デバイスクライアント設定

Device client settings（旧 WARP）では、エンドユーザーが使える Cloudflare One Client のモードと権限をカスタマイズできます。

• グローバルな Device client settings は、Zero Trust 組織に登録したすべてのデバイスに適用される設定です。
• グローバルな切断設定 では、インシデントまたは障害時に管理者がすべての Cloudflare One Client を強制切断できます。
• デバイスプロファイル設定 は、適用される デバイスプロファイル によってデバイスごとに異なります。

Lock device client switch が有効なとき、ユーザーはデバイス上で Cloudflare One Client のオン/オフを切り替えられません。Allow admin override codes を有効にすると、管理者が提供する上書きコードで、ユーザーは一時的に Cloudflare One Client を接続または切断できます。Allow admin override codes が必要なのは、Lock device client switch が有効な構成だけです。

Allow admin override codes の使用例は次のとおりです。

• 互換性のない公衆 Wi-Fi や、顧客サイトのファイアウォールが接続をブロックするなど、一時的なネットワーク問題を回避するため、ユーザーが Cloudflare One Client を短時間切断できるようにする。
• グローバル切断が有効な間も、テストユーザーが Cloudflare One Client を接続できるようにする。

管理者として、上書きコード入力後にユーザーがクライアントの接続トグルをオンまたはオフにできる時間を Timeout で設定できます。Cloudflare は 1 時間ごとに新しい上書きコードを生成し、管理者がエンドユーザーに送れます。上書きコードの有効期限は固定時間ブロックに沿い、エンドユーザーにとって余裕のある長さを目指しています。

ユーザーのワンタイムコードを取得する手順は次のとおりです。

1. Allow admin override codes を有効にします。
2. Team & Resources > Devices を開きます。
3. 接続中のデバイスで View details を選びます。
4. User details までスクロールし、ユーザー名を選びます。
5. サイドパネルに表示される 7 桁の Override code をコピーします。
6. このコードをユーザーと共有し、デバイスで入力してもらいます。

ユーザーは、コードを有効化するまでの時間に制限はありません。

ユーザーデバイスで上書きコードを有効化する手順は次のとおりです。

ユーザーはクライアントの接続トグルを切り替えられるようになり、warp-cli connect コマンドも使えます。クライアントは Auto connect 期間 のあと自動再接続しますが、上書きが期限切れになるまで、ユーザーは Cloudflare One Client の接続と切断を続けられます。

Enabled のとき、Cloudflare One Client は組織のルート証明書をデバイスに 自動インストールします。

Cloudflare One Client の 仮想ネットワークインターフェイス のデフォルト IP アドレスを上書きし、各デバイスが独自のローカルインターフェイス IP を持つようにします。

この設定は主に Cloudflare Mesh と MASQUE の前提条件として使います。デフォルト IP がネットワーク上のほかのローカルサービスと衝突する場合にも使えます。

値:

• Disabled: （デフォルト）すべてのデバイスでローカルインターフェイス IP を 172.16.0.2 に設定します。この構成は WireGuard を使うデバイスだけが尊重し、MASQUE を使うデバイスには影響しません。

• Enabled: 各デバイスのローカルインターフェイス IP を CGNAT IP または カスタムデバイス IP に設定します。

デバイスに割り当てられた IP は、デバイスが Zero Trust 組織から登録解除するか、別の登録に切り替えるまで変わりません。切断と再接続では IP アドレスの割り当ては変わりません。

Cloudflare Mesh または Cloudflare WAN でオンランプしたトラフィックを、Zero Trust 組織に登録したデバイスへルーティングできるようにします。

各デバイスには CGNAT IP 空間（100.96.0.0/12）の仮想 IP アドレス、または カスタムデバイス IP 範囲 が割り当てられます。この設定が Enabled のとき、プライベートネットワーク上のユーザーはこれらのデバイス IP に接続し、デバイス上の TCP、UDP、および/または ICMP ベースのサービス にアクセスできます。どのユーザーとデバイスがデバイス IP にアクセスできるかは、Gateway ネットワークポリシー で制御できます。

