このセクションでは、組織へ Cloudflare One Client（旧 WARP）を導入するとき、またはクライアントと連携する新機能を有効にするときに起きやすい問題を扱います。
Cloudflare One Client が Disconnected のまま止まる、または Connected と Disconnected を頻繁に切り替える場合、クライアントが Cloudflare のグローバルネットワークへ接続できていません。
クライアント診断ログ の daemon.log には、次のいずれかのエラーが出ることが多いです。
- Happy Eyeball チェックの失敗:
All Happy Eyeballs checks failed。 connectivity.cloudflareclient.comへの接続チェックのタイムアウト。
よくある原因:
- ファイアウォールによるブロック: ローカルまたはネットワークのファイアウォールが 必要な IP アドレス をブロックしています。
- VPN の干渉: サードパーティ VPN がルーティングテーブルまたは DNS の制御を奪い合っています。VPN 互換性ガイド を参照してください。
- ISP によるブロック: 国または ISP がクライアントトラフィックを明示的にブロックしている場合があります。
クライアント登録時に Authentication Expired または Registration error. Please try again later が表示されることがあります。
よくある原因:
- システム時計のずれ: コンピューターのシステム時計は NTP で正しく同期する必要があります。20 秒以上ずれていると、認証トークン（JWT）が無効になります。
- プロンプトのタイムアウト: ブラウザーでの登録を完了し、プロンプトから 1 分以内にクライアントへ戻る必要があります。
このエラーは、systemd-resolved がクライアントによる DNS 解決を許可していないときに起きることが多いです。daemon.log には DNS connectivity check failed to resolve host="warp-svc." が出ます。
対処:
/etc/systemd/resolved.confにResolveUnicastSingleLabel=yesを追加します。- そのファイルに、ほかの DNS サーバーが明示的に設定されていないことを確認します。
- サービスを再起動します:
sudo systemctl restart systemd-resolved.service。
クライアントは、search ディレクティブに !@#$%^&*()<>? などの無効な文字を含む resolv.conf を解析できません。これらの文字を削除するとサービスが復旧します。
高度なセキュリティ機能を使うには、デバイス上で Cloudflare ルート証明書 が信頼されている必要があります。
- Chrome/Edge: これらのブラウザーは証明書をキャッシュします。ブラウザー実行中に証明書をインストールした場合は、ブラウザーを再起動する必要があります。
- ルート証明書の有効期限: デフォルトの Cloudflare ルート証明書は 2025 年 2 月 2 日に期限切れになりました。エラーが出る場合は、ダッシュボードで 新しい証明書を生成して有効化 してください。
バージョン 2024.12.554.0 以降、クライアントはダッシュボードで証明書が Available になるとすぐに、新しい証明書を自動インストールできます。それ以前のバージョンでは、先に In-Use にする必要がありました。デバイス設定 で Install CA to system certificate store が有効であることを確認してください。
これは、Windows Network Connectivity Status Indicator（NCSI）の見た目上のエラーであることが多いです。Outlook や JumpCloud などのアプリは、この状態を理由に接続を拒否することがあります。
対処:
NCSI がクライアントのローカル DNS プロキシを検出し、アクティブプロービングを使うように、次のレジストリキーを 1 に設定します。
HKEY_LOCAL_MACHINE\SOFTWARE\POLICIES\MICROSOFT\Windows\NetworkConnectivityStatusIndicator\UseGlobalDNSHKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NlaSvc\Parameters\Internet\EnableActiveProbing
.NET Framework 4.7.2 以降などの依存関係が欠けていることがほとんどです。レガシーシステム（Windows 10 Enterprise 1607 など）では、.NET Framework Runtime ↗ の手動更新が必要な場合があります。
WSL2 が接続できなくなった場合は、Split Tunnel の設定 を確認してください。WSL がホストと通信する IP レンジが、誤ってトンネルに含まれていることがあります。WSL のネットワークレンジを除外すると接続が復旧します。
クライアントは、スパムとお客様が使う IP アドレスのレピュテーション低下を防ぐため、ポート 25 の送信トラフィックをブロックします。暗号化メールにはポート 587 または 465 を使ってください。
管理者オーバーライドコード は時間制限があり、固定の 1 時間枠に従います。午前 9:30 に生成した 1 時間タイムアウトのコードは、有効期間が午前 9:00〜10:00 の枠で数えられるため、午前 10:00 に期限切れになります。
- 診断ログ - サポート向けにログを収集する方法です。
- 既知の制限 - 未対応の機能と環境を確認します。
- Cloudflare One のトラブルシューティング - ほかの製品のトラブルシューティングガイドです。