クライアントモード

Cloudflare One Client（旧 WARP）は、Cloudflare Gateway へ送るトラフィックの種類を制御するために、複数のモードでデプロイできます。クライアントモードによって、デバイスで使える Zero Trust 機能が決まります。

Traffic and DNS mode（デフォルト）

Cloudflare One Client は、すべてのポートとプロトコルのデバイストラフィックをルーティングし、DNS 解決をクライアント DNS リゾルバーへ転送します。

DNS フィルタリング、HTTP 検査、ネットワークファイアウォールポリシー、デバイスポスチャチェックを含む、包括的なセキュリティを適用したい場合に使います。

DNS フィルタリング	ネットワークフィルタリング	HTTP フィルタリング	有効になる機能
はい	はい	はい	DNS ポリシー、ネットワークポリシー、HTTP ポリシー、Browser Isolation、ID ベースポリシー、デバイスポスチャチェック、AV スキャン、Data Loss Prevention

DNS only mode

Cloudflare One Client は DNS 解決を Cloudflare アカウントのリゾルバーへ転送しますが、デバイストラフィックはルーティングしません。ネットワークおよび HTTP トラフィックは、デバイス上の既存の仕組みで処理されます。

社用デバイスからの送信トラフィックに DNS フィルタリングだけを適用したい場合に使います。

DNS フィルタリング	ネットワークフィルタリング	HTTP フィルタリング	有効になる機能
はい	いいえ	いいえ	DNS ポリシー

Traffic only mode

Cloudflare One Client は、すべてのポートとプロトコルのデバイストラフィックをルーティングします。DNS 解決は、引き続きデバイスのオペレーティングシステムが管理します。

ネットワークおよび HTTP トラフィックはプロキシしつつ、既存の DNS フィルタリングソフトは残したい場合に使います。

DNS フィルタリング	ネットワークフィルタリング	HTTP フィルタリング	有効になる機能
いいえ	はい	はい	ネットワークポリシー、HTTP ポリシー、Browser Isolation、ID ベースポリシー、デバイスポスチャチェック、AV スキャン、Data Loss Prevention

Local proxy mode

Cloudflare One Client は、明示的に指定されたローカル HTTP トラフィックだけを転送します。

特定のアプリケーション宛てトラフィックをフィルタリングしたい場合に使います。

DNS フィルタリング	ネットワークフィルタリング	HTTP フィルタリング	有効になる機能
いいえ	いいえ	はい	localhost プロキシ経由のトラフィックに対する HTTP ポリシー、Browser Isolation、ID ベースポリシー、AV スキャン、Data Loss Prevention

Local proxy mode を設定する

Cloudflare One アカウントを作成すると、デフォルトのデバイスプロファイルが Traffic and DNS mode で作成されます。Local proxy mode を設定するには、デフォルトのデバイスプロファイルを編集するか、新しいデバイスプロファイルを作成し、クライアントモードを Local proxy mode にします。

デフォルトプロファイルは、特定のプロファイルに割り当てられていないすべてのデバイスに使われます。特定のデバイス群に Local proxy mode を適用したい場合は、新しいデバイスプロファイルを作成し、そのデバイスに割り当てます。

Local proxy mode を設定するには:

Cloudflare ダッシュボード ↗ で Zero Trust > Teams & Resources > Device profiles を開きます。
デフォルトプロファイルを編集するか、新しいデバイスプロファイルを作成するかを決めます。
設定するデバイスプロファイルを選び、Edit を選びます（View しか表示されない場合は、プロファイルを変更する権限がありません）。
Device tunnel protocol が MASQUE になっていることを確認します。
Service mode で Local proxy mode を選びます。
Save profile を選びます。

Local proxy mode のデバイスでは、Cloudflare One Client がアドレス 127.0.0.1（localhost）の設定済みポートで待ち受けます。Local proxy mode のデフォルトポートは 40000 ですが、利用可能な任意のポートに変更できます。このプロキシを使うには、個々のアプリケーションまたはシステムのプロキシ設定を明示的に構成する必要があります。

設定が完了すると、これらのアプリケーションとの送受信トラフィックは、Cloudflare One Client 経由で安全にトンネリングされます。

より複雑なルーティング判断（トラフィックをインターネットやほかのプロキシへ直接送るなど）には、PAC ファイルを使えます。

制限事項

Local proxy mode は、SOCKS5/HTTP プロキシ通信に対応するアプリケーション / オペレーティングシステムでのみ使えます。
MASQUE のデバイストンネルプロトコルが必要です。Wireguard はサポートされません。
Windows、Linux、macOS でのみ利用できます。
Local proxy mode のリクエストには 10 秒のタイムアウトがあります。10 秒を超えたリクエストは、Cloudflare が接続を切断します。

Posture only mode

Cloudflare One Client はデバイスの健全性とポスチャデータを収集し、セキュリティポリシーから参照できます。このモードでは、クライアントはトラフィックのルーティングも DNS クエリの転送も行いません。

アカウント内のゾーンに対して Cloudflare One Client のデバイスポスチャチェックだけを適用したい場合に使います。Posture only mode の設定は、専用ページを参照してください。

DNS フィルタリング	ネットワークフィルタリング	HTTP フィルタリング	有効になる機能
いいえ	いいえ	いいえ	Access ポリシー内のデバイスポスチャルール

モードの比較

クライアントモードごとに、使える Zero Trust 機能が異なります。

クライアントモード	向いている用途	DNS フィルタリング	ネットワークフィルタリング	HTTP フィルタリング	サービスモード（`warp-cli settings` に表示）
Traffic and DNS mode（デフォルト）	すべてのフィルタリング機能を使った包括的なセキュリティ	✅	✅	✅	`WarpWithDnsOverHttps`
DNS only mode	デバイストラフィックをルーティングせずに DNS フィルタリングする	✅	❌	❌	`DnsOverHttps`
Traffic only mode	既存の DNS インフラを残したままトラフィックをルーティングする	❌	✅	✅	`TunnelOnly`
Local proxy mode	特定アプリケーション宛てトラフィックのフィルタリング	❌	❌	✅	`WarpProxy on port 40000`
Posture only mode	トラフィックをルーティングせずにデバイスポスチャチェックを行う	❌	❌	❌	`PostureOnly`