Disconnect the Cloudflare One Client on all devices では、Cloudflare のサービスに影響するインシデントや障害とは独立して、環境でインシデントが起きたときに管理者が Cloudflare One Client をフェイルオープンできます。Disconnect the Cloudflare One Client on all devices をオンにすると、Cloudflare は Zero Trust 組織に接続しているすべての Windows、macOS、Linux の Cloudflare One Client を切断します。これにはエンドユーザーデバイスと Cloudflare Mesh ノードが含まれます。エンドユーザーはデバイス上で通知を受け取り、Cloudflare One Client は Admin directed disconnect を表示します。

通常運用に戻すには、Disconnect the Cloudflare One Client on all devices をオフにします。Cloudflare One Client は自動再接続します。

Disconnect the Cloudflare One Client on all devices がほかの Device client settings とどう連携するかについては、Device client settings の優先順位 を参照してください。

管理者が Cloudflare インフラストラクチャから独立して、Cloudflare One Client を切断および再接続できるようにします。Enabled のとき、Cloudflare One Client は設定した HTTPS エンドポイントを定期的にポーリングし、有効な切断シグナルを受け取ると切断します。

外部 HTTPS エンドポイントのセットアップは、Emergency Disconnect を参照してください。

ネットワーク接続なしで、デバイス上のローカル JSON ファイルを使い、管理者が Cloudflare One Client を切断および再接続できるようにします。Enabled のとき、Cloudflare One Client は固定ファイルパスで切断シグナルを監視します。Cloudflare と自社インフラストラクチャの両方に到達できない災害復旧シナリオに向いています。

ローカルシグナルファイルのセットアップは、Emergency Disconnect を参照してください。

Enabled のとき、Cloudflare One Client は キャプティブポータル を検出すると自動切断し、Timeout 期間のあと自動再接続します。

キャプティブポータルの実装はさまざまなので、Cloudflare One Client がすべてのキャプティブポータルを検出するとは限りません。詳細は Captive portal detection を参照してください。

Enabled のとき、ユーザーは Traffic and DNS mode と DNS only mode を切り替えられます。この機能は、ほかのモード間の切り替えには対応しません。

デバイスから Cloudflare Gateway へ IP トラフィックをルーティングするプロトコルを設定します。デバイス上のアクティブなプロトコルを確認するには、ターミナルを開き warp-cli settings | grep protocol を実行します。

値:

• WireGuard: Cloudflare への WireGuard ↗ 接続を確立します。Cloudflare One Client は、FIPS 非準拠の暗号スイート TLS_CHACHA20_POLY1305_SHA256 でトラフィックを暗号化します。MASQUE から WireGuard に切り替えるとき、Wi-Fi ネットワークが WireGuard の動作に必要な ポートと IP をブロックしていると、ユーザーはインターネット接続を失うことがあります。
• MASQUE: （デフォルト）Cloudflare への HTTP/3 接続を確立します。Cloudflare One Client は TLS 1.3 と FIPS 140-3 ↗ 準拠の暗号スイート TLS_AES_256_GCM_SHA384 でトラフィックを暗号化します。MASQUE が有効なデバイスでは、Assign a unique IP address to each device がデフォルトで有効です。

WireGuard と MASQUE の詳細は ブログ記事 ↗ を参照してください。

ユーザーが Cloudflare One Client を切断できるようにします。

値:

• Disabled: （デフォルト）ユーザーは任意で Cloudflare One Client を接続または切断できます。クライアントが切断されているとき、ユーザーは特定のデバイスポスチャーチェックを使う Access で保護されたサイトに到達できません。
• Enabled: ユーザーは Cloudflare One Client を切断できません。クライアントは常に接続状態で起動します。

MDM デプロイでは、auto_connect パラメーターを少なくとも値 0 で含める必要があります。これにより、ユーザーが手動で有効にする手段がないオフ状態でクライアントがデプロイされるのを防ぎます。

Enabled のとき、ユーザーは Cloudflare One Client UI で Logout from Zero Trust を選び、Zero Trust 組織からログアウトできます。Logout from Zero Trust ボタンは、手動で登録したデバイスでのみ使えます。MDM ファイル で登録したデバイスは、常に Zero Trust 組織から離脱できません。

