前のページで、Accessの効果はオリジン（守られる側のサーバー）を直接公開しないことが前提だと述べました。それを実現するのがCloudflare Tunnel（クラウドフレア・トンネル）です。サーバーやNASを、ルーターのポート開放なしでCloudflare経由で公開できる仕組みで、自宅サーバー派にとってはCloudflareでも屈指の人気機能です。
このページでは、そもそもポート開放の何が危険なのかから始めて、Tunnelがその問題をどう根本から消してしまうのかを見ていきます。
このページで分かること
- ポート開放とは何か、なぜ危険なのか
- Tunnelの仕組み（外向き接続だけで公開が成立する理由）
- 公開できるもの（Webアプリ・SSH・プライベートネットワーク）
- Accessと組み合わせた定番構成
- 料金と初心者が注意するポイント
ポート開放とは何か、なぜ危険なのか
外から届くように「壁に穴を開ける」
自宅のNASやサーバーを外から使いたいとき、伝統的な方法はルーターのポート開放（ポートフォワーディング）でした。ルーターは通常、外から内への通信をすべて遮断しています。そこに「ポート443番宛てに来た通信はNASに転送する」という穴を開けるのがポート開放です。
これで目的は果たせますが、代償があります。開けた穴は、あなたの友人にも攻撃者にも平等に見えるのです。
- 常時スキャンされている：インターネット全体を機械的に走査して「開いているポート」を探すスキャンは、24時間365日行われています。公開した瞬間から、NASのログイン画面は世界中の総当たり攻撃の的になります
- 脆弱性が命取りになる：公開している機器やソフトに脆弱性が見つかると、修正パッチを当てるまでの間、無防備な状態が続きます。NAS製品を狙うランサムウェア被害の多くがこの経路です
- 自宅のIPアドレスが露出する：DNSに自宅の回線のIPアドレスを直接登録することになり、住所ならぬ「ネット上の所在地」が知られてしまいます
Cloudflare Tunnelの仕組み
内側から外へ「電話をかけておく」
Tunnelは、この問題を「外から入る穴を一切開けない」ことで解決します。鍵になるのは通信の向きです。
サーバーやNASにcloudflared（クラウドフレアード）という小さなプログラムをインストールすると、cloudflaredはサーバー側からCloudflareのネットワークへ外向きに接続し、その接続を維持し続けます。ルーターやファイアウォールは、内から外への通信は基本的に許可するので、設定変更は不要です。
たとえるなら、こちらからCloudflareに電話をかけて、切らずにつないだままにしておくイメージです。外部の利用者があなたのサイト（例：nas.example.com）にアクセスすると、リクエストはまずCloudflareに届き、Cloudflareはこの「つながったままの電話」を通してサーバーに用件を伝えます。応答も同じ経路を戻ります。確立済みの接続の上では双方向に通信できるため、外から穴を開けなくても公開が成立するのです。
この構成では、次のことが同時に達成されます。
- ルーターのポートはすべて閉じたまま。スキャンしても何も見つからない
- DNSにはCloudflareのアドレスだけが載り、自宅のIPアドレスは公開されない
- すべてのアクセスが必ずCloudflareを通るため、第2章で学んだWAF・DDoS対策・ボット対策と、前ページのAccessが確実に適用される（プロキシを迂回してオリジンを直接叩く攻撃が原理的に不可能になる）
なお、cloudflaredはCloudflare側の複数のデータセンターに冗長に接続するため、1本の接続や1拠点の障害では切れない作りになっています。
何を公開・接続できるか
Tunnelで通せるのはWebサイトだけではありません。
- Webアプリ（HTTP/HTTPS）：NASの管理画面、自宅サーバーのWebアプリ、開発中のサイトなど。もっとも基本的な使い方です
- SSH・RDP：サーバーの遠隔操作（SSH）やリモートデスクトップ（RDP)もトンネル経由にでき、Accessの認証をかけられます
- プライベートネットワーク全体：特定のアプリを「公開」するのではなく、自宅・社内のネットワーク帯域全体をトンネルでCloudflareにつなぎ、WARPを入れた端末からだけ届くようにする使い方です。従来の拠点間VPNの置き換えにあたります（WARPは2ページ後で扱います）
トンネルの設定は、現在はCloudflare Oneのダッシュボード上で作成・管理する方式（リモート管理）が標準です。サーバー側の設定ファイル（config.yml）で管理する従来方式も残っていますが、初心者はダッシュボード方式で始めるのがよいでしょう。
定番構成：Tunnel＋Access
Tunnelはあくまで「通信の経路」であり、それ自体は誰を通すかを選びません。トンネルで公開したURLは、そのままでは誰でも開けます。そこで前ページのAccessと組み合わせるのが定番です。
- Tunnelで nas.example.com をNASの管理画面につなぐ（ポート開放なし・IP非公開）
- Accessで nas.example.com を保護し、自分のメールアドレスだけをAllowにする
これで「経路は隠し、入口では認証する」というZero Trustの基本形が完成します。この2つはどちらもCloudflare OneのFreeプラン（50ユーザーまで無料）の範囲で、Tunnel自体の利用も無料です（2026年8月時点）。
初心者が注意するポイント
- Tunnel単体では認証がない：繰り返しになりますが、公開した時点で誰でもアクセスできます。管理画面などを通す場合は、必ずAccessをセットで設定してください
- ドメインが必要：トンネルに名前を付けて公開するには、Cloudflareで管理しているドメインが必要です（第1章のドメイン・DNSの知識がそのまま使えます）。お試しには、ドメイン不要で一時URLを発行するクイックトンネル（trycloudflare.com）という機能もあります
- cloudflaredの更新を忘れずに：サーバー側に常駐するプログラムなので、ほかのソフト同様に更新が必要です。多くのNAS向け手順ではコンテナ（Docker）で動かすため、コンテナの更新運用に載せるのが楽です
- 通すものの規約は確認を：Tunnelを含むCloudflareのプロキシ経由で大量の動画・大容量ファイル配信を行う場合は、プラン・サービスごとの利用条件に注意してください（第1章のCDNのページで触れた考え方と同じです）
- 回線が落ちれば届かない：当然ながら、トンネルの元となる自宅・社内の回線やサーバーが停止すればアクセスできません。Tunnelは可用性の仕組みではなく、安全な経路の仕組みです
関連サービス
- Cloudflare Access：Tunnelとセットで使う認証の門番（前ページ）
- WARP（Cloudflare One Client）：プライベートネットワーク接続の端末側部品（2ページ後）
- Cloudflareのプロキシ：Tunnelの土台となる「必ずCloudflareを通す」考え方（第1章）
- DNS：トンネルへのルーティングはDNSレコードで行われます（第1章）
まとめ
- ポート開放は「外から入れる穴」を開ける方式で、常時スキャン・脆弱性攻撃・IP露出のリスクを伴う
- Tunnelはサーバー側のcloudflaredがCloudflareへ外向きに接続を張り続けることで、穴を開けずに公開を成立させる
- ポートは全閉・IPは非公開のまま、WAFやAccessなどCloudflareの防御が必ず適用される経路になる
- Webアプリのほか、SSH・RDP・プライベートネットワーク全体も接続できる
- Tunnelは無料。「Tunnelで経路を隠し、Accessで入口を守る」が定番構成
次に読む
※本記事の情報は 2026年8月時点のものです。