DNS over TLS（DoT）

デフォルトでは、DNS は平文の接続で送られます。DNS over TLS（DoT）は、DNS クエリを暗号化して安全かつプライベートに保つための標準です。DoT は、HTTPS の Web サイトが通信の暗号化と認証に使うのと同じセキュリティプロトコルである TLS を使います。

Cloudflare は、RFC7858 ↗ に準拠し、標準ポート 853 で TLS 1.2 と TLS 1.3 の DoT に対応しています。

DoT クエリを設定する

1. DoT ホスト名を取得する

Gateway の各 DNS ロケーションには、一意の DoT ホスト名があります。DNS ロケーションと対応する DoT ホスト名には、ポリシーが紐づきます。

Cloudflare One ↗ で Networks > Resolvers & Proxies を開きます。
DNS locations で新しいロケーションを追加するか、一覧から既存のロケーションを選びます。
DoT endpoint の DoT addresses の値をコピーします。

DoT ホスト名には、そのロケーション固有の名前が含まれます。たとえば DoT ホスト名が 9y65g5srsm.cloudflare-gateway.com なら、ロケーション名は 9y65g5srsm です。

2. DoT クライアントを設定する

dig などの DoT クライアントを設定するには、クエリにロケーションの IP アドレスと DoT ホスト名を指定します。例:

Hostname: 9y65g5srsm.cloudflare-gateway.com
IP address: 162.159.36.5

または、汎用の DoT エンドポイント（dns.cloudflare-gateway.com）を使い、コード 65011 の OPT レコードを含めます。OPT レコードの値で特定のロケーションを選べます。例:

Hostname: dns.cloudflare-gateway.com
IP address: 162.159.36.5
OPT Record:
  - Code: 65011
  - Value: 9y65g5srsm

一部のスタブリゾルバーは DoT にネイティブ対応しています。たとえば Unbound で DoT クエリを送る設定は次のとおりです。

# Unbound TLS Config
tls-cert-bundle: "/etc/ssl/cert.pem"
# Forwarding Config
forward-zone:
 name: "."
 forward-tls-upstream: yes
 forward-addr: 162.159.36.5@853#9y65g5srsm.cloudflare-gateway.com
 forward-addr: 2001:db8:abcd::1234#9y65g5srsm.cloudflare-gateway.com