Cloudflare Zero Trust（ZTNA）: VPN なしで社外から社内 RDP へ
社内に cloudflared を置き、社外は WARP＋IdP（例: Entra ID）＋MFA。インバウンド穴あけなしで、許可した社内 Web / RDP だけに届ける。Free 枠（執筆時点で小規模ユーザー数）で検証しやすい。
どんなときに使う？
- VPN 装置の遅さ・脆弱性ニュースが気になるが、社外から社内 RDP／社内 Web は必要
- FW にインバウンドを開けたくない（アウトバウンドトンネルだけにしたい）
- Deny by default で「許可したアプリ・ユーザーだけ」にしたい
やり方（流れ）
- Zero Trust 初期化（チーム名は後から変えにくい）
- IdP 連携（例: Microsoft Entra ID — クライアント ID / シークレット / テナント ID）
- WARP デバイス登録（登録ポリシーで会社ドメイン等に制限）
- cloudflared トンネルを社内に入れ、対象のプライベート IP 帯を Private Network に登録
- Split Tunnels: WARP 既定では RFC1918 が除外されがち。社内帯を除外リストから外す（忘れるとトンネル HEALTHY なのに届かない）
- Access アプリ＋ポリシー（Self-hosted / Private Network。グループ・MFA・登録端末などで最小許可）
- 社外回線から WARP 接続し、例:
mstsc /v:192.168.10.5。ドメイン未参加 PC はコンピュータ名\ユーザー名
注意点
- Split Tunnels と Private Network の両方が揃わないと「届かない」典型パターンになる
- Free 枠・機能は時期で変わる。本番前に現行のプラン制限を確認
- まずは 1 アプリ／1 台から VPN と並行運用が現実的