プライベート DNS を解決する

1. Cloudflare ダッシュボード ↗ で、Zero Trust > Team & Resources > Devices > Device profiles > General profiles を開きます。
2. 表示または変更したい デバイスプロファイル を探し、Configure を選択します。
3. Local Domain Fallback までスクロールし、Manage を選択します。

4. Domain に、プライベート DNS サーバーで解決したい apex ドメイン（example.com）を入力します。apex ドメイン配下のプレフィックスはすべて Local Domain Fallback の対象になります（つまり、example.com は *.example.com として解釈されます）。

5. DNS Servers に、そのドメイン名を解決する DNS サーバーの IP アドレスを入力します。パフォーマンスの問題を避けるため、Cloudflare はサーバーを最大 8 台までにすることを推奨します。

6. 任意の説明を入力し、Save domain を選択します。

Local Domain Fallback の一覧は、特定の デバイスプロファイル にスコープされます。デバイスプロファイルに対応する Local Domain Fallback リソースがない場合、そのデバイスは手順 2 に表示されるデフォルトのローカルドメインを使います。

1. cloudflare_api_token ↗ に次の権限を追加します。

   • Zero Trust Write

2. （任意）複数のデバイスプロファイルで再利用できるドメインの一覧を作成します。たとえば、デバイスプロファイルと同じモジュールでローカル値を宣言できます。

   locals {
   	default_local_domains = [
   		# Default Local Domain Fallback entries recommended by Cloudflare
       {
     suffix = "corp"
   },
   {
     suffix = "domain"
   },
   {
     suffix = "home"
   },
   {
     suffix = "home.arpa"
   },
   {
     suffix = "host"
   },
   {
     suffix = "internal"
   },
   {
     suffix = "intranet"
   },
   {
     suffix = "invalid"
   },
   {
     suffix = "lan"
   },
   {
     suffix = "local"
   },
   {
     suffix = "localdomain"
   },
   {
     suffix = "localhost"
   },
   {
     suffix = "private"
   },
   {
     suffix = "test"
   }
   	]
   }

3. デフォルトのデバイスプロファイルに Local Domain Fallback を設定するには、cloudflare_zero_trust_device_default_profile_local_domain_fallback ↗ リソースを使います。カスタムのデバイスプロファイルに Local Domain Fallback を設定するには、cloudflare_zero_trust_device_custom_profile_local_domain_fallback ↗ を使います。例:

   resource "cloudflare_zero_trust_device_custom_profile_local_domain_fallback" "example" {
   	account_id = var.cloudflare_account_id
   	policy_id  = cloudflare_zero_trust_device_custom_profile.example.id
   	domains = concat(
   		# Global entries
   		local.default_local_domains,
   
   		# Profile-specific entries
   		[
   			{
   			suffix = "example.com"
   			description = "Domain for local development"
   			dns_server = ["1.1.1.1", "192.168.0.1"]
   			}
   		]
   	)
   }

suffix には、プライベート DNS サーバーで解決したい apex ドメイン（example.com）を指定します。apex ドメイン配下のプレフィックスはすべて Local Domain Fallback の対象になります（つまり、example.com は *.example.com として解釈されます）。dns_server には、そのドメイン名を解決する DNS サーバーの IP アドレスを入力します。パフォーマンスの問題を避けるため、Cloudflare はサーバーを最大 8 台までにすることを推奨します。

1. Cloudflare ダッシュボード ↗ で Zero Trust > Traffic policies > Resolver policies を開きます。

2. Add a policy を選択します。

3. 対象トラフィックの式を作成します。たとえば、内部サービスのホスト名を解決できます。

   セレクター	演算子	値
   Host	in	internal.example.com

   宛先が Local Domain Fallback の対象になっていないことを確認してください。

4. Select DNS resolver で Configure custom DNS resolvers を選びます。

5. カスタム DNS リゾルバーの IP アドレスを入力します。IP アドレスを入力すると、Gateway は Zero Trust で設定した 仮想ネットワーク を検索します。

6. Network で、クエリを公開（インターネット）へ送るか、非公開（プライベートネットワークサービス）へ送るかを選びます。

7. （任意）各 IP アドレスにカスタムポートを入力します。

8. Create policy を選択します。

カスタムリゾルバーはアカウントに保存され、あとから再利用できます。ポリシーには IPv4 アドレスを最大 10 個、IPv6 アドレスを最大 10 個追加できます。

1. 次の権限を cloudflare_api_token ↗ に追加します。

   • Zero Trust Write

2. cloudflare_zero_trust_gateway_policy ↗ リソースでリゾルバーポリシーを作成します。

   resource "cloudflare_zero_trust_gateway_policy" "resolver_policy" {
   	name        = "Example resolver policy"
   	enabled     = true
   	account_id  = var.cloudflare_account_id
   	description = "TERRAFORM MANAGED resolver policy"
   	action      = "resolve"
   	traffic     = "dns.fqdn in {\"internal.example.com\"}"
   	identity    = "identity.email in {\"[email protected]\"}"
   	precedence  = 1
   	rule_settings = {
   			dns_resolvers = {
   			# You can add up to 10 IPv4 and 10 IPv6 addresses to a policy.
   				ipv4 = [{
   					ip = "192.0.2.24"
   					port = 53
   					route_through_private_network = true
   					vnet_id = cloudflare_zero_trust_tunnel_cloudflared_virtual_network.staging_vnet.id
   				}]
   				ipv6 = [{
   					ip = "2001:DB8::"
   					port = 53
   					route_through_private_network = true
   					vnet_id = cloudflare_zero_trust_tunnel_cloudflared_virtual_network.staging_vnet.id
   				}]
   			}
   	}
   }