このガイドでは、Cloudflare Tunnel を展開する前に、環境と Cloudflare Tunnel エンドポイント の間の接続を確認します。cloudflared を実行する予定のホストと同じマシンから DNS とネットワークのチェックを実行し、cloudflared が Cloudflare Tunnel エンドポイントへ接続できない原因を特定します。
cloudflared をインストールする前にこれらのチェックを実行すると、展開が成功しやすくなり、後から起きた接続問題の切り分けにも役立ちます。
このガイドの構成は次のとおりです。
-
始める前に: 前提条件と用語を確認します。
-
dig による DNS テスト: DNS が Cloudflare Tunnel エンドポイントを想定どおりの IP に解決することを確認します。
-
ネットワーク接続をテストする: ファイアウォールがポート
7844（TCP と UDP）の送信トラフィックを許可していることを確認します。 -
ヘルプを得る: テストが失敗した場合に集める情報と、連絡先です。
次のものが必要です。
-
cloudflaredを実行する予定の、インターネットに接続したホストマシン。テストはcloudflaredを実行する環境と同じ場所（同じネットワーク、同じファイアウォール経路）から実行してください。 -
digとnc（netcat）、または同等のソフトウェアを実行できる権限のあるターミナルセッション。
cloudflared はプラットフォームを問わず、幅広いオペレーティングシステムに対応しています。詳細は トンネルのシステム要件 を参照してください。
Cloudflare への接続を切り分けるときは、次の区別が重要です。
-
ホストマシン:
cloudflaredを実行するサーバーまたは仮想マシン（VM）です。 -
環境: ホストマシンを含む、より広い構成（ネットワークとファイアウォールの設定）です。
Cloudflare Tunnel のエラーは、ホストマシン上では cloudflared のエラーとして現れても、原因は環境側（DNS やファイアウォールポリシーなど）にあることがあります。このガイドの対象は環境であり、cloudflared 自体ではありません。
cloudflared は、ポート 7844 経由で Cloudflare のグローバルネットワークへ 送信専用の接続 を確立します。具体的な宛先とポートは ファイアウォールとトンネル に記載されています。
Cloudflare Tunnel は、region1.v2.argotunnel.com と region2.v2.argotunnel.com への送信接続が必要です（米国リージョン を使う場合は同等の us-region1 と us-region2、FedRAMP High リージョン を使う場合は fed-region1 と fed-region2）。
健全で成功する展開では、cloudflared は両方のリージョン（region1.v2.argotunnel.com と region2.v2.argotunnel.com、または us-region1 と us-region2 の両方）へ接続する 4 つのアクティブなレプリカ を持つ必要があります。
まず、DNS リゾルバーが Cloudflare Tunnel エンドポイントに対して想定どおりの IP アドレスを返すことを確認します。
グローバルリージョン、米国リージョン、FedRAMP High リージョンのいずれをテストするかに応じて、次のいずれかのコマンドを実行します。
dig A region1.v2.argotunnel.com;; ANSWER SECTION:
region1.v2.argotunnel.com. 86400 IN A 198.41.192.167
region1.v2.argotunnel.com. 86400 IN A 198.41.192.67
region1.v2.argotunnel.com. 86400 IN A 198.41.192.57
region1.v2.argotunnel.com. 86400 IN A 198.41.192.107
region1.v2.argotunnel.com. 86400 IN A 198.41.192.27
region1.v2.argotunnel.com. 86400 IN A 198.41.192.7
region1.v2.argotunnel.com. 86400 IN A 198.41.192.227
region1.v2.argotunnel.com. 86400 IN A 198.41.192.47
region1.v2.argotunnel.com. 86400 IN A 198.41.192.37
region1.v2.argotunnel.com. 86400 IN A 198.41.192.77
...dig AAAA region1.v2.argotunnel.com;; ANSWER SECTION:
region1.v2.argotunnel.com. 86400 IN AAAA 2606:4700:a0::1
region1.v2.argotunnel.com. 86400 IN AAAA 2606:4700:a0::2
region1.v2.argotunnel.com. 86400 IN AAAA 2606:4700:a0::3
