Magic WAN・Transit・Firewallとは？

《 Cloudflare完全ガイド目次へ》

この章から第4章「ネットワークサービス」に入ります。第1章と第2章では「Webサイト」をCloudflareに載せて速く・安全にする話を、第3章では「社内のアプリと端末」をZero Trustで守る話をしてきました。この章で扱うのは、さらに土台にある「会社のネットワークそのもの」です。

その中心が、Magic Transit・Magic WAN・Magic Firewallという、いわゆる「Magic」の名を冠した3つのサービスです。いずれも企業向け（Enterprise契約）のため個人で触れる機会はほぼありませんが、「Cloudflareはネットワークごと載せ替えられる」という考え方はこのガイド全体の理解を深めてくれます。3つは常にセットで語られるので、このページで統合して解説します。

なお2026年8月時点で、このうち2つは名称が変わっています。Magic WANは「Cloudflare WAN」、Magic Firewallは「Cloudflare Network Firewall」が現在の正式名称です（Magic Transitは変更なし）。旧名称のほうが検索や解説記事では今も広く使われているため、本ページでは両方を併記します。

このページで分かること
前提：これまでと「レイヤー」が違う
3つのサービスの見取り図
Magic Transit：ネットワーク全体をDDoSから守る
Cloudflare WAN（旧Magic WAN）：拠点をつなぐ
Cloudflare Network Firewall（旧Magic Firewall）：パケットを検査する
どのプランで使えるか
初心者が注意するポイント
関連サービス
まとめ
次に読む

このページで分かること

これまでのページと「守る対象のレイヤー」がどう違うか
Magic Transit：ネットワーク全体をDDoSから守る仕組み
Cloudflare WAN（旧Magic WAN）：MPLSに代わる拠点間接続
Cloudflare Network Firewall（旧Magic Firewall）：クラウド型ファイアウォール
3つの役割分担と、Cloudflare One（SASE）との関係

前提：これまでと「レイヤー」が違う

第1章で学んだCDNやプロキシ、第2章のWAFは、いずれもHTTP・HTTPSというWeb通信を対象にしていました。ネットワークの階層でいうとアプリケーション層（レイヤー7）の話です。オレンジ雲を有効にしたドメイン宛てのWeb通信だけがCloudflareを通り、保護されます。

一方、企業のネットワークにはWeb以外の通信もたくさん流れています。メールサーバー、VPN装置、社内システム、拠点間のやり取りなど、その多くはHTTPではなくIPパケットのレベル、つまりネットワーク層（レイヤー3）で動いています。Magic系のサービスが扱うのはこちらです。

たとえるなら、これまでのページは「店舗（Webサイト）の警備と接客」の話でした。Magic系は「街の道路網そのもの」を対象にします。どの道を通すか、危険な車両をどこで止めるか、離れた街同士をどうつなぐか。この視点の切り替えが、このページの出発点です。

3つのサービスの見取り図

3つの役割は一言ずつで整理できます。

旧名称	現在の名称（2026年8月時点）	役割
Magic Transit	Magic Transit（変更なし）	ネットワーク全体をDDoSから守る
Magic WAN	Cloudflare WAN	拠点同士をつなぐ
Magic Firewall	Cloudflare Network Firewall	通るパケットを検査する

共通しているのは、従来なら自社のデータセンターに置いていた機材（DDoS対策装置・専用線・ファイアウォール）の仕事を、Cloudflareの世界規模ネットワークに肩代わりさせるという発想です。以下、1つずつ見ていきます。

Magic Transit：ネットワーク全体をDDoSから守る

第2章のDDoS対策のページで学んだ保護は、オレンジ雲を通るWeb通信が対象でした。しかし自社でIPアドレス範囲を保有する企業では、Webサーバー以外にもメール・VPN・独自プロトコルのサーバーなどが同じネットワークに並んでおり、これらへの攻撃はオレンジ雲では守れません。

Magic Transitは、この「ネットワーク全体」をDDoSから守るサービスです。仕組みの流れは次のとおりです。

経路の広報：企業が保有するIPアドレス範囲を、Cloudflareが世界中のデータセンターからBGP（インターネットの経路交換プロトコル）で広報します。すると、そのIPアドレス宛ての通信はすべて、送信元から見て最寄りのCloudflare拠点に流れ込むようになります（第1章で学んだAnycastの応用です）
攻撃の吸収：届いたパケットをCloudflareの端で検査し、DDoS攻撃を吸収・遮断します。攻撃が発生源の近くで分散処理されるため、自社回線に到達する前に無力化できます
正常な通信だけ届ける：残った正常なトラフィックを、GREまたはIPsecのトンネル、あるいは専用接続（Cloudflare Network Interconnect）で企業のネットワークへ届けます

導入形態には、インターネットから入ってくる通信だけを守るingress（イングレス）構成と、出ていく通信もCloudflare経由にするingress＋egress構成があります。また、自社のIPアドレス範囲（経路広報できる単位のブロック）を保有していることが前提のサービスなので、対象は中規模以上の企業や通信事業者、ゲーム会社などが中心です。