Enabled のとき、新しいバージョンのクライアントが利用可能になると、ユーザーは更新通知を受け取ります。ユーザーがデバイスのローカル管理者であり、ソフトウェアの追加と削除ができる場合にだけ、これをオンにしてください。

Enabled のとき、指定した Timeout 値の間クライアントが無効になっていたあと、自動再接続します。この設定は、上記の Lock device client switch と組み合わせて使うのが最適です。

この値は非常に低く保つことを推奨します。通常は、ユーザーがホテルや空港の Wi-Fi にログインできる程度です。値が指定されている場合、クライアントはデフォルトで接続状態になります（再起動後や初回インストール後など）。

値:

• 0: ユーザーが再びオンにするまで、スイッチを無期限にオフの位置に保てます。
• 1 から 1440: 指定した分数のあと、スイッチを自動でオンに戻します。

Enabled のとき、Cloudflare One Client の Send Feedback ボタンが表示され、指定した URL を起動します。Support URL の値の例は次のとおりです。

• https://support.example.com: https:// リンクで社内のヘルプサイトを開きます。
• mailto:yoursupport@example.com: mailto: リンクでデフォルトのメールクライアントを開きます。

クライアントの運用モードを選べます。各モードの詳細は クライアントモード を参照してください。

Cloudflare One Client が DNS リクエストをプライベート DNS リゾルバーへリダイレクトするよう設定します。詳細は Local Domain Fallback のドキュメントを参照してください。

Cloudflare One Client が特定の IP アドレスまたはドメインへのトラフィックを除外または含めるよう設定します。詳細は Split Tunnel のドキュメントを参照してください。

Microsoft が指定するすべての Microsoft 365 IP アドレス ↗ 向けに Split Tunnel の Exclude エントリを作成します。この設定を使うには、Split Tunnels を Exclude IPs and domains にする必要があります。有効にすると、すべての Microsoft 365 ネットワークトラフィックは Cloudflare One Client と Gateway をバイパスします。

この設定は、自宅ネットワークが企業のプライベートネットワークと同じ IP アドレスセットを使うユーザー向けの回避策です。この設定を使うには、Split Tunnels を Exclude IPs and domains にする必要があります。

Enabled のとき、ユーザーは Cloudflare One Client に接続したまま、ローカルネットワークリソース（プリンターやストレージデバイスなど）にアクセスできます。ユーザーが Access Local Network をオンにすると、Cloudflare One Client はユーザーの自宅ネットワークが広報するローカル IP 範囲（例: 10.0.0.0/24）を検出し、この範囲を一時的に WARP トンネルから除外します。ユーザーは Timeout の期限後に再度アクセスを要求する必要があります。Timeout を 0 minutes にすると、再起動やスリープからの復帰など、次のクライアント再接続まで LAN アクセスを許可します。

Cloudflare One Client でローカルネットワークアクセスをオンにする手順は次のとおりです。

• Cloudflare One Client が除外するのは、RFC 1918 ↗ アドレス空間のローカルネットワークだけです。CGNAT などのほかの IP アドレスには対応していません。
• 除外できるサブネットの最大サイズは /24 です。
• デバイスに異なるローカル IP 範囲を持つ複数のネットワークインターフェイスがある場合、Cloudflare One Client はそのうち 1 つだけを除外します。特定のローカルネットワークにアクセスするには、ほかのインターフェイスを無効にし、Cloudflare One Client を切断して再接続します。

Enabled のとき、DNS サーバーに到達できる場合、オペレーティングシステムは Cloudflare One Client の ローカルインターフェイス IP（CGNAT IP または 172.16.0.2）をオンプレミスの DNS サーバーに登録します。

オンプレミスの DNS インフラストラクチャ（Active Directory など）を使う場合は、リモートの デバイスプロファイル ではこの設定をオンにし、マネージドネットワーク のデバイスプロファイルではオフにすることを推奨します。この構成では、リモートデバイスはクライアントインターフェイス IP を登録し、オンプレミスデバイスはローカル DHCP アドレスだけを登録します。これにより、デバイスの場所に関係なく、オンプレミスの DNS サーバーがデバイスのホスト名を解決できます。

