OpenAICloudflare Developer Platform2026/05/21 0:00

Workers VPC - Reach Cloudflare WAN destinations from Workers VPC

要点だけを先に読めるように短く再構成したセクションです。

元記事

OpenAI Claude

Quick Digest

要約

要点だけを先に読めるように短く再構成したセクションです。

openaijamodel: gpt-5-mini-2025-08-07

Workers VPC — Workers VPC から Cloudflare WAN 宛先へ到達

workers vpc cloudflare-wan wrangler ipsec

Key Points

cf1:networkでプライベート全体に到達
Tunnel/Mesh/オンランプを単一バインディングで統合
オンランプはCloudflareソースIPのリターンが必須

Summary

Workers の VPC Network バインディングで network_id: "cf1:network" を指定すると、Workers から Cloudflare Mesh ノード、Cloudflare Tunnel 経由のサブネット/ホスト名ルート、そして Cloudflare WAN のオンランプ（GRE/IPsec/CNI）へ直接ルーティングできます。単一の VPC Network バインディングで、接続方法に依存せずプライベートサービスへ到達可能になります。

Key Points

設定: wrangler の VPC 設定に network_id: "cf1:network" と remote = true を追加してバインドします（例: binding: "PRIVATE_NETWORK"）。
対応先: Cloudflare Mesh ノード、Cloudflare Tunnel がアナウンスするサブネット/ホスト、GRE/IPsec/CNI の WAN オンランプをサポート。
実行時: 宛先は env.PRIVATE_NETWORK.fetch("http://10.50.0.100:8080/api") のように fetch() の URL で決まります。
重要な運用要件: WAN オンランプ経由の宛先では、Cloudflare のソース IP 範囲がオンランプ経路に戻るようにルーティングを構成する必要があります（応答トラフィックが Cloudflare に戻らないとステートフルなフローは失敗します）。
ドキュメント: 詳細な構成オプションは VPC Networks のドキュメントを参照してください。

実務向けには、wrangler 設定とオンランプ側のリターンルート（Cloudflare ソース IP）を確認してからデプロイしてください。

Full Translation

翻訳

原文の流れを保ったまま読める翻訳セクションです。

openaijamodel: gpt-5-mini-2025-08-07

Workers VPC — Workers VPC から Cloudflare WAN の宛先に到達する

公開日: 2026-05-21

Cloudflare の VPC Network バインディングで network_id: "cf1:network" を使用すると、Workers からプライベートネットワーク全体に到達できるようになりました。到達可能な宛先には以下が含まれます:

Cloudflare Mesh ノードおよびクライアントデバイス
Cloudflare Tunnel または Cloudflare Mesh を通じてアナウンスされたサブネットルートおよびホスト名ルート
Cloudflare WAN のオンランプ（GRE、IPsec、CNI）経由で接続された宛先

これにより、単一の VPC Network バインディングで、Cloudflare Tunnel（クラウド VPC から）やプライベートサブネット上の Mesh ノード、データセンターや拠点からの Cloudflare WAN オンランプ経由など、サービスがどのように Cloudflare に接続されているかに関わらず、Worker のリクエストをプライベートサービスにルーティングできます。

wrangler.jsonc

{
 " vpc_networks " : [
   {
     " binding " : "PRIVATE_NETWORK" ,
     " network_id " : "cf1:network" ,
     " remote " : true ,
   },
 ],
}

wrangler.toml

[[ vpc_networks ]]
binding = "PRIVATE_NETWORK"
network_id = "cf1:network"
remote = true

実行時には、fetch() に渡す URL によって宛先が決まります:

JavaScript

// Reach a service behind a Cloudflare WAN IPsec on-ramp
const response = await env . PRIVATE_NETWORK . fetch ( "http://10.50.0.100:8080/api" ) ;

注意

Cloudflare WAN のオンランプ（GRE、IPsec、CNI）の背後にある宛先については、返信トラフィックがオンランプ経由で Cloudflare に戻るように、ネットワークが Cloudflare ソース IP 範囲をオンランプに戻すルートを設定している必要があります。このルートがないと、ステートフルなフローは失敗します。これは標準的な Cloudflare WAN のオンボーディングの一部です。

設定オプションについては、VPC Networks を参照してください。