AccessとTunnelが「社内アプリへ入ってくるアクセス」を守る仕組みだったのに対し、このページのCloudflare Gateway（クラウドフレア・ゲートウェイ）は反対向き、つまり「端末からインターネットへ出ていく通信」を守ります。Cloudflare Oneの見取り図でいう流れ②の検問所です。
フィッシングサイトへの誘導、マルウェアのダウンロード、ウイルス感染後の不正通信。これらはすべて、端末が「外へ出ていく」通信から始まります。Gatewayはその出口に立つフィルターです。
このページで分かること
- Secure Web Gateway（SWG）とは何か
- Gatewayの3層フィルタリング（DNS・ネットワーク・HTTP）
- TLSインスペクション（通信の中身を検査する仕組み）とは
- 端末をGatewayにつなぐ4つの方法
- 家庭・小規模チームでの実用例と注意点
Cloudflare Gatewayとは
出ていく通信の検問所（SWG）
Gatewayは、SWG（Secure Web Gateway）と呼ばれる分野の製品です。端末からインターネットへのすべての通信をいったんCloudflareに通し、ポリシーに基づいて検査・許可・ブロックします。
従来、この役割は会社に設置する「プロキシサーバー」や「URLフィルタリング装置」が担っていました。しかし箱を社内に置く方式では、社外で働くノートPCやスマホを守れません。Gatewayは検問所をCloudflareの世界規模ネットワーク上に置くため、端末がどこにあっても同じポリシーで守れます。これが前々ページで学んだSASEの発想です。
3層のフィルタリング
Gatewayの検査は、通信のどの段階で行うかによって3つの層に分かれています。
DNSフィルタリング：行き先の「名前」で止める
第1章で学んだとおり、端末がどこかへ接続するときは、まずDNSでドメイン名をIPアドレスに変換します。DNSフィルタリングは、この名前解決の段階で問い合わせ先を検査し、危険なドメインには答えを返さない方式です。
Cloudflareは膨大なインターネットの観測データから、フィッシング・マルウェア配布・詐欺などの危険ドメインを分類しています。さらに、アダルト・ギャンブルといった内容カテゴリでのブロックもできるため、「業務に不要なサイトの制限」や「子どもの端末の保護」にも使えます。接続の入口で止めるため軽量で、後述のとおり導入も最も簡単です。
ネットワークフィルタリング：宛先の「住所と窓口」で止める
DNSを使わない通信や、特定のポート・プロトコルを使う通信は、IPアドレス・ポート番号のレベルで検査します。「社外のSSH接続は禁止」「特定の国のIPアドレス宛ての通信を遮断」といった、通信の種類に着目したルールを書く層です。
HTTPフィルタリング：通信の「中身」まで検査する
最も深い層が、Webの通信内容そのものの検査です。URL単位の細かい制御、ダウンロードファイルのウイルススキャン、特定ファイル形式のブロック、そして次々ページで学ぶDLP（機密データの流出検知）もこの層で動きます。
ここで課題になるのが暗号化です。現代のWeb通信はほぼすべてHTTPSで暗号化されており、そのままでは中身を検査できません。そこでGatewayは、TLSインスペクションという仕組みを使います。Cloudflareがいったん通信を復号して検査し、再び暗号化して届ける方式で、利用するには各端末にCloudflareのルート証明書（検査を信頼するための証明書）をインストールしておく必要があります。第1章のSSL/TLSで学んだ証明書の知識が、ここでつながります。
端末をGatewayにつなぐ4つの方法
検問所がクラウドにあっても、通信がそこを通らなければ意味がありません。つなぎ方は主に4つあります。
- WARP（Cloudflare One Client）：端末にアプリを入れ、全通信をCloudflareへ送る方法。3層すべてが使え、端末ごとの識別もできる本命の方式です（詳細は次ページ）
- DNSロケーション：ルーターや端末のDNSサーバー設定を、発行された専用アドレスに変えるだけの方法。DNSフィルタリングのみですが、アプリのインストール不要で、家庭のルーターに設定すれば家中の機器がまとめて対象になります
- PACファイル／プロキシエンドポイント：ブラウザーの通信だけをGatewayに向ける方法（Webフィルタリング用途）
- 拠点トンネル：オフィスのネットワークごとCloudflareにつなぐ方法（Magic WANなど。第4章で触れます）
「まずルーターのDNS設定で家庭全体にDNSフィルタ、管理したい端末にはWARP」という段階的な導入が、個人・小規模チームの定石です。
具体例：無料でここまでできる
GatewayはCloudflare OneのFreeプラン（50ユーザーまで）に含まれており、DNS・ネットワーク・HTTPの各フィルタリングを試せます（ログ保存は24時間。2026年8月時点）。たとえば次のような構成が無料で組めます。
- 家庭のルーターにDNSロケーションを設定し、全端末でフィッシング・マルウェアサイトをブロック
- 子どもの端末は、時間帯を問わずアダルト・ギャンブルカテゴリもブロック
- 仕事用ノートPCにはWARPを入れ、ダウンロードファイルの検査まで実施
市販のフィルタリングソフトを買わずに、企業級のWebフィルタが手に入ると考えると、活用しない手はありません。
初心者が注意するポイント
- TLSインスペクションは準備してから：ルート証明書を配布せずにHTTPS検査を有効にすると、ブラウザーに警告が出て正常なサイトも開けなくなります。まずDNSフィルタリングから始め、HTTP検査は証明書配布とセットで導入してください
- 一部アプリは検査を嫌う：銀行アプリなど、通信の傍受を検出して動かなくなるアプリがあります。Gatewayには特定アプリ・サイトを検査対象から除外する設定があるので、動かないものは除外リストで逃がします
- 利用者への説明を忘れずに：会社で導入する場合、通信の検査は社員のプライバシーに関わります。何をどこまで見るのか、ポリシーを明文化して周知するのは技術以前の必須事項です
- ブロックしすぎは形骸化を招く：厳しすぎるフィルタは、利用者が個人スマホ回線へ逃げる原因になり、かえって統制が効かなくなります。まず「危険」カテゴリだけをブロックし、様子を見て広げるのが現実的です
関連サービス
- WARP（Cloudflare One Client）：Gatewayへ通信を送り届ける端末側の部品（次ページ）
- DLP：HTTPフィルタリングの上で動く機密データ検知（この章の最終ページ）
- DNS：DNSフィルタリングの前提知識（第1章）
- SSL/TLS：TLSインスペクションの前提知識（第1章）
まとめ
- Gatewayは、端末からインターネットへ出ていく通信を検査するSWG（Secure Web Gateway）
- 検査はDNS（行き先の名前）・ネットワーク（住所と窓口）・HTTP（中身）の3層構造
- HTTPSの中身を見るにはTLSインスペクションとルート証明書の配布が必要
- 接続方法はWARP・DNSロケーション・PACファイル・拠点トンネルの4つ。DNSロケーションなら設定変更だけで始められる
- Freeプランでも3層のフィルタリングが使え、家庭のフィルタリング用途にも実用的
次に読む
※本記事の情報は 2026年8月時点のものです。