HTTP/3 は TCP ではなく、UDP 上の QUIC プロトコルを使います。Gateway のデフォルトプロキシは TCP トラフィックだけを扱うため、HTTP/3 検査には UDP プロキシを有効にする必要があります。無効のままだと、HTTP/3 トラフィックは HTTP 検査を迂回します。基盤の UDP トラフィックには、引き続き ネットワークポリシー が適用されます。
Gateway は HTTP/3 トラフィックに HTTP ポリシーを最後に適用します。詳細は 適用順序 を参照してください。
HTTPS トラフィックを検査する前に、デバイスへ ユーザー側証明書 を配布し、TLS decryption を有効にする必要があります。HTTP/3 トラフィックを検査するには、UDP 向けの Gateway proxy も有効にします。
UDP 向け Gateway proxy と TLS decryption を有効にするには:
- Cloudflare ダッシュボード ↗ で Zero Trust > Traffic policies > Traffic settings を開きます。
- Proxy and inspection で Allow Secure Web Gateway to proxy traffic をオンにします。
- TCP と UDP を選びます。
- TLS decryption をオンにします。
Gateway は Mozilla Firefox と Microsoft Edge の HTTP/3 トラフィックを、HTTP/3 プロキシ接続を確立して検査できます。そのあと Gateway は HTTP/3 接続を終端し、トラフィックを復号して検査し、宛先サーバーへ HTTP/2 で接続します。cURL など、ほかの HTTP アプリケーションも検査できます。
UDP プロキシと TLS decryption の両方がオンの場合、Google Chrome は HTTP/3 接続を自動でキャンセルし、Gateway が検査できる HTTP/2 で再試行します。UDP プロキシまたは TLS decryption のいずれかがオフの場合、Chrome からの HTTP/3 トラフィックは検査を完全に迂回します。
クライアントからオリジンまでのエンドツーエンド暗号化を保ったまま Gateway proxy を使う場合は、対象トラフィックに一致する Do Not Inspect HTTP ポリシー を作成できます。Do Not Inspect ポリシーを使うと、Gateway の TLS decryption と検査を迂回し、HTTP/3 トラフィックのプロキシ性能とエンドツーエンド暗号化を維持できます。
UDP プロキシを有効にせず Gateway ポリシーを HTTP トラフィックに適用するには、ユーザーのブラウザーで QUIC をオフにし、Gateway に届くトラフィックを HTTP/2 だけにします。
Google Chrome
chrome://flagsを開きます。- Experimental QUIC protocol を Disabled にします。
- Chrome を再起動します。
Safari
Safari では QUIC をオフにできません。トラフィックはすべて HTTP/3 で送られます。
Firefox
about:configを開きます。- 警告が表示されたら Accept the Risk and Continue を選択します。
- network.http.http3.enable を false にします。
- Firefox を再起動します。
Microsoft Edge
edge://flagsを開きます。- Experimental QUIC protocol を Disabled にします。
- Edge を再起動します。