🪩

Cloudflare Gateway の Egress policies 動作確認

に公開
Cloudflare
Zero Trust
egressip
tech

Cloudflare Gateway の Egress policies で指定した専用 IP アドレスが動作に反映されているかを確認する例です。

https://developers.cloudflare.com/cloudflare-one/traffic-policies/egress-policies/

Egress policy 設定

  • IP アドレスを鸚鵡返しするような Web アプリ（ipify.org など）のドメインを指定

  • v4, v6 を別々に応答する FQDN を用意しているサービスを選ぶ

  • 専用エグレス IP を選択（IPv4, IPv6）

注意

WARP の場合、この確認方法では DNS 解決が Cloudflare に向く必要があります

https://blog.cloudflare.com/egress-policies-by-hostname/

https://developers.cloudflare.com/cloudflare-one/traffic-policies/egress-policies/#limitations

The Application, Content Categories, Domain, and Host selectors require configuration changes in order to be operational. Before deploying policies with these selectors, refer to Host selectors.

確認

WARP

WARP の場合
$ warp-cli status
Status update: Connected

IPv4 専用のサイトに接続（Egress に指定した IPv4 アドレスが返ってくることを確認）

$ curl api.ipify.org
8.29.*.*
前提 - DNS 解決 が Cloudflare を向いているので A が Cloudflare の内部利用 IP にすり替わってる
$ dig api.ipify.org A +short
100.80.98.140
100.80.98.141
100.80.98.142
$ dig api6.ipify.org A +short

IPv6 専用のサイトに接続（Egress に指定した IPv6 範囲に含まれるアドレスが返ってくることを確認）

$ curl api6.ipify.org
2a09:*:*:*::*:*
前提 - DNS 解決 が Cloudflare を向いているので AAAA が Cloudflare の内部利用 IP にすり替わってる
$ dig api6.ipify.org A +short
$ dig api6.ipify.org AAAA +short
2606:4700:cf1:4000:2e9f:7765:163e:7834

うまく動けば、専用 IP 固定が必要な宛先をセレクターで定義すればよいです。
Domain 以外にも色々使えます。

Proxy endpoint

DNS を向けない場合は明示プロキシーでも確認できます。

$ curl -x https://<あなたの>.proxy.cloudflare-gateway.com api.ipify.org
8.29.*.*

$ curl -x https://<あなたの>.proxy.cloudflare-gateway.com api6.ipify.org
2a09:*:*:*::*:*

以上です。

Discussion