Microsoft の System Center Configuration Manager ↗（SCCM）は、所属する boundary group ↗（ネットワークの場所）に基づいて Windows デバイス上のソフトウェアを管理します。Cloudflare One Client を、マネージドネットワーク とその他のデバイスプロファイル属性に基づいて SCCM の boundary group に割り当てられます。SCCM VPN Boundary Support をオンにすると、Cloudflare One Client は 仮想ネットワークインターフェイス の description フィールドを変更します。これにより、ネットワークインターフェイスの description に一致する VPN boundary group を定義できます。

値:

• Disabled: （デフォルト）クライアントのネットワークインターフェイス description は Cloudflare WARP Interface Tunnel です。

• Enabled: SCCM クライアント ↗ がインストールされているデバイスでは、クライアントのネットワークインターフェイス description は (SCCM) Cloudflare WARP Interface Tunnel です。SCCM クライアントがないデバイスは、引き続きデフォルトの Cloudflare WARP Interface Tunnel という description を使います。Cloudflare One Client は、SMS Agent Host（ccmexec.exe）Windows サービスがあるかどうかで、SCCM クライアントがインストールされているかを確認します。

デバイスがリモートのときはクラウドベースの distribution point ↗ からソフトウェア更新をプッシュし、オフィスネットワーク上のときはオンプレミスサーバーを使いたいとします。これらの boundary group をセットアップする手順は次のとおりです。

1. Zero Trust で:

   a. リモートの デバイスプロファイル で SCCM VPN Boundary Support をオンにします。

   b. オンプレミスのデバイスプロファイル で SCCM VPN Boundary Support をオフにします。

   c. （任意）デバイス設定を確認します。

   SCCM VPN Boundary Support を確認する

   デバイスで SCCM VPN Boundary Support が有効かどうかを確認するには、次のコマンドを実行します。

   warp-cli settings | findstr "SCCM VPN Boundary"

   (network policy) SCCM VPN Boundary Support: true

   CloudflareWARP アダプターのネットワークインターフェイス詳細も確認できます。

   ipconfig /all

   Windows IP Configuration
   
   ...
   
   Unknown adapter CloudflareWARP:
   
   	Connection-specific DNS Suffix  . :
   	Description . . . . . . . . . . . : (SCCM) Cloudflare WARP Interface Tunnel
   	Physical Address. . . . . . . . . :
   	DHCP Enabled. . . . . . . . . . . : No
   	Autoconfiguration Enabled . . . . : Yes
   	IPv6 Address. . . . . . . . . . . : 2001:db8:110:8f79:145:f180:fc4:8106(Preferred)
   	Link-local IPv6 Address . . . . . : fe80::83b:d647:4bed:d388%49(Preferred)
   	IPv4 Address. . . . . . . . . . . : 172.16.0.2(Preferred)
   	Subnet Mask . . . . . . . . . . . : 255.255.255.255
   	Default Gateway . . . . . . . . . :
   	DNS Servers . . . . . . . . . . . : 127.0.2.2
   																			127.0.2.3
   	NetBIOS over Tcpip. . . . . . . . : Disabled

2. Microsoft SCCM で:

   a. 次の設定で boundary を作成 ↗します。

   • Description: Remote Cloudflare One Clients
   • Type: VPN
   • Connection description: (SCCM) Cloudflare WARP Interface Tunnel

   b. この boundary を 1 つ以上の boundary group に割り当てます。

デバイスがリモートのとき、クライアントインターフェイスの description は (SCCM) Cloudflare WARP Interface Tunnel に変わり、SCCM サーバーはデバイスが VPN boundary group に属すると判断します。デバイスはこの boundary group に割り当てられた distribution point から更新をダウンロードできます。ネットワーク変更が発生し、Cloudflare One Client がマネージドネットワークを検出すると、インターフェイスの description は Cloudflare WARP Interface Tunnel に戻り、boundary 条件は満たされなくなります。デバイスはローカル IP 範囲に一致し、オンプレミスと見なされます。

