前のページでは、企業ネットワークを丸ごとCloudflareに載せるMagic系サービスを見ました。いずれもEnterprise契約が前提の大がかりな仕組みでしたが、「HTTPではない通信を守りたい」という場面は、もっと小さな規模でも起こります。ゲームサーバー、SSH、メールサーバーなどです。
このページで扱うSpectrum（スペクトラム）は、そうしたTCP/UDPのアプリケーションを1つ単位でCloudflareに載せられるサービスです。第1章で学んだ「オレンジ雲」の考え方を、Web以外の通信へ広げたものと考えると理解しやすくなります。
このページで分かること
- オレンジ雲（通常のプロキシ）がHTTP以外を守れない理由
- Spectrumの仕組み：レイヤー4のリバースプロキシ
- 守れるもの：DDoS対策・IPアドレスの隠蔽
- プラン別に使える範囲（Pro / Business / Enterprise）
- Magic TransitやCloudflare Tunnelとの使い分け
オレンジ雲の弱点：HTTP以外は守れない
第1章のプロキシのページで学んだとおり、オレンジ雲を有効にしたドメインへの通信はCloudflareが代理で受け、CDN・WAF・DDoS対策が働きます。ただしこの仕組みが前提にしているのは、HTTP・HTTPSというWebの通信です。
ところがサーバーで動くのはWebだけではありません。SSH（サーバーの遠隔操作）、ゲームサーバー、メール、リモートデスクトップなどは、HTTPとは別のプロトコルとポートで通信します。これらのDNSレコードはオレンジ雲にできず、グレー雲（DNS only）で運用するしかありませんでした。つまりサーバーのIPアドレスが世界に公開され、DDoS攻撃にも無防備なままです。
とくにオンラインゲームの世界では、対戦相手への嫌がらせ目的のDDoS攻撃が長年の問題でした。Webサイトは守れるのにゲームサーバーは守れない。この穴を埋めるのがSpectrumです。
Spectrumとは：レイヤー4のリバースプロキシ
Spectrumは、TCP/UDPの通信をCloudflareが代理で受けて中継する、レイヤー4（トランスポート層）のリバースプロキシです。通常のプロキシがHTTPの中身を理解した上で処理する（レイヤー7）のに対し、Spectrumは中身が何のアプリケーションかを問わず、TCP/UDPの流れとしてそのまま運びます。だからSSHでもゲームでもメールでも扱えるわけです。
使い方は「アプリケーション」を登録するだけです。対象のドメイン、Cloudflare側で待ち受けるポート（エッジポート）、転送先のオリジンサーバーを指定すると、次の流れで通信が守られます。
- 利用者はドメイン名で接続します。DNSはCloudflareのIPアドレスを返し、通信はAnycastで最寄りのCloudflareデータセンターに届きます
- Cloudflareの端でレイヤー3/4のDDoS攻撃を吸収・遮断します。第2章で学んだDDoS対策と同じ基盤です
- 正常な通信だけがオリジンサーバーへ中継されます
これで得られるものは主に2つです。1つはDDoS対策。もう1つはIPアドレスの隠蔽で、外部から見えるのはCloudflareのIPアドレスだけになり、オリジンを直接狙った攻撃ができなくなります。このほか、TCPアプリではTLS終端（暗号化をCloudflare側で処理）やArgo Smart Routingによる経路最適化も利用できます（後述のとおり一部はEnterprise限定です）。
どのプランで使えるか
Spectrumは有料プラン向けの機能です（2026年8月時点。Freeプランでは使えません）。
- Pro：SSHとMinecraftサーバーに対応。月5GBまでのデータ転送が無料
- Business：上記に加えてRDP（リモートデスクトップ）に対応。月10GBまで無料
- Enterprise（アドオン契約）：任意のTCP/UDPアプリケーション・全ポートに対応
無料枠を超えた分はGB単位の従量課金になります。またオリジンのポート自由指定・Proxy Protocol・IPアクセスルール・TLS終端の詳細設定・Argo Smart RoutingといったオプションはEnterprise限定です。Pro/Businessは「決まった用途を手軽に守る」、Enterpriseは「何でも載せられる」という住み分けです。
Magic Transitとの違い
前のページのMagic Transitも「Web以外をDDoSから守る」サービスでした。違いは守る単位です。
| Spectrum | Magic Transit | |
|---|---|---|
| 守る単位 | アプリ1つ（ドメイン＋ポート） | ネットワーク全体（IPアドレス範囲） |
| 前提条件 | Cloudflareで管理するドメイン | 自社保有のIPアドレスブロック |
| 主な対象 | ゲームサーバー・SSHなど個別サービス | 企業・通信事業者のインフラ |
| プラン | Pro以上（対応は限定的）〜Enterprise | Enterprise |
自社のIPアドレス範囲を持たなくても、ドメインさえCloudflareにあれば使えるのがSpectrumの手軽さです。逆に、守りたいものがサーバー数十台のネットワーク全体なら、アプリを1つずつ登録するSpectrumでは追いつかず、Magic Transitの出番になります。
初心者が注意するポイント
- 自分だけが使うSSHならTunnelが本命です：Spectrumが向くのは、ゲームサーバーのように「不特定多数がTCP/UDPで接続してくる」サービスです。自分や社内のメンバーだけが使うSSH・リモートデスクトップ・NASであれば、第3章で学んだCloudflare TunnelとAccessの組み合わせが無料で使えて、認証まで掛けられます
- オリジンからは接続元がCloudflareに見えます：代理で受ける仕組み上、サーバー側のログにはCloudflareのIPアドレスが記録されます。接続元IPで利用者を識別する機能（ゲームのBAN機能など）には、Proxy Protocol（Enterprise）などの対応が必要です
- データ転送量ベースの課金に注意：ゲームや配信のようにデータ量が多い用途では、無料枠をすぐ超えます。転送量の見積もりを先に立ててください
- UDPや任意ポートはEnterpriseです：Pro/Businessで使えるのはSSH・Minecraft・RDPという決まった用途だけです。「何でも載せられる」と期待して契約しないよう注意してください
関連サービス
- プロキシ（オレンジ雲）：Web通信版の同じ考え方。Spectrumはこれのレイヤー4版（第1章）
- DDoS Protection：Spectrumの防御の土台（第2章）
- Magic Transit：ネットワーク全体を守る大規模版（前ページ）
- Cloudflare Tunnel：利用者が限られるサービスの公開はこちらが無料で安全（第3章）
- Load Balancing：複数サーバーへの振り分け。Spectrumと組み合わせ可能（次ページ）
まとめ
- Spectrumは、TCP/UDPアプリをCloudflare経由にするレイヤー4のリバースプロキシ
- オレンジ雲では守れなかったSSH・ゲームサーバー・メールなどにDDoS対策とIP隠蔽を提供する
- ドメインとエッジポートを指定して「アプリケーション」を登録するだけで使える
- ProはSSH・Minecraft、BusinessはさらにRDPに対応し、無料転送枠を超えると従量課金。任意のTCP/UDPはEnterpriseのアドオン
- 利用者が限られる用途はTunnel＋Access、ネットワーク全体はMagic Transitと使い分ける
次に読む
※本記事の情報は 2026年8月時点のものです。