region1.v2.argotunnel.com. 86400 IN AAAA 2606:4700:a0::4
region1.v2.argotunnel.com. 86400 IN AAAA 2606:4700:a0::5
region1.v2.argotunnel.com. 86400 IN AAAA 2606:4700:a0::6
region1.v2.argotunnel.com. 86400 IN AAAA 2606:4700:a0::7
region1.v2.argotunnel.com. 86400 IN AAAA 2606:4700:a0::8
region1.v2.argotunnel.com. 86400 IN AAAA 2606:4700:a0::9
region1.v2.argotunnel.com. 86400 IN AAAA 2606:4700:a0::10
...dig A region2.v2.argotunnel.com;; ANSWER SECTION:
region2.v2.argotunnel.com. 86400 IN A 198.41.200.13
region2.v2.argotunnel.com. 86400 IN A 198.41.200.193
region2.v2.argotunnel.com. 86400 IN A 198.41.200.33
region2.v2.argotunnel.com. 86400 IN A 198.41.200.233
region2.v2.argotunnel.com. 86400 IN A 198.41.200.53
region2.v2.argotunnel.com. 86400 IN A 198.41.200.63
region2.v2.argotunnel.com. 86400 IN A 198.41.200.113
region2.v2.argotunnel.com. 86400 IN A 198.41.200.73
region2.v2.argotunnel.com. 86400 IN A 198.41.200.43
region2.v2.argotunnel.com. 86400 IN A 198.41.200.23
...dig AAAA region2.v2.argotunnel.com;; ANSWER SECTION:
region2.v2.argotunnel.com. 86400 IN AAAA 2606:4700:a8::1
region2.v2.argotunnel.com. 86400 IN AAAA 2606:4700:a8::2
region2.v2.argotunnel.com. 86400 IN AAAA 2606:4700:a8::3
region2.v2.argotunnel.com. 86400 IN AAAA 2606:4700:a8::4
region2.v2.argotunnel.com. 86400 IN AAAA 2606:4700:a8::5
region2.v2.argotunnel.com. 86400 IN AAAA 2606:4700:a8::6
region2.v2.argotunnel.com. 86400 IN AAAA 2606:4700:a8::7
region2.v2.argotunnel.com. 86400 IN AAAA 2606:4700:a8::8
region2.v2.argotunnel.com. 86400 IN AAAA 2606:4700:a8::9
region2.v2.argotunnel.com. 86400 IN AAAA 2606:4700:a8::10
...dig A us-region1.v2.argotunnel.com;; ANSWER SECTION:
us-region1.v2.argotunnel.com. 86400 IN A 198.41.218.1
us-region1.v2.argotunnel.com. 86400 IN A 198.41.218.2
us-region1.v2.argotunnel.com. 86400 IN A 198.41.218.3
us-region1.v2.argotunnel.com. 86400 IN A 198.41.218.4
us-region1.v2.argotunnel.com. 86400 IN A 198.41.218.5
us-region1.v2.argotunnel.com. 86400 IN A 198.41.218.6
us-region1.v2.argotunnel.com. 86400 IN A 198.41.218.7
us-region1.v2.argotunnel.com. 86400 IN A 198.41.218.8
us-region1.v2.argotunnel.com. 86400 IN A 198.41.218.9
us-region1.v2.argotunnel.com. 86400 IN A 198.41.218.10
...dig AAAA us-region1.v2.argotunnel.com;; ANSWER SECTION:
us-region1.v2.argotunnel.com. 86400 IN AAAA 2606:4700:a1::1
us-region1.v2.argotunnel.com. 86400 IN AAAA 2606:4700:a1::2
