既知の制限

Cloudflare One Client（旧 WARP）と互換性のないデバイス、ソフトウェア、構成についての情報です。

Windows Server

Cloudflare One Client は Windows Server では動作しません。対応オペレーティングシステムの一覧はダウンロードページを参照してください。

Windows ARM で Cloudflare One Client が切断される

ARM ベースのプロセッサを搭載した Windows デバイスでは、接続時（初回インストール時など）に Cloudflare One Client が切断状態のままになることがあります。

回避するには、一時的に WARP ネットワークアダプターを削除します。

Cloudflare One Client の GUI を開き、切断します。
Windows でデバイスマネージャーを開きます。
View > Show hidden devices を選びます。
Network adapters の下で Cloudflare WARP Interface Tunnel を探し、Uninstall device を選びます。
Attempt to remove the drive for this device を選び、Uninstall を選びます。
Cloudflare One Client を再接続します。

Cloudflare One Client はネットワークアダプターを再インストールし、GUI に Connected と表示されるはずです。

レガシー Windows Server 上のマネージドネットワーク

マネージドネットワーク検出は、TLS 証明書が Windows Server 2012 R2 の IIS 8.5 から提供されている場合は動作しません。回避するには、証明書を別のホストへ移してください。

DoH モードの Windows での nslookup

DNS only mode の Windows デバイスでは、nslookup はデフォルトで IPv6 経由で WARP ローカル DNS プロキシへ DNS リクエストを送ります。ただし Cloudflare One Client は実際の IPv6 アドレスではなく IPv4-mapped IPv6 アドレスを使うため、nslookup はこのアドレスタイプを認識せず、クエリは失敗します。

C:\Users\JohnDoe>nslookup google.com
Server:  UnKnown
Address:  ::ffff:127.0.2.2

*** UnKnown can't find google.com: No response from server

回避するには、クエリで WARP ローカル DNS プロキシの IPv4 アドレスを指定します。

C:\Users\JohnDoe>nslookup google.com 127.0.2.2

または PowerShell を使います。

Resolve-DnsName -Name google.com

Comcast の DNS サーバー

Comcast の DNS トラフィック（次の IP 宛）は、Cloudflare One Client 経由でプロキシできません。Comcast は、ユーザーのデバイスから直接送られない DNS トラフィックを拒否するためです。

IPv4 アドレス: 75.75.75.75 と 75.75.76.76
IPv6 アドレス: 2001:558:feed::1 と 2001:558:feed::2

回避するには、次のいずれかを行います。

上記の IP を Cloudflare One Client から除外する Split Tunnel ルールを作成する。
デバイスまたはルーターを、1.1.1.1 ↗ などのパブリック DNS サーバーを使うよう設定する。

Cox の DNS サーバー

上記の Comcast DNS サーバーの制限と同様に、Cox の DNS サーバーは WARP のエグレス IP（または Cox IP 以外の IP）からのトラフィックに応答しません。回避策はほぼ同じですが、Cox の DNS サーバーはエンドユーザーごとに異なる場合があります。次のいずれかを行えます。

すべての Cox DNS サーバーを除外する Split Tunnel ルールを作成する。法人顧客は、DNS サーバー IP について COX のドキュメント ↗ を参照してください。住宅向け顧客は、ローカル DNS サーバーを確認してください。住宅向け DNS サーバーは通常 68.105.28.0/24 と 68.105.29.0/24 に含まれます。
デバイスまたはルーターを、1.1.1.1 ↗ などのパブリック DNS サーバーを使うよう設定する。

HP Velocity

HP Velocity ドライバーには、Cloudflare One Client を実行しているデバイスでブルースクリーンエラーを引き起こすバグがあります。HP はこのドライバーのアンインストール ↗ を推奨しています。

Dell ファームウェアバージョン 1.35.0

ファームウェアバージョン 1.35.0（2025-07-07 リリース）を実行している Dell デバイスでは、OS に関係なく、WARP サービスが起動しないバグを Cloudflare が確認しています。この問題が起きているユーザーは、Dell デバイスのファームウェアをバージョン 1.36.0 以降へアップグレードしてください。

Cisco Meraki

Cisco Meraki デバイスには、クライアントトラフィックが Statistical-P2P ↗ として識別され、優先度が下げられたり、完全に破棄されたりするバグがあります。解決するには、Cisco Meraki デバイスで Statistical-P2P を無効にします。

Windows Teredo

Windows Teredo ↗ インターフェイスは Cloudflare One Client と競合します。Teredo と Cloudflare One Client は IPv6 トラフィックのルーティング制御を奪い合うため、Windows デバイスで Teredo を無効にする必要があります。これにより、Cloudflare One Client がデバイス上で IPv6 接続を提供できます。

ブリッジネットワークを使う Linux 上の Docker

Linux 上の Docker ↗ は、Cloudflare One Client が必要とする基盤ネットワークトンネルの MTU 変更を行いません。ホストマシンで Cloudflare One Client が有効なとき、Docker コンテナ内で接続の問題が起きることがあります。たとえば、デフォルトのブリッジネットワークドライバーを使う Docker コンテナから curl -v https://cloudflare.com > /dev/null を実行すると失敗します。

