前のページ「CDNとは？キャッシュ配信の仕組み」の最後に、CloudflareのCDNは「DNSレコードのプロキシを有効にするだけで動き出す」と書きました。Cloudflareのダッシュボードを開くと、DNSレコードの横にオレンジ色の雲のマークが表示されます。これがプロキシの有効・無効を切り替えるスイッチで、通称「オレンジ雲」と呼ばれています。
この小さな雲のマークこそ、Cloudflareのほぼすべての機能の入口です。CDNも、この後の章で学ぶWAFもDDoS対策も、雲がオレンジであってはじめて働きます。このページでは、オレンジ雲をオンにしたとき裏側で何が起きているのかを理解します。
このページで分かること
- プロキシ（リバースプロキシ）とは何か
- オレンジ雲（Proxied）とグレー雲（DNS only）で通信経路がどう変わるか
- 世界中どこからでも最寄りのCloudflareにつながる仕組み（Anycast）
- プロキシを有効にすると使えるようになる機能
- プロキシできるレコードの種類と、通信の制限・注意点
プロキシとは
訪問者とサーバーの間に立つ「代理人」
プロキシ（proxy）は「代理」という意味で、通信の間に立って両者を仲介するサーバーを指します。なかでもCloudflareのように、Webサイト側の代理として訪問者からの接続をすべて受け付けるものをリバースプロキシと呼びます。
プロキシが有効なとき、訪問者はオリジンサーバー（自分のサーバー）に直接接続しません。代わりにCloudflareのエッジサーバーに接続し、Cloudflareが必要に応じてオリジンサーバーへ問い合わせて、結果を訪問者に返します。会社の代表電話に例えると、外からの電話（リクエスト）をすべて受付が取り、迷惑電話は断り、よくある質問には受付がその場で答え（キャッシュ）、必要なものだけ担当者（オリジンサーバー）に取り次ぐイメージです。
オレンジ雲とグレー雲
Cloudflareの各DNSレコードには、プロキシ状態（Proxy status）という設定があります。
- Proxied（オレンジ雲）：プロキシ有効。DNSの問い合わせに対して、Cloudflareはオリジンサーバーの本当のIPアドレスではなく、CloudflareのIPアドレスを返します。訪問者の通信はすべてCloudflareを経由してからオリジンサーバーに届きます
- DNS only（グレー雲）：プロキシ無効。Cloudflareは登録されたIPアドレスをそのまま返す、普通の権威DNSとして働きます。通信は訪問者からオリジンサーバーへ直接流れ、Cloudflareは経路に関与しません
ここで大事なのは、オレンジ雲のときDNSが返すIPアドレスが「Cloudflareのもの」に置き換わる、という点です。訪問者から見えるのはCloudflareのIPアドレスだけで、オリジンサーバーの本当のIPアドレスは公開されなくなります。自宅のNASやサーバーを公開する場合、自宅回線のIPアドレスを世界にさらさずに済むということです。
Anycast：世界中で同じ住所を名乗る
「Cloudflareを経由すると遅くなるのでは？」という疑問には、Anycast（エニーキャスト）という技術が答えになります。
Cloudflareは、同じIPアドレスを世界330以上の都市すべてのデータセンターから同時に広告しています。インターネットの経路制御の仕組みにより、訪問者のパケットは自動的にネットワーク上で最寄りのデータセンターへ届きます。東京の訪問者もロンドンの訪問者も、同じIPアドレス宛てに接続しているのに、実際にはそれぞれの近くのCloudflareにつながっているのです。
前のページで「訪問者にいちばん近いエッジサーバーが応答する」と説明した仕組みの実体がこれです。特別な振り分けサーバーがあるのではなく、住所（IPアドレス）そのものが「最寄りの窓口」を指すようになっています。
オレンジ雲で有効になる機能
プロキシを有効にすると、すべての通信がCloudflareを通過するようになります。通り道になるからこそ、Cloudflareはそこで仕事ができます。
- CDNキャッシュ：前のページで学んだキャッシュ配信。エッジサーバーが静的ファイルを肩代わりして返します
- DDoS対策：攻撃のトラフィックをオリジンサーバーに届く前に吸収・遮断します（第2章で詳述）
- WAF：不正なリクエストを検査してブロックします（第2章で詳述）
- SSL/TLS：訪問者との通信を暗号化します（次のページで詳述）
- 各種ルール：リダイレクト、ヘッダーの書き換え、国別のアクセス制御など
逆に言えば、グレー雲のレコードにはこれらが一切働きません。「Cloudflareに登録したのに守られていなかった」というケースの多くは、レコードがグレー雲のままだった、という単純な原因です。
プロキシの対象と制限
オレンジ雲は万能ではありません。対象と制限を正しく知っておくことが、トラブル回避の近道です。
プロキシできるのはWebトラフィックだけ
- プロキシを有効にできるのは、AレコードとAAAAレコード、CNAMEレコードだけです
- 通せるのはHTTP・HTTPS（Webの通信）だけです。SSH・FTP・ゲームサーバーなど他のプロトコルは、オレンジ雲のホスト名経由では接続できなくなります