us-region1.v2.argotunnel.com. 86400 IN AAAA 2606:4700:a1::3
us-region1.v2.argotunnel.com. 86400 IN AAAA 2606:4700:a1::4
us-region1.v2.argotunnel.com. 86400 IN AAAA 2606:4700:a1::5
us-region1.v2.argotunnel.com. 86400 IN AAAA 2606:4700:a1::6
us-region1.v2.argotunnel.com. 86400 IN AAAA 2606:4700:a1::7
us-region1.v2.argotunnel.com. 86400 IN AAAA 2606:4700:a1::8
us-region1.v2.argotunnel.com. 86400 IN AAAA 2606:4700:a1::9
us-region1.v2.argotunnel.com. 86400 IN AAAA 2606:4700:a1::10
...dig A us-region2.v2.argotunnel.com;; ANSWER SECTION:
us-region2.v2.argotunnel.com. 86400 IN A 198.41.219.1
us-region2.v2.argotunnel.com. 86400 IN A 198.41.219.2
us-region2.v2.argotunnel.com. 86400 IN A 198.41.219.3
us-region2.v2.argotunnel.com. 86400 IN A 198.41.219.4
us-region2.v2.argotunnel.com. 86400 IN A 198.41.219.5
us-region2.v2.argotunnel.com. 86400 IN A 198.41.219.6
us-region2.v2.argotunnel.com. 86400 IN A 198.41.219.7
us-region2.v2.argotunnel.com. 86400 IN A 198.41.219.8
us-region2.v2.argotunnel.com. 86400 IN A 198.41.219.9
us-region2.v2.argotunnel.com. 86400 IN A 198.41.219.10
...dig AAAA us-region2.v2.argotunnel.com;; ANSWER SECTION:
us-region2.v2.argotunnel.com. 86400 IN AAAA 2606:4700:a9::1
us-region2.v2.argotunnel.com. 86400 IN AAAA 2606:4700:a9::2
us-region2.v2.argotunnel.com. 86400 IN AAAA 2606:4700:a9::3
us-region2.v2.argotunnel.com. 86400 IN AAAA 2606:4700:a9::4
us-region2.v2.argotunnel.com. 86400 IN AAAA 2606:4700:a9::5
us-region2.v2.argotunnel.com. 86400 IN AAAA 2606:4700:a9::6
us-region2.v2.argotunnel.com. 86400 IN AAAA 2606:4700:a9::7
us-region2.v2.argotunnel.com. 86400 IN AAAA 2606:4700:a9::8
us-region2.v2.argotunnel.com. 86400 IN AAAA 2606:4700:a9::9
us-region2.v2.argotunnel.com. 86400 IN AAAA 2606:4700:a9::10
...dig A fed-region1.v2.argotunnel.com;; ANSWER SECTION:
fed-region1.v2.argotunnel.com. 300 IN A 162.159.234.1
fed-region1.v2.argotunnel.com. 300 IN A 162.159.234.2
fed-region1.v2.argotunnel.com. 300 IN A 162.159.234.3
fed-region1.v2.argotunnel.com. 300 IN A 162.159.234.4
fed-region1.v2.argotunnel.com. 300 IN A 162.159.234.5
fed-region1.v2.argotunnel.com. 300 IN A 162.159.234.6
fed-region1.v2.argotunnel.com. 300 IN A 162.159.234.7
fed-region1.v2.argotunnel.com. 300 IN A 162.159.234.8
fed-region1.v2.argotunnel.com. 300 IN A 162.159.234.9
fed-region1.v2.argotunnel.com. 300 IN A 162.159.234.10
...dig AAAA fed-region1.v2.argotunnel.com;; ANSWER SECTION:
