アプリケーションとアプリタイプ

Gateway では、アプリケーションとアプリケーションタイプに基づいて DNS、Network、HTTP ポリシーを作成できます。1 つのアプリケーションが複数のホスト名にまたがることが多いため、アプリケーション名で選ぶ方が、ホスト名ごとに別ルールを書くより簡単です。個別のアプリケーションまたはアプリケーションタイプを選び、ネットワーク上の特定トラフィックをフィルタリングできます。

Gateway ポリシービルダーで Application セレクターを選ぶと、Value フィールドにサポート対象のすべてのアプリケーションと、それぞれのアプリタイプが表示されます。または、Gateway API でアプリケーション、アプリタイプ、ID 番号の一覧を取得できます。

Cloudflare One 全体でアプリケーションの統合一覧を管理するには、Application Library を使えます。

Gateway はアプリケーションを次のアプリタイプグループに分類します。

Google Drive のようなアプリケーションは、独自のホスト名（drive.google.com など）と、他のアプリケーションが共有するリソース（ログイン用の accounts.google.com など）を使います。Gateway はこれらを ホスト名 と サポートホスト名 に分け、各アプリケーションの動作を独立して制御できるようにします。

ホスト名は、アプリケーションの中核であり、他のアプリケーションが使わない ドメインです。アプリケーションをブロックするとき、Gateway がブロックするのはこれらのドメインです。App Library は、アプリケーションの Hostnames テーブル にこれらのホスト名を表示します。

サポートホスト名は、コンテンツ配信、認証、サードパーティ連携のためにアプリケーションが依存する共有リソースです。複数のアプリケーションがこれらのホスト名を共有するため、ブロックすると予期しない副作用が起きることがあります。

たとえば、file-sharing-service.com が content-delivery.com に依存するとします。file-sharing-service.com とその関連サブドメインへのアクセスは許可し、content-delivery.com は許可しない場合、Gateway がそのトラフィックに一致すると、file-sharing-service.com の一部機能が壊れることがあります。

これを防ぐため、Gateway はサポートホスト名を Allow ポリシーでのみ使います。サポートホスト名への接続は許可しますが、ブロックはしません。たとえば、多くの Google アプリケーションは認証に accounts.google.com を使います。accounts.google.com をサポートホスト名として列挙するアプリケーションの Allow ポリシーを作成すると、Gateway は accounts.google.com とそのアプリケーション独自のドメインの両方を許可します。

HTTP ポリシーの Application セレクター で is 演算子を使うと、アプリケーショントラフィックに一致させる具体的なアクションとオペレーションを選べます。サポート対象のアプリケーションとオペレーションは次のとおりです。

詳細は Application Granular Controls を参照してください。

重複するホスト名は、Google や Meta のように多くのアプリケーションを持つベンダーで最もよく見られます。Gateway ポリシーで Application セレクターを使うと、Gateway が行うアクションはその定義済みアプリケーションに限定されます。Gateway は同じホスト名を使う他のアプリケーションもログに残しますが、ポリシーがそのアプリケーションに一致しない限りアクションは取りません。たとえば、Facebook と Facebook Messenger の両方のアプリが chat-e2ee.facebook.com ホスト名を使います。Facebook Messenger アプリへのトラフィックを評価するとき、Gateway は Facebook Messenger のトラフィックにだけアクションを取りますが、Facebook と Facebook Messenger の両方をログに残すことがあります。

Gateway が希望する優先順位でトラフィックを評価するようにするには、ポリシービルダー内の優先順位 に従い、最も具体的なポリシーを最も高い優先度にします。

Gateway は、TLS 復号と互換性のないアプリケーションを自動的に Do Not Inspect アプリタイプへグループ化します。Cloudflare が非互換アプリケーションを特定するにつれて、Gateway はこのアプリタイプを定期的に更新し、新しいアプリケーションを追加します。現在および将来の非互換トラフィックを Gateway が傍受しないようにするには、Do Not Inspect アプリタイプ全体を選んだ Do Not Inspect HTTP ポリシーを作成 できます。

Application Library でアプリケーションを管理する場合、Do Not Inspect アプリケーションは対応するアプリケーションの下に表示されます。たとえば、App Library は Google Drive (Do Not Inspect) を Google Drive の下にグループ化します。

アプリケーションが TLS 復号 と互換性がない理由はさまざまです。

• Certificate pinning: Certificate pinning is アプリケーションが受け取ることを想定する証明書の情報をハードコードし、インターネット上のオンパス攻撃を防ぐセキュリティの仕組みです。誤った証明書を受け取った場合、システムが信頼していても、アプリケーションは接続を拒否します。

• 非 Web トラフィック: 一部のアプリケーションは、音声・ビデオ通話の Session Initiation Protocol (SIP) やチャットの Extensible Messaging and Presence Protocol (XMPP) など、Web 以外のトラフィックを TLS 上で送ります。Gateway はこれらのプロトコルを検査できません。

Microsoft 365 アプリケーションとサービスのパフォーマンスを最適化するには、Microsoft 365 トラフィック連携をオンにして TLS 復号をバイパスできます。これにより、Microsoft が指定するすべての Microsoft 365 ドメインと IP アドレス ↗ 向けの Do Not Inspect ポリシー が作成されます。このポリシーは、明示的に定義されていない他の Microsoft 365 トラフィックを特定するために Cloudflare のインテリジェンスも使います。

Microsoft 365 連携をオンにするには:

1. Cloudflare dashboard ↗ で、Zero Trust > Traffic policies > Traffic settings > Policy settings を開きます。
2. Bypass decryption of Microsoft 365 traffic で Create policy を選択します。
3. ポリシーが作成されたことを確認するには、View policy を選択します。または、Traffic policies > HTTP policies を開きます。リストに Microsoft 365 Auto Generated という名前のポリシーが有効になっています。

今後のすべての Microsoft 365 トラフィックは、Gateway のログ記録とフィルタリングをバイパスします。この動作を無効にするには、ポリシーをオフにするか削除します。

Terraform ユーザーは、cloudflare_zero_trust_gateway_app_types_list データソースでアプリタイプ一覧を取得できます。これにより、数値 ID ではなくアプリケーション名で Gateway ポリシーを作成できます。たとえば:

data "cloudflare_zero_trust_gateway_app_types_list" "gateway_apptypes" {
  account_id = var.cloudflare_account_id
}

locals {
  apptypes_map = merge([
    for c in data.cloudflare_zero_trust_gateway_app_types_list.gateway_apptypes.result :
    { (c.name) = c.id }
  ]...)
}

resource "cloudflare_zero_trust_gateway_policy" "zt_block_dns_apps" {
  account_id = var.cloudflare_account_id
  name       = "DNS Blocked apps"
  action     = "block"
  traffic    = "any(app.ids[*] in {${join(" ", [
    local.apptypes_map["Discord"],
    local.apptypes_map["GoToMeeting"],
    local.apptypes_map["Greenhouse"],
    local.apptypes_map["Zelle"],
    local.apptypes_map["Microsoft Visual Studio"]
  ])}})"
}