Cloudflare One / WAN の設定小技 3 つ: Access の拒否リダイレクトに account_id、自作アプリ定義、BGP 経路フィルター
2026-10-14〜15 の Changelog から、Zero Trust と WAN の運用で地味に効く 3 つの変更をまとめたもの。
1. Access の拒否リダイレクトに account_id が付く
account_id が使いどころ: Access で拒否されたユーザーを自前のブロックページに飛ばしていて、複数アカウントのアプリを 1 つのページで扱っているとき。
- アプリを判別できる拒否リダイレクトでは、アカウントが分かる場合に
account_idクエリパラメーターが追加されるhttps://denied.example.com/?kid=<APP_AUD>&account_id=<ACCOUNT_ID>&original_url=app.example.com%2Fadmin - ブロックページ側は
account_idとkid（アプリの AUD）を使い、アカウント単位の API でアプリ名や問い合わせ先を引ける - 注意: これは文脈情報にすぎず、認証・認可の証明ではない。値はユーザーが書き換えられるので、これを根拠にアクセスを許可しない
2. Application Library に自作アプリを登録して Gateway ポリシーで使う
使いどころ: 社内システムや一覧にない SaaS を、毎回ホスト名や IP を並べずに「アプリ」として Gateway ポリシーに書きたいとき。
- Application Library でカスタムアプリを作り、ホスト名・IP サブネット（両方でも可）で定義する
- 必要なら TCP / UDP のポートやポート範囲を付けて、HTTP / Network ポリシーでの一致を絞れる
- 作ったアプリは Gateway の DNS・Network・HTTP ポリシーから参照できる。定義を 1 か所で直せば全ポリシーに効く
3. Cloudflare WAN / Magic Transit の IPsec・GRE トンネルで BGP 経路をフィルターする
使いどころ: 拠点のルーターと BGP で経路を交換していて、受け取る（import）・広告する（export）経路を制限したいとき。
- フィルタープロファイルを作り、許可（allow）か拒否（deny）と、CIDR の一覧を指定する。一致の仕方は「完全一致」「より細かい経路」「プレフィックス長」から選ぶ
- 1 本のトンネルにつき import 用と export 用を 1 つずつ割り当てられる。プロファイルは複数トンネルで使い回せる
- ダッシュボード・API・Terraform で設定でき、プロファイルを変えても BGP セッションはリセットされないので、運用中に入れやすい