回避するには、Linux 上で Docker と Cloudflare One Client を使う場合、Docker のネットワークインターフェイスの MTU を手動で再設定します。/etc/docker/daemon.json を次のように変更するか:

{
	"mtu": 1420
}

動作する MTU 値で Docker ネットワークを作成します。

docker network create -o "com.docker.network.driver.mtu=1420" my-docker-network

MTU 値は、ホストのデフォルトインターフェイスの MTU から WARP プロトコルのオーバーヘッド 80 バイトを引いた値にしてください。ほとんどの MTU は 1500 なので、多くのユーザーでは 1420 で問題ありません。

Docker から Cloudflare One Client DNS にアクセスする

Cloudflare One Client は 127.0.2.2 と 127.0.2.3 でローカル DNS プロキシを実行します。内部専用ドメインやフォールバックドメインを解決するために、Docker コンテナ内からこれらのアドレスへアクセスする必要がある場合があります。デフォルトの Docker ブリッジネットワーク ↗ はホストから DNS 設定をコピーしますが、127.0.2.2 や 127.0.2.3 のようなループバック DNS アドレスは除外するため、コンテナからは使えません。

コンテナで Cloudflare One Client の DNS 解決を有効にするには:

カスタム Docker ネットワーク ↗ を使う（推奨）: Docker コンテナは、ホストからのネットワーク分離を維持するブリッジネットワークドライバーを引き続き使えます。独自のブリッジネットワークを作成する場合は、MTU も合わせて調整してください。
ホストネットワーキング ↗ を使う（非推奨）: ネットワーク分離によるセキュリティ上の利点がなくなり、ポート競合が起きる可能性があります。

次の例では、ローカル DNS プロキシだけが解決できる特別なホスト（connectivity-check.warp-svc）を使い、対応している Docker ネットワーキングモードを示します。

# This host is not resolvable by default
❯ docker run --rm alpine nslookup connectivity-check.warp-svc.
Server:         8.8.8.8
Address:        8.8.8.8:53

** server can't find connectivity-check.warp-svc.: NXDOMAIN
** server can't find connectivity-check.warp-svc.: NXDOMAIN

# Create a bridge network called demo
❯ docker network create demo
e1e1943a6995a7e8c115a1c60357fe64f87a3ae90074ce6e4c3f0d2bba3fa892

# The host is resolvable by running a container under this custom network
❯ docker run --rm --net demo alpine nslookup connectivity-check.warp-svc.
Server:         127.0.0.11
Address:        127.0.0.11:53Non-authoritative answer:
Name:   connectivity-check.warp-svc
Address: ::ffff:127.0.2.2
Name:   connectivity-check.warp-svc
Address: ::ffff:127.0.2.3Non-authoritative answer:
Name:   connectivity-check.warp-svc
Address: 127.0.2.2
Name:   connectivity-check.warp-svc
Address: 127.0.2.3

# The host is also resolvable by running a container using a host network
❯ docker run --rm --net host alpine nslookup connectivity-check.warp-svc.
Server:         127.0.0.11
Address:        127.0.0.11:53Non-authoritative answer:
Name:   connectivity-check.warp-svc
Address: ::ffff:127.0.2.2
Name:   connectivity-check.warp-svc
Address: ::ffff:127.0.2.3Non-authoritative answer:
Name:   connectivity-check.warp-svc
Address: 127.0.2.2
Name:   connectivity-check.warp-svc
Address: 127.0.2.3

systemd-resolved バージョン 252.3 より前の Linux DNS ドメイン

systemd-resolved バージョンが 252.3 より前の一部の Linux システムでは、Cloudflare One Client の接続中に、非 WARP インターフェイスに設定した DNS ドメインが想定どおり解決されないことがあります。DHCP で提供される検索ドメインや、インターフェイス固有の DNS ルーティングドメインに依存するホスト名に影響します。

たとえば、デバイスホスト名を解決するコマンドの起動に数秒かかったり、次のようなエラーが表示されたりします。

sudo: unable to resolve host <HOSTNAME>: Temporary failure in name resolution

これは、systemd-resolved の 252.3 より前のバージョンが、新しい Linux ディストリビューション上で Cloudflare One Client が使うリンク固有の DNS 設定に対応していないためです。これらのシステムでは、Cloudflare One Client はグローバルな DNS 設定にフォールバックします。その結果、クラウドプロバイダーや社内ネットワークの検索ドメインなど、他のインターフェイスに設定した DNS ドメインは、WARP 接続中に一貫してルーティングまたは解決されないことがあります。

回避するには、可能な場合は systemd-resolved バージョン 252.3 以降の Linux ディストリビューションへアップグレードしてください。問題がローカルホスト名の解決に影響する場合は、DNS を使う前に Linux が解決できるよう、ローカルホスト名を /etc/hosts に追加します。

echo "127.0.1.1 $(hostname)" | sudo tee -a /etc/hosts

エントリを追加する前に、/etc/hosts にそのホスト名のマッピングがすでにあるかを確認してください。組織が /etc/hosts を管理している場合は、変更前に管理者へ問い合わせてください。