fed-region1.v2.argotunnel.com. 300 IN AAAA 2a06:98c1:4d::1
fed-region1.v2.argotunnel.com. 300 IN AAAA 2a06:98c1:4d::2
fed-region1.v2.argotunnel.com. 300 IN AAAA 2a06:98c1:4d::3
fed-region1.v2.argotunnel.com. 300 IN AAAA 2a06:98c1:4d::4
fed-region1.v2.argotunnel.com. 300 IN AAAA 2a06:98c1:4d::5
fed-region1.v2.argotunnel.com. 300 IN AAAA 2a06:98c1:4d::6
fed-region1.v2.argotunnel.com. 300 IN AAAA 2a06:98c1:4d::7
fed-region1.v2.argotunnel.com. 300 IN AAAA 2a06:98c1:4d::8
fed-region1.v2.argotunnel.com. 300 IN AAAA 2a06:98c1:4d::9
fed-region1.v2.argotunnel.com. 300 IN AAAA 2a06:98c1:4d::10
...dig A fed-region2.v2.argotunnel.com;; ANSWER SECTION:
fed-region2.v2.argotunnel.com. 300 IN A 172.64.234.1
fed-region2.v2.argotunnel.com. 300 IN A 172.64.234.2
fed-region2.v2.argotunnel.com. 300 IN A 172.64.234.3
fed-region2.v2.argotunnel.com. 300 IN A 172.64.234.4
fed-region2.v2.argotunnel.com. 300 IN A 172.64.234.5
fed-region2.v2.argotunnel.com. 300 IN A 172.64.234.6
fed-region2.v2.argotunnel.com. 300 IN A 172.64.234.7
fed-region2.v2.argotunnel.com. 300 IN A 172.64.234.8
fed-region2.v2.argotunnel.com. 300 IN A 172.64.234.9
fed-region2.v2.argotunnel.com. 300 IN A 172.64.234.10
...dig AAAA fed-region2.v2.argotunnel.com;; ANSWER SECTION:
fed-region2.v2.argotunnel.com. 300 IN AAAA 2606:4700:f6::1
fed-region2.v2.argotunnel.com. 300 IN AAAA 2606:4700:f6::2
fed-region2.v2.argotunnel.com. 300 IN AAAA 2606:4700:f6::3
fed-region2.v2.argotunnel.com. 300 IN AAAA 2606:4700:f6::4
fed-region2.v2.argotunnel.com. 300 IN AAAA 2606:4700:f6::5
fed-region2.v2.argotunnel.com. 300 IN AAAA 2606:4700:f6::6
fed-region2.v2.argotunnel.com. 300 IN AAAA 2606:4700:f6::7
fed-region2.v2.argotunnel.com. 300 IN AAAA 2606:4700:f6::8
fed-region2.v2.argotunnel.com. 300 IN AAAA 2606:4700:f6::9
fed-region2.v2.argotunnel.com. 300 IN AAAA 2606:4700:f6::10
...ANSWER SECTION には、Cloudflare Tunnel エンドポイントの想定どおりの IP アドレスが含まれている必要があります。
次のいずれかの結果になった場合の対応です。
-
ステータスが
NOERRORで、有効な IP アドレスが返る — DNS リゾルバーは Tunnel ホスト名のアドレスを正常に返しています。ネットワーク接続をテストする に進みます。 -
ステータスが
SERVFAIL、NXDOMAIN、または応答が空 — DNS リゾルバーは Tunnel エンドポイントを解決できません。1.1.1.1と比較する に進みます。
元の dig の応答が空、またはドキュメントの IP と一致しない場合は、Cloudflare の公開リゾルバー 1.1.1.1 でもう一度テストします。
dig A region1.v2.argotunnel.com @1.1.1.11.1.1.1 は正しい IP を返す一方、元のリゾルバーが返さない場合、ローカル DNS リゾルバーの設定誤りまたはブロックが原因です。
対処方法は次のとおりです。
- ホストマシンのリゾルバーを
