Skip to content

非公式本サイトは非公式の日本語ドキュメントであり、Cloudflare 公式サイトではありません。最新情報はdevelopers.cloudflare.comをご確認ください。

DNS リゾルバーの IP とホスト名

最終更新 Markdown で表示Agent セットアップ

DNS ロケーションを作成すると、Gateway はそのロケーションに IPv4 / IPv6 アドレスと DoT / DoH ホスト名を割り当てます。Gateway に解決させる DNS クエリは、これらの IP アドレスとホスト名へ送ります。

DNS ロケーションのリゾルバーエンドポイント IP アドレスとホスト名を確認するには、次の手順を実行します。

  1. Cloudflare One ↗ で Networks > Resolvers & Proxies を開きます。
  2. DNS ロケーションを選び、Edit を選択します。
  3. Setup instructions を開きます。アドレスとホスト名は Your configuration に表示されます。

DNS クエリとロケーションの照合

Gateway は、リクエストとネットワークの種類に応じて、DNS クエリを DNS ロケーションに照合します。

flowchart TB
    %% Accessibility
    accTitle: Gateway がクエリを DNS ロケーションに照合する仕組み
    accDescr: Cloudflare Gateway が DNS クエリの DNS ロケーションを判定する確認順を示すフローチャートです。

    %% Flowchart
    router(["ルーター"])-->gateway["Cloudflare Gateway"]

    gateway-->query{{"DNS クエリは HTTPS 経由ですか？"}}

    query--"はい"-->hostname["一意のホスト名で<br />ロケーションを検索"]
    query--"いいえ"-->ipv4{{"IPv4 ですか？"}}

    ipv4--"はい"-->source["送信元 IPv4 アドレスで<br />ロケーションを検索"]
    ipv4--"いいえ"-->destination["宛先 IPv6 アドレスで<br />ロケーションを検索"]
  1. まず Gateway は、クエリが DNS over HTTPS で送られたかを確認します。はいの場合、一意のホスト名で DNS ロケーションを検索します。
  2. 次に、クエリが DNS over HTTPS で送られていない場合、Gateway は IPv4 で送られたかを確認します。はいの場合、送信元 IPv4 アドレスで DNS ロケーションを検索します。
  3. 最後に、クエリが IPv4 で送られていない場合は IPv6 で送られています。Gateway は、一意の DNS リゾルバー IPv6 アドレスに紐づく DNS ロケーションを検索します。

IPv4 / IPv6 アドレス

送信元 IP

Gateway は、ネットワークの公開送信元 IPv4 アドレスを使い、DNS ロケーションの識別、ポリシーの適用、DNS リクエストの記録を行います。専用 IPv4 リゾルバー IP を購入していない場合は、DNS ポリシーでフィルタリングしたい IPv4 トラフィックの送信元 IP アドレスを指定する必要があります。指定しないと、Gateway はそのトラフィックをアカウントに紐づけられません。

Enterprise プランの場合は、任意の送信元 IP アドレスを 1 つ以上手動で入力できます。それらのネットワークの IP アドレスから接続していなくても、Gateway の DNS ロケーションを作成できます。

DNS リゾルバー IP

DNS ロケーションを作成すると、Gateway はデフォルトの DNS リゾルバー IP アドレスで IPv4 のクエリを解決します。これらのアドレスは、すべての Cloudflare Zero Trust アカウントで共有される anycast IP アドレスです。IPv6 のクエリを解決するには、ロケーションごとに一意の DNS リゾルバー IPv6 アドレスが割り当てられ、それを使います。Gateway はこれらの IP アドレスで DNS クエリをロケーションに照合し、適切なフィルタリングルールを適用します。

専用 DNS リゾルバー IP

Enterprise ユーザーは、デフォルトの anycast アドレスの代わりに、DNS ロケーション向けの専用 DNS リゾルバー IPv4 アドレスのプロビジョニングを依頼できます。そのアドレスへ転送されたクエリは、専用 DNS リゾルバー IPv4 アドレスで識別されます。

Cloudflare は、依頼した Zero Trust アカウントにのみリゾルバー IP アドレスを割り当てます。専用 DNS リゾルバー IPv4 アドレスの依頼については、アカウントチームに連絡してください。

独自の DNS リゾルバー IP を持ち込む

Enterprise ユーザーは、ロケーションの DNS エンドポイントとして、自ら保有する IPv4 および IPv6 アドレスを使えます。Gateway は、提供された IPv4 アドレスで UDP、TCP、DoT、DoH クエリを解決でき、提供された IPv6 アドレスで UDP および TCP クエリを解決できます。

IP アドレスをオンボードすると、新しい DNS ロケーションを作成するときに、関連するエンドポイントの下にその IP アドレスが表示されます。特定のエンドポイント種別向けに IP アドレスを提供していない場合は、デフォルトの Cloudflare リゾルバー IP または専用リゾルバー IP を、独自のリゾルバー IP と併用できます。たとえば IPv6 エンドポイントを使いたいが IPv4 アドレスしか提供していない場合は、IPv4 に独自のリゾルバー IP を、IPv6 にデフォルトの Cloudflare IP を使えます。

詳細は Cloudflare BYOIP を参照するか、アカウントチームに連絡してください。

DNS over TLS（DoT）

各 DNS ロケーションには、DNS over TLS（DoT）用の一意のホスト名が割り当てられます。Gateway は DoT ホスト名でロケーションを識別します。

DNS over HTTPS（DoH）

各 DNS ロケーションには、DNS over HTTPS（DoH）用の一意のホスト名が割り当てられます。Gateway は DoH ホスト名でロケーションを識別します。

DoH サブドメイン

Cloudflare Zero Trust の各 DNS ロケーションには、一意の DoH サブドメイン（旧称 unique ID）があります。組織が DNS ポリシーを使う場合、Cloudflare One Client の設定にロケーションの DoH サブドメインを入力できます。

たとえば DoH ホスト名が https://65y9p2vm1u.cloudflare-gateway.com/dns-query の場合、DoH サブドメインは 65y9p2vm1u です。

特定のクエリだけを Gateway に送る

デフォルトでは、設定した DNS ロケーションからのクエリはすべて、その DNS リゾルバー IP アドレスへ送られ、Gateway が検査します。ロケーション内の特定ネットワークからのクエリだけをフィルタリングするよう、Gateway を設定できます。

  1. 組織がクエリの送信元にする IPv4 および / または IPv6 アドレスで IP リストを作成 します。
  2. DNS ポリシーに Source IP 条件を追加します。

たとえば、特定ネットワークのセキュリティ脅威をブロックするには、次のようなポリシーを作成できます。

Selector Operator Value Logic Action
Security Categories in 該当するカテゴリをすべて選択 And Block
Source IP in list 組織のネットワークを含む IP リストの名前

IP リストにない IP アドレスからの DNS クエリはフィルタリングされず、組織の Gateway アクティビティログ にも記録されません。

役に立ちましたか？