NetBIOS over TCP/IP（NetBT）は、Windows での名前解決とその他の機能に使うレガシープロトコルです。NetBT は長年非推奨ですが、Windows は削除していません。Cloudflare One Client はセキュリティ上の理由と現代のベストプラクティスに合わせ、トンネルインターフェイス上の NetBT をデフォルトで無効にします。この設定では、デフォルト動作を上書きし、WARP トンネル経由で NetBT を有効にできます。

デバイスが NetBT 経由で内部リソースにアクセスする必要がある場合にだけ、NetBIOS over TCPIP をオンにしてください。例となるシナリオは次のとおりです。

• レガシーな名前解決: 単一ラベル名向けの mDNS や、完全修飾ドメイン名（例: \\server01.corp.internal）向けの標準 DNS などの現代的な代替ではなく、NetBIOS で単一ラベル名（例: \\SERVER01）を解決している。
• SMBv1: 現代の SMB（v2/v3）に対応せず、検出に NetBT が必要な非常に古いファイル共有またはプリンターにアクセスしている。
• レガシーアプリケーション: ノード間通信に NetBIOS をハードコードした専用の内部ソフトウェアを使っている。

それ以外では、常に NetBIOS over TCPIP を無効にすることを推奨します。リモートデバイス と オンプレミスデバイス で異なる設定を選べます。

クライアントのトンネルインターフェイスで NetBIOS over TCPIP が有効かどうかを確認するには、次のコマンドを実行します。

warp-cli settings | findstr "NetBT"

(network policy) NetBT: true

CloudflareWARP アダプターのネットワークインターフェイス詳細も確認できます。

ipconfig /all

Windows IP Configuration
...
Unknown adapter CloudflareWARP:
    Connection-specific DNS Suffix  . :
    Description . . . . . . . . . . . : Cloudflare WARP Interface Tunnel
    Physical Address. . . . . . . . . :
    DHCP Enabled. . . . . . . . . . . : No
    Autoconfiguration Enabled . . . . : Yes
    IPv6 Address. . . . . . . . . . . : 2001:db8:110:8f79:145:f180:fc4:8106(Preferred)
    Link-local IPv6 Address . . . . . : fe80::83b:d647:4bed:d388%49(Preferred)
    IPv4 Address. . . . . . . . . . . : 172.16.0.2(Preferred)
    Subnet Mask . . . . . . . . . . . : 255.255.255.255
    Default Gateway . . . . . . . . . :
    DNS Servers . . . . . . . . . . . : 127.0.2.2
    																		127.0.2.3
    NetBIOS over Tcpip. . . . . . . . : Enabled

デフォルトでは、Cloudflare One Client はアカウント内のすべての 仮想ネットワーク（VNET）を VNET ドロップダウン に表示します。VNET availability はドロップダウンを VNET のサブセットに制限し、デバイスプロファイル ごとにデフォルト VNET を選びます。アクティブなプロファイルが、デバイスが見て切り替えられる VNET を制御します。

たとえば、QA チームが staging-vnet を使い、営業チームは到達すべきでない場合、営業のデバイスプロファイルに production-vnet だけを含められます。営業ユーザーはドロップダウンに staging-vnet を見ません。

DNS search suffix（search domain とも呼ばれます）は、単一ラベル名にドメインを自動で付けます。ユーザーがブラウザーに jira と入力すると、オペレーティングシステムは jira.internal.example を解決します。search suffix は通常、ローカルネットワークが DHCP 経由で広報しますが、Cloudflare One Client に接続したデバイスは WARP 仮想インターフェイスを使うため、ネットワーク広報の suffix は継承しません。

DNS search suffixes を使い、デバイスプロファイル ごとに最大 25 件の順序付き suffix リストを Cloudflare One Client にデプロイします。クライアントは単一ラベル名のクエリに各 suffix を順に付け、1 つが成功するまで解決します。この設定は、DNS suffix を追加する で説明するデバイスごとの手動設定を置き換えます。