確かめるページを置いています。数字は変わることが多いので、最新の値は公式の料金ページで確かめてください。

始め方：アカウント → ドメイン追加 → ネームサーバーを切り替える

Cloudflare を使い始める手順は、次のとおりです。

大事なのは4です。ネットワークのしくみシリーズ（とメールのしくみシリーズの2本目）で見たとおり、どこに書いた DNS が本物になるかは NS で決まります。NS を Cloudflare に向けた瞬間から、Cloudflare に書いた DNS が本物になり、プロキシも効き始めます。

3で既存の行をきちんと確かめておけば、切り替えの途中でもサイトやメールは止まりません。

なお、Workers や Pages を試すだけなら、ドメインは要りません。*.workers.dev や *.pages.dev という Cloudflare のドメインの下に、すぐ公開できます。

このマガジンの地図

このマガジンは、次の順に並んでいます。どの号も単独で読めるように書いているので、気になるところから読んでも構いません。

各号は、おおむね次の順で進みます。