Gateway と Access のポリシーは、通常、UI のポリシー表での位置に従い、上から下へ適用されます。例外は Bypass と Service Auth のポリシーで、Access はこれらを先に評価します。同様に、Gateway の HTTP ポリシーでは、Do Not Inspect と Isolate のポリシーが、すべての Allow または Block ポリシーより優先されます。適用順の詳細は、Access ポリシー と Gateway ポリシー のドキュメントを参照してください。
Cloudflare Gateway は、HTTP CONNECT ヘッダーのホスト名でリクエストの宛先を識別します。サイトをバイパスしたい管理者は、Do Not Inspect ポリシーを作成し、暗号化トラフィックと平文トラフィックの両方で HTTP 検査が行われないようにします。
L7 ファイアウォールをバイパスすると、HTTP トラフィックは検査されず、その HTTP セッションのログも無効になります。
できます。SSL 証明書が第 1 レベルと第 2 レベルのサブドメインの両方をカバーしていることを確認します。ほとんどの証明書は第 1 レベルだけをカバーし、第 2 レベルはカバーしません。Cloudflare の証明書の多くも同様です。Cloudflare の証明書で第 2 レベルサブドメインをカバーするには、Advanced Certificate を作成します。
Cloudflare Access のワイルドカードポリシーは、適用した階層だけをカバーします。カバーしたい最も左のサブドメインにワイルドカードポリシーを追加します。
Isolation ポリシーは、ほかの HTTP ポリシーと同様に段階的に評価されます。Isolation ポリシーに一致するリクエストがあると、そのリクエストは隔離ブラウザーへ再ルーティングされ、HTTP ポリシーが再評価されます。そのため、隔離ブラウザーでブロックページをリモート表示したり、隔離ブラウザー内の悪意のあるコンテンツを HTTP ポリシーでブロックしたりできます。
Isolation ポリシーは、Accept: text/html* を含むリクエストに適用されます。これにより、Browser Isolation ポリシーは API やコマンドラインのリクエストと共存できます。
できません。Cloudflare Access は、URL にポートを付けたポリシーを適用できません。ただし、非標準ポートへのトラフィックは Cloudflare Tunnel で転送できます。たとえば、オリジンのポート 8443 で Jira が利用できる場合、Cloudflare Tunnel 経由でそのポートにプロキシできます。
ドメインが DNS、ネットワーク、または HTTP ポリシーでブロックされている場合、次の理由が考えられます。
- ポリシーがまだ更新中です。 ポリシーを編集または作成すると、Cloudflare は新しい設定を世界中のデータセンターに反映します。反映には約 60 秒かかります。
ドメインが DNS ポリシーだけでブロックされている場合は、次の理由が考えられます。
-
デバイスが別の DNS リゾルバーを使っています。 DNS 設定にほかの DNS リゾルバーがあると、デバイスは Gateway 以外のリゾルバーの IP アドレスを使うことがあります。その結果、ブロックしたいドメインにデバイスからアクセスできます。DNS 設定からほかの IP アドレスをすべて削除し、Gateway の DNS リゾルバー IP アドレスだけを残します。
-
ポリシーが DNS ロケーションに割り当てられていません。 ポリシーが DNS ロケーションに割り当てられていない状態で、そのロケーションから DNS クエリを送ると、Gateway はそのポリシーを適用しません。そのロケーションから DNS クエリを送るときに目的のポリシーを適用するには、ポリシーを DNS ロケーションに割り当てます。
-
DoH エンドポイントが Gateway の DNS ロケーションではありません。 ブラウザーは任意の DoH エンドポイントを使うように設定できます。ブラウザーで DoH を直接設定する場合は、DoH エンドポイントが Gateway の DNS ロケーションであることを確認します。
ドメインがネットワークポリシーだけでブロックされている場合は、次の理由が考えられます。
- ブラウザーが既存の接続を再利用しています。 ネットワークポリシーは、接続が開かれたときにだけ適用されます。ネットワークポリシーでブロックするドメインにブラウザーがすでに接続している場合、Gateway は接続が閉じるまでリクエストをブロックしません。ドメインをブロックするには、関連するタブを閉じるか、ブラウザーを再起動します。
Access は、ユーザーが ポリシー を満たす方法がないと判断したときに、ステータスコード 401 / 403 の Forbidden ページを返します。Cloudflare が、ユーザーはログインできないと完全に判断できる場合、Access は ログインページ ではなく Forbidden ページを返します。
たとえば、アプリケーションに、特定の国・地域 にいるユーザーだけがログインできるポリシーがあるとします。
管理者は、この国・地域のポリシーを Include ルールで定義できます。この場合、ユーザーは国 A または国 B からアプリケーションにログインできます。
または、Require ルールで定義することもできます。この場合、ユーザーは国 A にいる必要があります。
国 C のユーザーがアプリケーションにアクセスしようとすると、Include と Require のどちらの場合でも Forbidden ページが表示されます。国 C はどちらのシナリオにも含まれていないためです。そのため、Cloudflare はこのユーザーはポリシー要件を満たせないと判断し、Forbidden ステータスページを返します。