インターネットサービスプロバイダーは、事業を広げるための新しい収益機会を常に探しています。いま多くの事業者が、接続サービスに加えてセキュリティを付加価値サービスとして提供しようとしています。従来、セキュリティと接続の統合は難しく、高価なオンプレミスハードウェアが必要なレガシーソリューションに依存していました。導入と管理が難しく、導入後もスケーラビリティと可用性に苦戦しがちです。
いまでは、これらの制約は Cloudflare Gateway のようなクラウドベースのソリューションで解消できます。Cloudflare Gateway は Secure Web Gateway サービスです。Cloudflare Gateway の DNS フィルタリングを使うと、サービスプロバイダーは住宅・モバイル加入者や B2B 顧客向けに、付加価値のセキュリティを提供できます。Cloudflare の 脅威インテリジェンス ↗ に裏打ちされたポリシーを簡単に作れるため、顧客が 有害なドメイン へアクセスするのを防げます。
さらに Cloudflare Gateway は、可用性、性能、スケーラビリティの心配を減らします。基盤は Cloudflare の 1.1.1.1 パブリック DNS リゾルバー で、世界で最も 高速 ↗ かつ広く使われている DNS リゾルバーの 1 つです。
この仕組みは、セキュリティ以外のサービスにも広げられます。ペアレンタルコントロールや、B2B 顧客向けのフィルタリングプロファイルなどです。
サービスプロバイダーのエンド顧客へ DNS セキュリティを提供するには、Cloudflare への連携はシンプルです。サービスプロバイダーはパブリック DNS リクエストを自社の Cloudflare テナントへ転送します。Cloudflare は、設定した DNS フィルタリングポリシーに従って DNS クエリをフィルタリングします。
Cloudflare Gateway は他の Cloudflare サービスと同様に anycast ↗ を使います。サービスプロバイダーの DNS クエリは、最も近い Cloudflare の拠点へ送られます。
サービスプロバイダーからのクエリと、他の顧客からのクエリを区別するために、管理者は Cloudflare テナントのダッシュボードで location（ロケーション）を設定します。DNS location を作成すると、Gateway はその location 向けに IPv4 / IPv6 アドレスと DoT / DoH ホスト名を割り当てます。サービスプロバイダーは、これらの IP アドレスとホスト名を使って DNS クエリを解決します。一方、サービスプロバイダーはオンプレミス DNS サーバーのパブリック IP アドレスを location オブジェクトに設定します。これにより Cloudflare は、クエリを対応する location に正確に関連付けられます。
DNS フィルタリングは、サービスプロバイダーが設定した DNS ポリシーで実施します。セキュリティリスク に関連するドメインを検出します。Cloudflare は 脅威インテリジェンス ↗ をもとに、リスクのあるドメインの一覧を継続的に更新します。DNS クエリがフラグ付きドメインに一致すると、DNS ポリシーで指定したアクションが実行されます。アクションは Block にできます。Gateway は IPv4 クエリには 0.0.0.0、IPv6 クエリには :: で応答するか、Cloudflare がホストするカスタムブロックページ を表示します。または [Override](/cloudflare-one/traffic-policies/dns-policies/#override) アクション、あるいは ブロックページへの URL リダイレクト で、サービスプロバイダーがホストするブロックページへ DNS クエリをリダイレクトできます。
許可またはブロックするドメインをより細かく制御するには、Allowed Domain ポリシーと Blocked Domains ポリシーを追加できます。これらのポリシーの 優先度を Security Risks ポリシーより低く すると、特定ドメインについて Security Risks ポリシーを上書きできます。
許可ドメインとブロックドメインの管理を簡単にするには、lists（リスト）を使います。リストはダッシュボードまたは API で更新でき、ポリシーの調整が効率的になります。
さらに、Cloudflare Gateway へ転送されたすべての DNS クエリはログに残り、Logpush で外部システムへ書き出せます。
サービスプロバイダーは、基本の DNS セキュリティに加えて、Cloudflare Gateway の DNS ポリシーで付加価値サービスを提供できます。同じ仕組みで、コンテンツカテゴリのフィルタリングサービスを作れます。Cloudflare 組み込みの コンテンツカテゴリ と アプリケーションタイプ、およびサービスプロバイダー独自の許可・ブロックリストで構築できます。
想定される用途の例です。
- ペアレンタルコントロール: アダルト、児童虐待、暴力、疑わしいコンテンツなどのカテゴリをブロックし、子どもにとって安全なオンライン環境を確保します。
- 教育向けサービス: 学校や教育機関向けです。ペアレンタルコントロールに加え、CIPA、ギャンブル、エンターテインメントなどのカテゴリもブロックし、学習に集中しやすい環境を作ります。
- エンタープライズ向けサービス: 業務と関係のないドメインへのアクセスを制限できます。エンターテインメント、ソーシャルネットワーキング、ギャンブル、ショッピングとオークション、社会とライフスタイル、スポーツなどのカテゴリです。
これらの追加サービスを、中核の DNS セキュリティと区別するには、サービスごとに追加の DNS locations を作成します。サービスプロバイダーが、location の一意の識別子のいずれかにクエリを送ると、Cloudflare はそれらのサービス向けの DNS クエリを区別できます。各 location には、一意の DoH および DoT ホスト名と、一意の 宛先 IPv6 アドレス があります。Cloudflare は location ごとに 専用の宛先 IPv4 アドレス も用意できます。