ファイアウォール併用時の Cloudflare One Client

組織がファイアウォールやその他のポリシーで Internet トラフィックを制限または傍受している場合は、Cloudflare One Client（旧称 WARP）が接続できるよう、次の IP アドレスとドメインを除外する必要があることがあります。

Cloudflare One Client は、登録や設定変更などの操作のため、トンネル外の標準 HTTPS 接続で Cloudflare に接続します。これらの操作を行うには、次の IP とドメインを許可する必要があります。

• IPv4 API エンドポイント: 162.159.137.105 と 162.159.138.105
• IPv6 API エンドポイント: 2606:4700:7::a29f:8969 と 2606:4700:7::a29f:8a69
• Cloudflare One Client バージョン 2026.6.0 以降の SNI: api.devices.cloudflare.com
• 2026.6.0 より前のバージョンの SNI: zero-trust-client.cloudflareclient.com と notifications.cloudflareclient.com

Cloudflare One Client バージョン 2026.6.0 以降は api.devices.cloudflare.com を使います。2026.6.0 より前のバージョンは zero-trust-client.cloudflareclient.com と notifications.cloudflareclient.com を使います。

これらのドメインは、別の IP アドレスに解決されることがあります。Cloudflare One Client は、解決された IP を上記の IP で上書きします。接続の問題を避けるため、ファイアウォールでそれらの IP を許可してください。

DNS only モード では、Cloudflare One Client は HTTPS 接続経由で DNS リクエストを Gateway に送ります。DNS を正しく動作させるには、次の IP とドメインを許可する必要があります。

• IPv4 DoH アドレス: 162.159.36.1 と 162.159.46.1
• IPv6 DoH アドレス: 2606:4700:4700::1111 と 2606:4700:4700::1001
• SNI: <ACCOUNT_ID>.cloudflare-gateway.com

<ACCOUNT_ID>.cloudflare-gateway.com は別の IP アドレスに解決されることがありますが、Cloudflare One Client は解決された IP を上記の IP で上書きします。接続の問題を避けるため、上記の IP がファイアウォールで許可されていることを確認してください。

Android/ChromeOS に Cloudflare One Agent をデプロイする場合は、ファイアウォールの例外リストに cloudflare-dns.com も追加する必要があります。Android/ChromeOS デバイスでは、Cloudflare One Client は Split Tunnel リスト 上のドメインの解決に cloudflare-dns.com を使います。

Cloudflare One 組織にログイン すると、開いたブラウザーウィンドウで、組織が求める認証手順を完了する必要があります。これらの操作を行うには、次のドメインを許可する必要があります。

• Cloudflare One への認証に使う IdP
• <your-team-name>.cloudflareaccess.com

Cloudflare One Client は、デバイスに設定された トンネルプロトコル（WireGuard または MASQUE）に応じて、次の IP アドレスに接続します。デバイスから Cloudflare へのネットワークトラフィックはすべて、これらの IP とポートを UDP で通ります。

次のドメインは、キャプティブポータルの確認の一部として使われます。

• cloudflareportal.com
• cloudflareok.com
• cloudflarecp.com
• www.msftconnecttest.com
• captive.apple.com
• connectivitycheck.gstatic.com

WARP トンネルを確立する過程で、クライアントはトンネルの内側と外側で接続確認を実行します。

クライアントは、WARP トンネル外の一般的な Internet 接続を確認するため、次の宛先に接続します。これらの IP とドメインがファイアウォールの許可リストにあることを確認してください。

• 162.159.197.3
• 2606:4700:102::3
• engage.cloudflareclient.com: クライアントは、常に WARP イングレスの IPv4 または IPv6 範囲 内の IP（または、設定されている場合は override_warp_endpoint）へ直接リクエストを送ります。システムにプロキシサーバーが設定されていても、リクエストはプロキシを使いません。

engage.cloudflareclient.com は別の IP アドレスに解決されることがありますが、Cloudflare One Client は解決された IP を上記の IP で上書きします。接続の問題を避けるため、上記の IP がファイアウォールで許可されていることを確認してください。

Cloudflare One Client は、WARP トンネル内の接続を確認するため、次の宛先に接続します。

• 162.159.197.4
• 2606:4700:102::4
• connectivity.cloudflareclient.com

この確認はトンネル内で行われるため、これらの IP とドメインをファイアウォールの許可リストに追加する必要はありません。ただし、リクエストは Gateway を通るため、Gateway の HTTP ポリシーまたはネットワークポリシーでブロックされていないことを確認してください。

Cloudflare One Client は、接続の問題を Network Error Logging（NEL）エンドポイントへ a.nel.cloudflare.com 経由で報告します。動作に必須ではありませんが、適切に除外しないとログにエラーが残ります。

Cloudflare One Client は、トンネルのレイテンシテスト実行時に、WARP イングレス IP へ ICMP トラフィックを生成します。動作に必須ではありませんが、適切に除外しないとログにエラーが残ります。

Cloudflare One Client は、time.cloudflare.com 経由で Cloudflare の Time Service に対し、NTP（UDP 123）で正確な時刻を同期しようとします。動作に必須ではありませんが、適切に除外しないとログにエラーが残ります。

組織が現在、上記の IP アドレス、ポート、ドメインでのインバウンド／アウトバウンド通信を許可していない場合は、例外を手動で追加する必要があります。ルールは、少なくともプラットフォームに応じた次のプロセスにスコープする必要があります。

• Windows: C:\Program Files\Cloudflare\Cloudflare WARP\warp-svc.exe、C:\Program Files\Cloudflare\Cloudflare WARP\warp-updater.exe、および C:\Program Files\Cloudflare\Cloudflare WARP\warp-updater-armed.exe

• macOS: 次の手順のとおり、コアネットワーキングデーモン、アップデーター、GUI コンポーネントを明示的に許可する必要があります。

  1. コアネットワーキングデーモン: /Applications/Cloudflare WARP.app/Contents/Resources/CloudflareWARP

     このバイナリには Bundle ID がないため、フルパスで許可する必要があります。

  2. アップデーター: /Applications/Cloudflare WARP.app/Contents/Resources/warp-updater

  3. GUI コンポーネント。MDM またはファイアウォールベンダーが推奨する形式に応じて、次の 3 つの識別子のいずれかを選びます。

     /Applications/Cloudflare WARP.app（パス）

     /Applications/Cloudflare WARP.app/Contents/MacOS/Cloudflare WARP（パス）

     com.cloudflare.1dot1dot1dot1.macos（Bundle ID）

Digital Experience Monitoring テスト を実行するには、warp-dex プロセスが対象宛先へネットワークトラフィックを生成できるよう許可する必要があります。

• Windows: C:\Program Files\Cloudflare\Cloudflare WARP\warp-dex.exe
• macOS: /Applications/Cloudflare WARP.app/Contents/Resources/warp-dex

Cloudflare One Client の GUI に組み込まれたネットワーク接続テストを使うには、GUI アプリケーションがネットワークトラフィックを生成できるよう許可する必要があります。

• Windows: C:\Program Files\Cloudflare\Cloudflare WARP\Cloudflare WARP.exe
• macOS: /Applications/Cloudflare WARP.app

• Local Domain Fallback — 選択したドメインを Cloudflare Gateway ではなく、ローカル DNS で解決します。
• Split Tunnels — 特定の IP またはドメインを含める、または除外して、Cloudflare One Client を通るトラフィックを制御します。