ユーザー認証までインターネットアクセスをブロックする

no-auth-no-internet を有効にすると、デバイスが未認証の状態（有効なデバイス登録がない状態）のあいだ、Cloudflare One Client はデバイス上の一般的なインターネットトラフィックをロックダウンします。ロックダウン中、クライアントはデバイスがネットワーク上に留まり、ユーザーが IdP 認証を完了するために必要なトラフィックだけを許可します。ユーザーがサインインすると通常の接続が戻り、設定済みの Gateway、Access、RBI、DLP ポリシーが適用されます。

この機能を有効にすると、認証はシステムのデフォルトブラウザーではなく、アプリ内の WebView2 ブラウザーで行われます。

ロックダウンは、デバイスが再び未認証の状態になると自動で再開します。たとえば、登録が削除または取り消された場合、マルチユーザーモード で Cloudflare One Client に一度も認証していない別の OS ユーザーがログインした場合、またはユーザーが新しい組織へ切り替えた場合です。

• Cloudflare One Client を MDM でデプロイ していること。
• デバイスに WebView2 があること。Cloudflare One Client が対応するすべての Windows バージョンでは、デフォルトで WebView2 ランタイムが入っている想定です。

機能を有効にするには、トップレベルの no_auth_no_internet キーを true にした MDM ファイルをデプロイ します。

<dict>
  <key>no_auth_no_internet</key>
  <true/>
  <key>configs</key>
  <array>
    <dict>
      <key>organization</key>
      <string>your-team-name</string>
      <key>display_name</key>
      <string>Default</string>
    </dict>
  </array>
</dict>

Cloudflare One Client がこの設定を読み取り、ユーザーが未認証であることを検出すると、ファイアウォールのロックダウンを適用し、ユーザーに認証を求めます。認証が成功すると、ロックダウンは完全に解除されます。

デフォルトでは、Cloudflare One Client はデバイスのロックダウン中も RFC 1918 ↗ のプライベートアドレスレンジ（10.0.0.0/8、172.16.0.0/12、192.168.0.0/16）へのトラフィックを許可します。これにより、ユーザー認証前でもドメインコントローラー、MDM サーバー、ローカルプリンターなどのオンプレミスリソースへ到達できます。

ロックダウン中に RFC 1918 トラフィックをブロックするには、no_auth_no_internet_block_rfc_1918 を true に設定します。

<dict>
  <key>no_auth_no_internet</key>
  <true/>
  <key>no_auth_no_internet_block_rfc_1918</key>
  <true/>
  <key>configs</key>
  <array>
    <dict>
      <key>organization</key>
      <string>your-team-name</string>
      <key>display_name</key>
      <string>Default</string>
    </dict>
  </array>
</dict>

• ロックダウンが適用されるのは、対話型のユーザーセッションがあるときだけです（ユーザーがログインしていて、デバイスがロックされていない状態など）。
• 認証は埋め込みの WebView2 ウィンドウで行われるため、ユーザーのデフォルトブラウザーに依存する IdP フロー（ブラウザー固有の拡張機能やパスワードマネージャーなど）は動かない場合があります。
• Copilot や Teams（個人向け）など一部の Windows アプリケーションは、Cloudflare One Client の認証ウィンドウが開いているあいだもインターネットへアクセスできる場合があります。