TYO Reach vs Cloudflare Access
Cloudflare Access（Zero Trustの一部）は、内部アプリの前にログインの壁を設置します。TYO Reachは、パブリックインターネットへ向かう通信のために、管理された出口ポイントをチームに提供します。両者は接続の反対側を保護します。
インバウンド保護 vs アウトバウンド制御
Cloudflare Access — インターネットからアプリを保護
Accessは、内部ツールの前にCloudflareを配置します。チームメンバーがアプリのURLにアクセスすると、Cloudflareが割り込み、IdP（Google、Okta、Azure AD）を介してIDを検証し、合格した場合のみアクセスを許可します。アプリが直接攻撃を受けることはありません。
TYO Reach — 通信の出口を制御
Reachは、チームのデバイスとパブリックインターネットの間に位置します。すべてのブラウザおよびアプリの通信は、固定されたゲートウェイIPから出力されます。外部のSaaSツールからは、ユーザーの自宅IPではなく、そのIPが見えます。Reachはログイン時にMFAを強制し、ルーティングルールを一元的に設定できます。
並べて比較
| Feature | TYO Reach | Cloudflare Access |
|---|---|---|
| チームのアウトバウンド通信用静的出口IPCF: 専用出口IPはEnterpriseプランのみ | はい | 一部 |
| インターネットゲートウェイ — アウトバウンドルーティング制御CF: WARP + Gatewayは利用可能だが設定が複雑 | はい | 一部 |
| ID認識プロキシによる内部アプリの保護Reachはインバウンドリクエストからアプリを保護しない | いいえ | はい |
| IdP連携 (Google, Okta, Azure AD) | 近日対応 | はい |
| すべてのログインにMFAを適用 | はい | はい |
| アプリ別ドメインルーティングルールCF: Gateway DNS/HTTPポリシー経由 | はい | はい |
| オーストラリアでホストされたIDCloudflareのIDは米国ホスト | はい | いいえ |
| 管理対象マシンで動作（カーネルドライバ不要）CF: WARPクライアントはカーネルレベルのネットワークアダプタをインストール | はい | 一部 |
| 個人/パーソナルプランCloudflareはチーム専用製品 | はい | いいえ |
| 無料ティア（小規模チーム） | はい（個人2 GB） | はい（50ユーザーまで） |
| 監査ログ | 近日対応 | はい |
| デバイスポスチャチェック | いいえ | はい |
| プライベートLANへのネットワークトンネルCF: Cloudflare Tunnel; Reach ZTNAは近日対応 | 近日対応 | はい |
| 価格 | シート単位（SMB向け価格） | 50ユーザーまで無料; $7/ユーザー/月 従量課金; Enterpriseはカスタム |
どちらを選ぶべきか
Reachを選ぶべき場合…
SaaSのIP許可リスト、APACの地理的要件、または制御された出口ポリシーのために、チームの通信を静的で監査可能なIPアドレスから出力する必要がある場合。また、WARPのカーネルドライバがブロックされるエンドポイント保護されたWindowsマシンを使用している場合にも最適です。
Cloudflare Accessを選ぶべき場合…
内部ツール（Wiki、開発環境、管理パネルなど）をセルフホストしており、ファイアウォールのポートを開かずにSSOの背後に隠す必要がある場合。CloudflareのインバウンドIDプロキシは、このユースケースにおいてクラス最高です。
両方を使うべき場合…
成熟したチームの多くは両方を使用しています。Cloudflare Accessはインバウンドの内部アプリを保護し、Reachはチームのアウトバウンド通信の出口を管理します。両者は自然に補完し合います。
Cloudflare GatewayはTYO Reachを置き換えられますか？
Cloudflare Gateway（Zero Trustのアウトバウンドフィルタリング機能）はReachのルーティング機能と重複しますが、WARPクライアント（エンドポイント保護されたマシンで頻繁にブロックされるカーネルレベルのネットワークアダプタ）が必要です。Reachは管理者権限やカーネルモジュールなしで動作するユーザー空間プロキシのアプローチを採用しています。また、GatewayはCloudflareをDNSリゾルバーとして使用する必要があり、組織によっては内部に保持したい場合があります。
TYO ReachはCloudflare Accessのように内部アプリを保護しますか？
まだ対応していません。Reach ZTNA（LANリソースへのリバーストンネルアクセス）はロードマップにありますが、現在は利用できません。今すぐID認識プロキシの背後に内部アプリを隠す必要がある場合は、Cloudflare Accessや同様のソリューションが適しています。
TYO IDをCloudflare Accessで使用できますか？
Cloudflare AccessはOIDC互換のIDプロバイダーをサポートしています。TYO IDはOIDC互換であるため、技術的にはCloudflare Accessとの連携は可能ですが、サポートされたパスとしてはまだ文書化されていません。これがセットアップに重要な場合は、[email protected]までお問い合わせください。