Cloudflare WAN（旧Magic WAN）：拠点をつなぐ

WAN（Wide Area Network）とは、本社・支社・データセンターなど離れた拠点同士を結ぶネットワークのことです。従来の企業WANは、通信事業者のMPLSという専用線サービスを契約するか、拠点間にVPN装置を並べて相互接続するのが定番でした。前者は高価で開通に時間がかかり、後者は拠点が増えるほど設定が複雑化します。しかも多くの構成では、地方拠点の通信がいったん本社（ハブ）を経由するため、クラウド全盛の現在では遠回りが増える一方です。

Cloudflare WANは、この拠点間接続をCloudflareのネットワークに置き換えるサービスです。各拠点は最寄りのCloudflareデータセンターへトンネルを張るだけでよく、拠点同士の通信はCloudflareの内部網が最短経路で運びます。接続方法（オンランプと呼びます）は複数用意されています。

AnycastのGRE / IPsecトンネル：既存のルーターから張る基本の方法
Cloudflare One Appliance：拠点に置くだけで自動接続する小型機器（旧称Magic WAN Connector。2026年1月にダッシュボード上の名称が「Appliances」に変わりました）
Cloudflare Network Interconnect：データセンターとの物理・仮想の直接接続
WARP：第3章で学んだ端末用クライアント。社外で働く個人の端末も同じ網に参加できます

重要なのは、こうして全拠点・全端末の通信がCloudflareを通ることで、第3章で学んだGatewayのフィルタリングやZero Trustのポリシーを一箇所で適用できるようになる点です。Cloudflare Oneのページで紹介したSASEという考え方の、「ネットワーク側の部品」がこのCloudflare WANです。

Cloudflare Network Firewall（旧Magic Firewall）：パケットを検査する

3つ目は、ネットワークを通るパケットをルールで検査するファイアウォールです。従来は各拠点の出入口にファイアウォール機器を設置し、1台ずつルールを管理していました。Cloudflare Network Firewallはこれをクラウド側に移した、FWaaS（Firewall as a Service）と呼ばれる形態です。

Magic TransitまたはCloudflare WANを契約すると、標準機能として付いてきます
プロトコル・ポート番号・IPアドレス・パケット長などの条件でフィルタルールを書けます
ルールはCloudflareの全データセンターに1分未満で反映されます。世界中の拠点に同じルールが一斉適用されるため、機器ごとの設定ズレが起きません
上位のアドバンス機能では、カスタムIPリスト・脅威インテリジェンスリスト（ボットネットやマルウェアの既知の発信元）・国別ブロック・ASN単位のフィルタ・パケットキャプチャ・IDS（侵入検知）などが追加できます

第2章で学んだWAFが「HTTPの中身」を見るのに対し、こちらは「IPパケットの属性」を見る、より低いレイヤーの防御です。名前は似ていますが守備範囲が異なり、企業では両方を併用します。

どのプランで使えるか

3つともEnterprise契約専用です（2026年8月時点）。Free・Pro・Businessプランのダッシュボードには登場せず、料金も個別見積もりです。このガイドで扱ってきたサービスの中では、もっとも「大企業向け」に寄った領域といえます。

個人や小規模チームが同じ発想を無料で体験するなら、第3章の組み合わせが事実上の縮小版になります。Cloudflare Tunnelでサーバーをつなぎ、WARPで端末をつなぎ、Gatewayでフィルタする構成は、「ネットワークをCloudflareに寄せる」という同じ思想を無料枠で実現したものです。

初心者が注意するポイント

新旧の名称が混在しています：検索するとMagic WAN・Magic Firewallの旧名称の記事が多数見つかります。現在の正式名称はCloudflare WANとCloudflare Network Firewallで、ダッシュボードのメニューも2026年1月に製品名ベースから機能ベース（Routes・Connectorsなど）へ再編されました。古い記事の画面写真とは配置が異なる場合があります
WAF・CDNとはレイヤーが違います：WAFはHTTPの中身を見るレイヤー7、Network FirewallはIPパケットを見るレイヤー3の防御です。「どちらかがあれば十分」という関係ではありません
オレンジ雲とは別の仕組みです：第1章のプロキシはドメイン単位・Web通信だけの話でした。Magic系はIPアドレス範囲ごとネットワークを預ける仕組みで、導入の規模感がまったく異なります
個人サイト運営には出番がありません：このページは「読んで概念を知る」で十分です。企業のネットワーク担当になったとき、あるいはSASEやSD-WANという言葉に出会ったときに思い出してください

まとめ

Magic系3サービスは、企業ネットワークの機材の仕事をCloudflareの世界規模ネットワークへ移すEnterprise向けサービス群
Magic Transitは、BGPとAnycastで自社IPアドレス範囲宛ての通信をCloudflareに引き込み、ネットワーク全体をDDoSから守る
Cloudflare WAN（旧Magic WAN）は、MPLSやVPN装置に代わって拠点間をCloudflare経由で接続し、Zero Trustポリシーの一元適用を可能にする
Cloudflare Network Firewall（旧Magic Firewall）は、パケットをルールで検査するクラウド型ファイアウォール。TransitまたはWANに標準付属
個人・小規模ではTunnel＋WARP＋Gatewayが同じ思想の縮小版になる

次に読む

→ ガイドの目次に戻る

※本記事の情報は 2026年8月時点のものです。