Cloudflare Tunnel で社内の DB につなぐ

仕組み

お客様のネットワークにあるマシンで cloudflared を動かすと、そのマシンから Cloudflare へ外向きの接続が張られ、Scandock はその接続を通って DB に届きます。DB をインターネットに公開したり、受け付ける側のファイアウォールを開けたりする必要はありません。

用意するもの

• DB に届くマシン: Linux、Windows、または Docker が動くマシン。DB と同じマシンでもかまいません。
• cloudflared: 2025.7.0 以降が必要です。
• 外向きの通信: そのマシンから Cloudflare へ外向きに通信できること。必要な宛先とポートは、Cloudflare の cloudflared の資料を見てください。

手順

1. 1

   管理画面の「DB接続」で「Tunnel を作成」を押し、表示名と、cloudflared から見た DB のホスト名か IP アドレスを入れます。社内の IP アドレス (10.x、192.168.x など) や社内の DNS の名前、Amazon RDS・Aurora、Cloud SQL、Azure の DB のホスト名を使え、cloudflared と DB が同じマシンなら 127.0.0.1 を入れます。あわせて、DB が待ち受けているポートを入れます。

2. 2

   表示されたコマンドを、そのマシンで実行します (Docker・Linux・Windows)。Linux と Windows では、サービスとして登録され、再起動しても動き続けます。

3. 3

   Tunnel の状態が「接続中」になったら、「接続を追加」で接続経路にこの Tunnel を選び、接続文字列を登録します。接続文字列のホストとポートは使わず Tunnel の宛先へつなぎ、ユーザー・パスワード・DB 名は接続文字列のものを使います。

安全のために

• トークン: コマンドに含まれるトークンを持つ人は、この Tunnel の接続口になれます。ほかの人に渡さず、漏れたときは Tunnel を削除して作り直してください。
• ネットワークの絞り込み: cloudflared を動かすマシンからは、監視する DB にだけ届くようにネットワークを絞ることをおすすめします。
• cloudflared から DB まで: Tunnel の区間は暗号化されますが、cloudflared から DB までは平文で話します。cloudflared は、DB と同じマシンか、同じ安全なネットワークの中で動かしてください。DB が TLS を必須にしていると、Tunnel 経由ではつなげません。

Docker で動かすとき

コンテナの中から DB に届く必要があります。DB がコンテナを動かすマシン自身にあるときは、127.0.0.1 ではなくそのマシンの LAN の IP アドレスで Tunnel を作るか、Linux では --network host を付けて起動してください。