Skip to content

非公式本サイトは非公式の日本語ドキュメントであり、Cloudflare 公式サイトではありません。最新情報はdevelopers.cloudflare.comをご確認ください。

ロケーション

最終更新 Markdown で表示Agent セットアップ

DNS ロケーションは、オフィス、自宅、データセンターなどの物理的な拠点に対応付けられる DNS エンドポイントの集まりです。

あるロケーションからの DNS クエリのフィルタリングを始めるには、ルーターの DNS リゾルバーを変更するのがいちばん早い方法です。

DNS ロケーションを追加する

Gateway に DNS ロケーションを追加するには:

  1. Cloudflare ダッシュボード ↗ で、Zero Trust > Networks > Resolvers & Proxies > DNS locations を開きます。
  2. Add a location を選択します。
  3. DNS ロケーションの名前を決めます。
  4. 組織の DNS クエリを解決する DNS エンドポイント を、少なくとも 1 つ選びます。
  5. （任意）次の設定を切り替えます。
    • Enable EDNS client subnet は、ユーザーの IP 位置情報を権威 DNS ネームサーバーに送ります。EDNS Client Subnet（ECS） は、ユーザーを最も近いオリジンサーバーへ誘導し、レイテンシを下げます。Cloudflare はプライバシーを保つため、ユーザーの正確な IP アドレスではなく、その IP を含むより大きな範囲の先頭 /24 だけを送ります。この /24 範囲は、ユーザーの正確な IP アドレスと同じ地理位置を共有します。
    • Set as Default DNS Location は、このロケーションを DNS クエリのデフォルト DoH エンドポイントにします。
  6. Continue を選択します。
  7. （任意）設定したエンドポイントの送信元 IP フィルタリングをオンにし、検証する送信元 IPv4 / IPv6 アドレスを追加します。
    • エンドポイント認証は、標準の IPv4 アドレスでは必須、専用 IPv4 アドレスでは任意です。
    • DoH endpoint filtering & authentication では、IPv4 / IPv6 アドレスに加えて、有効な ID またはユーザートークンだけに DNS 解決を制限できます。
  8. Continue を選択します。
  9. DNS ロケーションの設定を確認し、Done を選択します。
  1. UI のセットアップ手順に従い、ルーター、ブラウザー、または OS の DNS リゾルバーを変更します。
  2. Go to DNS Location を選択します。ロケーションが一覧に表示されます。

これで、Location セレクター を使い、ロケーションに DNS ポリシー を適用できます。

DNS エンドポイント

IPv4 および IPv6 DNS

Cloudflare は、接続中のネットワークに基づいて Source IPv4 Address を事前入力します。さらに、Enterprise ユーザーは、アカウントに割り当てられた 専用 DNS リゾルバー IP アドレス、または 自分で用意したリゾルバー IP アドレス（BYOIP） を使えます。

次の場合、IPv4 DNS エンドポイントの設定は不要です。

  • ネットワークが IPv6 のみの場合。
  • このロケーションからの DNS リクエストをすべて、ブラウザー経由の DNS over HTTPS で送る場合。
  • Cloudflare One Client を導入する場合。

DNS over TLS（DoT）

DNS over TLS（DoT）は、専用ポート（853）と TLS 暗号化を使って DNS トラフィックを暗号化する標準です。

詳細は DNS over TLS を参照してください。

DNS over HTTPS（DoH）

DNS over HTTPS（DoH）は、HTTPS プロトコルで DNS トラフィックを暗号化し、DNS クエリの追跡やなりすましを防ぐ標準です。

デフォルトの DNS ロケーションには、Gateway が DoH エンドポイントを必要とします。詳細は DNS over HTTPS を参照してください。

セキュア DNS ロケーション

セキュア DNS ロケーションは、protective DNS（PDNS） などのサービス向けに、悪意のあるドメインへの追加保護を提供します。DNS ロケーションがセキュアとみなされるには、Gateway は次を求めます。

  • IPv4 および IPv6 エンドポイントが BYOIP アドレス を使っていること（ある場合）。
  • IPv4、IPv6、DoT エンドポイントに 送信元ネットワークフィルタリング が設定されていること。
  • DoH エンドポイントに、送信元ネットワークフィルタリングまたはトークン認証が設定されていること。
  • DNS ロケーションで有効なエンドポイントが、いずれもセキュリティ要件を満たしていること。

ユーザーに Cloudflare Zero Trust DNS Locations Write ロール を割り当てると、セキュア DNS ロケーションの作成と編集ができます。ロケーションの閲覧を許可するには、Cloudflare Zero Trust Read Only ロールも割り当てる必要があります。これらのロールを持つユーザーは、すべての DNS ロケーションを閲覧できますが、作成または編集できるのはセキュアなロケーションだけです。

Cloudflare Zero Trust DNS Locations Write より上位のロールは次のとおりです。

  • Cloudflare Gateway
  • Cloudflare Zero Trust
  • Super Administrator

制限事項

キャプティブポータル

静的 IP アドレスを使って Gateway の DNS フィルタリングを導入すると、キャプティブポータル経由で公衆 Wi-Fi ネットワークに接続できなくなることがあります。キャプティブポータルに関連する接続の問題が起きている場合は、次の手順を行います。

  1. デバイスから静的 IP アドレスを削除します。
  2. Wi-Fi ネットワークに接続します。
  3. 接続が確立したら、静的 IP アドレスを再度追加します。

この問題を避けるには、Cloudflare One Client を使ってデバイスを Cloudflare One に接続します。

サードパーティのフィルタリング

サードパーティ VPN や、iCloud Private Relay ↗ や Google Chrome IP Protection ↗ などのインターネットフィルタリングソフトウェア経由のトラフィックは、Gateway では正しくフィルタリングできません。DNS ポリシーをトラフィックに適用するには、Gateway の動作を妨げるソフトウェアをオフにすることを推奨します。

iCloud Private Relay をオフにする方法は、Apple のユーザーガイド（macOS ↗ または iOS ↗）を参照してください。

役に立ちましたか？