- 対応ポートも限られます（80番・443番など一部のみ）。それ以外のポートへの通信は届きません
- メールを届け先に案内するMXレコードは、そもそもプロキシの対象外です。さらに注意が必要なのは、MXレコードの参照先になっているAレコード（mail.example.com など）です。これをオレンジ雲にすると、メールの通信（SMTPなど）がCloudflareを通れず、メールが届かなくなります。メール関連のホスト名は必ずグレー雲にしてください
なお、HTTP以外のプロトコルをCloudflare経由で保護したい場合のために、Spectrumというサービスが別途用意されています（第4章で扱います）。
通信の上限値
プロキシ経由の通信には、いくつかの上限があります（2026年8月時点）。
- アップロードサイズ：1リクエストあたり Free・Proプランで100MB、Businessで200MBまで。大容量ファイルのアップロード機能があるサイトでは、分割アップロードにするか、該当ホスト名をグレー雲にする対処が必要です
- 応答待ち時間：オリジンサーバーが約125秒以内に応答を返さないと、Cloudflareは打ち切ってエラー（524）を返します。時間のかかるバッチ処理や巨大なデータ出力があるシステムは注意が必要です
本当のIPアドレスの隠蔽は「補助的な防御」
オレンジ雲によってオリジンサーバーのIPアドレスは公開されなくなりますが、過去のDNS記録が第三者のデータベースに残っていたり、サーバーが送るメールのヘッダーから漏れたりと、別経路で知られる可能性は残ります。IPアドレスを知っている攻撃者は、Cloudflareを素通りしてオリジンサーバーを直接攻撃できてしまいます。
このため本格的な防御では、オリジンサーバー側でも「Cloudflareからの接続以外は受け付けない」制限をかけるのが定石です。Cloudflareは接続元となるIPアドレスの一覧を公開しており、ファイアウォールでそれ以外を遮断できます。さらに進んだ方法として、そもそも外からの接続口を開けないCloudflare Tunnel（第3章）もあります。
具体例：ブログとNASを運用する場合
「kaylog.io」でブログを、「nas.kaylog.io」で自宅NASの写真共有を、メールも独自ドメインで使っている場合を考えます。
- kaylog.io と www（ブログ）：オレンジ雲。CDN・セキュリティの恩恵をフルに受けます
- nas.kaylog.io（NASのWeb画面）：オレンジ雲。自宅回線のIPアドレスを隠せます。ただしWeb画面（HTTPS）だけが対象で、NASへのSSH接続などは通りません
- mail.kaylog.io とMXレコード：グレー雲。メールはプロキシを通れないため、オレンジにすると届かなくなります
このように、ホスト名ごとに「Webとして公開するものはオレンジ、それ以外はグレー」と使い分けるのが基本形です。
初心者が注意するポイント
- 迷ったら「Webはオレンジ、メールとその他はグレー」：特にメール関連のレコードをオレンジ雲にする事故は定番中の定番です。メールが届かなくなったら、まず雲の色を確認してください
- グレー雲は「Cloudflareに守られていない」状態：DNSの応答はしますが、CDNもWAFも働かず、IPアドレスも公開されます。守りたいレコードの雲の色は必ず確認しましょう
- オレンジ雲にした直後の不調は切り分けを：ポート番号やプロトコルが対応外というだけのことがよくあります。一時的にグレー雲へ戻すと、Cloudflareが原因かどうかを切り分けられます
- オリジンサーバーのアクセスログの見え方が変わる：プロキシ経由の接続はCloudflareのIPアドレスから来るため、そのままでは訪問者全員が同じIPアドレスに見えます。訪問者の本来のIPアドレスはリクエストヘッダーで渡されるので、サーバー側で復元の設定をします（実践ページで扱います）
関連サービス
- Cloudflare Spectrum：HTTP以外のTCP/UDPアプリケーションもプロキシできるサービス。第4章で解説します
- Cloudflare Tunnel：オリジンサーバーから外への接続だけでCloudflareとつなぎ、ポート開放そのものを不要にするサービス。第3章で解説します
- Load Balancing：複数のオリジンサーバーへの負荷分散。第4章で解説します
まとめ
- プロキシはWebサイト側の代理人（リバースプロキシ）として、訪問者との間にCloudflareを挟む仕組み
- オレンジ雲＝プロキシ有効。DNSはCloudflareのIPアドレスを返し、全通信がCloudflareを経由する
- グレー雲＝DNS only。ただの名前解決で、Cloudflareの機能は一切働かない
- Anycastにより、世界中の訪問者が自動的に最寄りのCloudflare拠点へつながる
- CDN・WAF・DDoS対策・SSLは、すべてオレンジ雲が前提
- 対象はWebの通信のみ。メール関連レコードは必ずグレー雲にする
次に読む
※本記事の情報は 2026年8月時点のものです。