管理対象ネットワーク

Cloudflare One Client（旧称 WARP）では、デバイスがオフィスなどの既知のネットワーク所在地に接続したときに、特定の デバイスプロファイル とデバイスクライアント設定を選択的に適用できます。デバイスがどのネットワーク上にあるかを判定するため、Cloudflare One Client はそのネットワーク上でホストする TLS エンドポイントに接続し、証明書を検証します。証明書が一致すると、デバイスは管理対象ネットワーク上にあり、対応する デバイスプロファイル を受け取ります（そのネットワーク用にプロファイルを設定している場合）。

このページでは、次の内容を説明します。

• 信頼できるネットワーク上に TLS エンドポイントを作成する。
• Zero Trust で TLS エンドポイントを設定し、管理対象ネットワークを用意する。
• Cloudflare One Client が管理対象ネットワーク上だと判定したときに、適切なデバイスプロファイルを適用する。

• Cloudflare One Client は、オペレーティングシステムのデフォルトルートが変わったとき、接続中の Wi-Fi の SSID が変わったとき、またはデフォルトインターフェイスの DNS サーバーが変わったときに、管理対象ネットワークをスキャンします。性能への影響を抑えるため、所在地ごとに別の設定プロファイルが必要な場合を除き、複数拠点で同じ TLS エンドポイントを再利用してください。
• デバイスが同時に到達できる管理対象ネットワークは 1 つだけにしてください。複数の管理対象ネットワークが設定されていて到達できる場合、どの設定プロファイルが適用されるかを判定する方法はありません。

管理対象ネットワークを設定すると、Cloudflare One Client は TLS エンドポイントを使って、デバイスがそのネットワーク上にあるかを判定します。

正しいデバイスプロファイルが適用されるまでの時間は、TLS エンドポイントの応答速度に依存します。

TLS エンドポイントが 5 秒でタイムアウトすると、Cloudflare One Client はデバイスが管理対象ネットワーク上にないと判断し、デフォルトのデバイスプロファイルを適用します。検出の再試行は、タイムアウト以外のエラーが発生した場合にだけ行われます。タイムアウトすると、再試行なしでデフォルトのデバイスプロファイルにフォールバックします。

TLS エンドポイントは、TLS 証明書を提供するネットワーク上のホストです。TLS エンドポイントはネットワーク所在地のビーコンのように働きます。デバイスがネットワークに接続すると、そのデバイス上の Cloudflare One Client が TLS エンドポイントを検出し、TLS 証明書を SHA-256 フィンガープリント（指定している場合）またはローカルの証明書ストアと照合し、公開認証局の署名であるかを確認します。

TLS 証明書は、ネットワーク上の任意のデバイスでホストできます。ただし、その所在地の外にいるユーザーからはエンドポイントに到達できない必要があります。Cloudflare One Client は、ユーザーが Cloudflare Tunnel 経由でこのエンドポイントに接続できないよう、管理対象ネットワークのエンドポイントをすべてのデバイスプロファイルから自動的に除外します。リモートユーザーがアクセスする必要のない、オフィス内のプリンターなどのホストを選ぶことをおすすめします。

ネットワーク上に TLS エンドポイントがまだない場合は、次の手順で用意できます。

1. TLS 証明書を生成します。

   openssl req -x509 -newkey rsa:4096 -sha256 -days 3650 -nodes -keyout key.pem -out cert.pem -subj "/CN=example.com" -addext "subjectAltName=DNS:example.com"

   このコマンドは PEM 形式の証明書と秘密鍵を出力します。これらのファイルは安全な場所に保管してください。

2. ネットワーク上の HTTPS サーバーが、この証明書と鍵を使うよう設定します。次の例は、Docker の nginx コンテナから TLS 証明書を提供する方法です。

   a. nginx.conf という nginx 設定ファイルを作成します。

   events {
   worker_connections  1024;
   }
   
   http {
   		server {
   			listen              443 ssl;
   			ssl_certificate     /certs/cert.pem;
   			ssl_certificate_key /certs/key.pem;
   			location / {
   						return 200;
   			}
   		}
   }

   必要に応じて、/certs/cert.pem と /certs/key.pem を証明書と鍵の場所に置き換えます。

   b. Docker Compose ファイルに nginx イメージを追加します。

   services:
   	nginx:
   		image: nginx:latest
   		ports:
   			- 3333:443
   		volumes:
   			- ./nginx.conf:/etc/nginx/nginx.conf:ro
   			- ./certs:/certs:ro

   必要に応じて、./nginx.conf と ./certs を nginx 設定ファイルと証明書の場所に置き換えます。

   c. サーバーを起動します。

   docker compose up -d

3. TLS サーバーが動作していることを確認するには、エンドユーザーのデバイスから curl コマンドを実行します。

   curl --verbose --insecure https://<private-server-IP>:3333/

   自己署名証明書を使っているため、--insecure オプションが必要です。デバイスがネットワークに接続していれば、リクエストは 200 ステータスコードを返す必要があります。

Cloudflare One Client は Rustls ↗ を使って TLS 接続を確立します。TLS エンドポイントが、Rustls が対応している暗号スイート ↗ のいずれかを受け入れることを確認してください。

SHA-256 フィンガープリントは、TLS エンドポイントが自己署名証明書を使う場合にだけ必要です。

openssl x509 -noout -fingerprint -sha256 -inform pem -in cert.pem | tr -d :

SHA256 Fingerprint=DD4F4806C57A5BBAF1AA5B080F0541DA75DB468D0A1FE731310149500CCD8662

openssl s_client -connect <private-server-IP>:443 < /dev/null 2> /dev/null | openssl x509 -noout -fingerprint -sha256 | tr -d :

SHA256 Fingerprint=DD4F4806C57A5BBAF1AA5B080F0541DA75DB468D0A1FE731310149500CCD8662

TLS エンドポイントをプライベート IP アドレスで指定した場合、Cloudflare One Client はすべてのデバイスプロファイルからそのエンドポイントを自動的に除外します。この除外により、リモートユーザーは任意のポートで WARP トンネル経由にエンドポイントへアクセスできません。TLS エンドポイントをプライベート IP ではなくホスト名で指定した場合、Cloudflare One Client は自動では除外しません。

resource "cloudflare_zero_trust_device_custom_profile" "office" {
	account_id            = var.cloudflare_account_id
	name                  = "Office"
	description           = "Devices connected to the office network"
	precedence            = 1
	service_mode_v2       = {mode = "warp"}

	match = trimspace(replace(<<-EOT
		network == "${cloudflare_zero_trust_device_managed_networks.office.name}"
	EOT
	, "\n", " "))
}

管理対象ネットワークが有効になりました。組織内のデバイスがネットワークに接続するたび（デバイスの起動時や Wi-Fi ネットワークの変更時など）、Cloudflare One Client はネットワーク所在地を判定し、対応する設定プロファイルを適用します。

Cloudflare One Client がネットワーク所在地を検出しているかを確認するには:

1. Cloudflare One Client を接続します。
2. ネットワークを切断して再接続します。
3. ターミナルを開き、warp-cli debug alternate-network を実行します。

• デバイスプロファイル — 管理対象ネットワーク経由で適用するデバイスプロファイルの作成と管理です。
• デバイスクライアント設定 — Cloudflare One Client の動作と、ユーザーができる操作を定義します。
• Cloudflare One Client トラブルシューティングガイド — よくある Cloudflare One Client の問題を解決します。