1.1.1.1に設定します。 - 既存のリゾルバーを使い続ける必要がある場合は、システム管理者または ISP に、異なる IP が返る理由を確認します。再帰リゾルバーは、権威 DNS サーバーと同じ応答を返すべきです。修正できない場合、問題はローカル環境にあり、Cloudflare Tunnel を展開する前に解消する必要があります。
元のリゾルバーも 1.1.1.1 も応答を返さない場合、ファイアウォールが Cloudflare Tunnel エンドポイントへの DNS クエリをブロックしている可能性があります。
対処方法は次のとおりです。
- DNS トラフィック全体（ポート
53の UDP）、または Cloudflare 関連の特定の DNS クエリをブロックするファイアウォールルールがないかを確認します。 - マネージド DNS やセキュリティアプライアンスの背後にいる場合は、その提供者に、
region1.v2.argotunnel.comやほかの Cloudflare Tunnel エンドポイントへのクエリがブロックされる理由を確認します。
DNS リゾルバーが想定どおりの IP を返すようになったら、手順 3 の接続テストに進みます。
DNS リゾルバーが正しい IP を返すことを確認したら、ホストマシンが UDP と TCP の両方で、ポート 7844 を使って Cloudflare へパケットを送れるかをテストします。
dig の出力から IP を 1 つ選び（例: 198.41.192.167）、次のテストを実行します。
nc -uvz -w 3 198.41.192.167 7844出力例:
Connection to 198.41.192.167 port 7844 [udp/*] succeeded!nc -vz -w 3 198.41.192.167 7844出力例:
Connection to 198.41.192.167 port 7844 [tcp/*] succeeded!これらのテストで分かるのは、次の 2 点です。
- ホストマシンは Cloudflare Tunnel エンドポイントへ UDP パケットを送れますか。
- ホストマシンは Cloudflare Tunnel エンドポイントへ TCP パケットを送れますか。
いずれかのプロトコルが成功すれば、cloudflared はそのプロトコルでトンネルを確立できます。
前の手順で DNS は動作していることを確認済みです。ここでの接続テストは、環境がポート 7844 で Cloudflare へのトラフィックを許可しているかを確認します。既定では、cloudflared は利用可能なプロトコルへ自動でフォールバックします。
プロトコル がブロックされているのに、cloudflared にそのプロトコルを強制すると（例: UDP がブロックされているのに QUIC を強制する）、トンネルは接続に失敗します。
ファイアウォールは、ポート 7844 で Cloudflare のトンネルエンドポイントへの送信トラフィックと戻りトラフィックを許可しています。cloudflared は quic（UDP）または http2（TCP）のどちらでも接続できます。UDP と TCP の両方が成功し、前のセクションの DNS テストも成功していれば、この環境で Cloudflare Tunnel を展開できます。
送信 UDP は許可されていますが、ポート 7844 の TCP がブロックされているか、検査されています。
cloudflared は quic でのみ接続できます。TCP がブロックされている状態で設定で http2 を強制すると、トンネルは失敗します。
対処: ローカルネットワークのファイアウォールでポート 7844 の TCP を許可するか、http2 の強制をやめて cloudflared が QUIC で接続できるようにします。詳細は Protocol パラメーターのドキュメントを参照してください。
送信 TCP は許可されていますが、ポート 7844 の UDP がブロックされています。
cloudflared は http2 でのみ接続できます。UDP がブロックされている状態で quic を強制すると、トンネルは失敗します。
対処: ローカルネットワークのファイアウォールでポート 7844 の UDP を許可するか、QUIC の強制をやめて cloudflared が HTTP/2 で接続できるようにします。詳細は Protocol パラメーターのドキュメントを参照してください。
ホストと Cloudflare Tunnel エンドポイント の間のどこかでパケットが破棄されています。
多くの場合、ポート 7844 の送信トラフィック（または戻りトラフィック）を許可しないファイアウォールポリシーや、上流のセキュリティ制御が原因です。
対処: ローカルネットワークのファイアウォールで、ポート 7844 の全トラフィックを許可します。解消しない場合は、ISP またはサービス提供者で切り分けます。
DNS テストまたはネットワークテストのいずれかが失敗した場合、原因はローカル環境にあることがほとんどです。管理者、ISP、またはクラウド提供者でデバッグしてください。Cloudflare 側の問題だと考える場合は、サポートへ連絡するときに詳細な情報を提供してください。
できるだけ早くトラブルシューティングできるよう、サポートチケットには十分な詳細を含めてください。状況を詳しく書くほど、問題の特定と解決が早くなります。
サポートへ問い合わせる 際は、チケットにできるだけ関連情報を含めてください。