このセクションでは、次の Gateway ポリシータイプを設定するときのベストプラクティスを説明します。
ポリシータイプごとに、次の流れを推奨します。
- ポリシーを適用したいデバイスやネットワークを接続します。
- Gateway がデバイスからのトラフィックをプロキシできていることを確認します。
- 基本的なセキュリティと互換性のポリシーを設定します（ほとんどの用途で推奨です）。
- 組織固有の要件に合わせて設定をカスタマイズします。
多くの組織は、手間が少なく効果の大きいポリシータイプから始め、段階的に検査を深めて Gateway を導入します。
DNS フィルタリングは導入の手間が少なく、すぐに保護を始められます。
- ネットワークの DNS を Gateway のリゾルバーアドレスへ向けるか、Cloudflare One Client を DNS のみモードで導入します。
- セキュリティ脅威カテゴリ（マルウェア、フィッシング、コマンドアンドコントロール）をすべてブロックします。
- 利用規定に反する コンテンツカテゴリ をブロックします。
- DNS ログ を確認し、組織全体のインターネット利用を把握します。
設定手順は DNS フィルタリングを設定する を参照してください。
DNS フィルタリングの導入後、HTTP 以外のトラフィック向けにネットワークレベルの制御を追加します。
- Cloudflare One Client を導入し、TCP 向けに Gateway プロキシ を有効にします。
- リスクの高い IP 範囲への通信をブロックするか、ユーザーが使えるポートとプロトコルを制限します。
- プロトコル検出 を使い、ポート番号ではなくトラフィックパターンでアプリケーションを識別します。
- 監査証跡のためにネットワークセッションログを有効にします。
設定手順は ネットワークフィルタリングを設定する を参照してください。
HTTP 検査はいちばん細かい可視化と制御ができますが、追加のセットアップが必要です。
- ユーザーデバイスに Cloudflare ルート証明書 をインストールします。
- HTTPS トラフィックを検査するために TLS 復号 を有効にします。
- 証明書ピンニングを使うアプリケーション向けに Do Not Inspect ポリシーを作成します。
- リスクの高いファイル種類をブロックし、ウイルス対策スキャン を有効にし、機密データを検出する DLP プロファイル を設定します。
- リスクの高いサイトは Browser Isolation でリモートブラウザーに描画します。
設定手順は HTTP フィルタリングを設定する を参照してください。
すべてのポリシー層が有効になったら、Gateway をネットワーク全体に広げ、ほかの Cloudflare One サービスと連携します。
- 支店とデータセンターを ネットワークトンネル（Magic WAN 経由の IPsec/GRE）で接続します。
- サードパーティサービスが組織のトラフィックを識別できるように 専用エグレス IP を設定します。
- 内部 DNS クエリをプライベート DNS サーバーへ送る リゾルバーポリシー を設定します。
- CASB で SaaS アプリケーションの利用を監視します。