Windows App の接続問題

ローカルマシンで Cloudflare One Client が有効なとき、Windows App ↗ から Windows 365 PC に接続できないことがあります。この問題は、ブラウザーベースの Windows 365 接続には影響しません。

解決するには、関連する Cloudflare One Client のデバイスプロファイルから、次に示すネットワークを除外します。必要なネットワークは、Azure IP Ranges and Service Tags - Public Cloud ↗ リソースの WindowsVirtualDesktop サービスタグにあります（"name": "WindowsVirtualDesktop" で検索）。

Microsoft は以前、これらのネットワークを取得する PowerShell スクリプト ↗ を提供していましたが、現在は非推奨です。関連ネットワークは次のサブネットに集約されているため、関連する Cloudflare One Client デバイスプロファイルから除外してください。

40.64.144.0/20
51.5.0.0/16
57.156.5.248/29
57.156.73.192/28
172.183.252.22/32
2603:1061:2010::/48
2603:1061:2011::/48

Microsoft 365 Cloud PC の Windows 10 は非対応

Microsoft 365 の Windows 10 Cloud PC での Cloudflare One Client の利用はサポートされていません。回避するには Windows 11 を使ってください。

Traffic only mode での IPv6 DNS 解決

Traffic only mode では、IPv6 DNS サーバーを使うデバイスで、これらのサーバーを WARP トンネルから手動で除外していないと接続の問題が起きることがあります。

一般的な IPv4 DHCP 構成では、DNS サーバーが自動除外されるプライベートアドレス範囲に含まれることが多いです。一方、IPv6 環境では、正常動作のために Split Tunnel 設定で DNS サーバーアドレスを手動除外する必要があることがほとんどです。

DNS サーバーが IPv6 アドレスを使う場合、Traffic only mode を正しく動作させるには、Split Tunnel 設定で手動除外する必要があります。

Ivanti Secure Access（旧 Pulse Secure）

Ivanti Secure Access VPN クライアントは、ポート 53 の WARP ローカル DNS プロキシへの送信トラフィックをブロックする Windows Filtering Platform（WFP）ルールをインストールし、Cloudflare One Client と競合することがあります。その結果、Ivanti が無効または切断されていても、Host not found エラーやインターネット接続の完全な喪失が起きます。

解決するには、Ivanti サポートまたは管理者に連絡し、127.0.2.2 へのトラフィックをブロックしている特定のファイアウォールルールを変更または削除してください。

Microsoft Intune の Always-On VPN と Lockdown Mode

Microsoft Intune で Android に Cloudflare One Client をデプロイし、Always-On VPN と Lockdown モードを有効 ↗ にしている場合、Cloudflare One エージェントが登録に失敗することがあります。Lockdown モードが、登録を完了するために必要な基盤ネットワークへのアクセスを Cloudflare One エージェントから妨げるためです。

これは Android OS の既知の制限で、Google に報告済みです。機能リクエストの状況は Google Issue Tracker ↗ で追跡できます。

回避するには、Always-On VPN を有効にしたまま Lockdown モードを無効にします。

Intune プロファイルで、Always-On VPN を有効にしたまま Lockdown mode を無効にします。
マネージド構成で auto_connect と switch_locked パラメーターを使い、接続をスムーズにします。
ユーザーに Cloudflare One エージェントアプリを起動し、初回登録を手動で完了するよう案内します。

Microsoft Intune で macOS が繰り返し再インストールされる

Microsoft Intune で macOS に Cloudflare One Client の .pkg をデプロイすると、Intune がパッケージを繰り返し再インストールすることがあります。再インストールのたびにクライアントが再起動し、WARP 接続が短時間切断されます。1 回の Intune 評価サイクル内で、クライアントが何度も再インストールされることがあります。

これは、新しいクライアント UI を初めて搭載した Cloudflare One Client バージョン 2026.3.566.1 以降に影響します。再設計されたクライアントは、アプリケーション内に複数の埋め込みフレームワークを同梱しており、これが再インストールループの引き金になります。クライアントの不具合ではなく Intune 側の検出設定の問題なので、影響を受けるバージョンでは次の回避策を適用してください。

原因は、Intune が macOS の .pkg アプリがすでにインストールされているかを検出する方法です。パッケージをアップロードすると、Intune はパッケージ内で見つけたすべてのバンドルをアプリの Included apps 検出リストへ自動投入します。クライアント同梱の約 20 個の埋め込みフレームワークバンドル（例: io.flutter.flutter-macos、org.sparkle-project.Sparkle、複数の org.cocoapods.* バンドル）も含まれます。Intune は、Included apps リストの すべての エントリがデバイス上で検出されたときだけ、アプリがインストール済みと判断します。

これらの埋め込みフレームワークは、独立してインストールできるアプリではありません。クライアントのアプリケーションバンドル内にあり、インストーラーレシートや単独の存在がないため、Intune はそれらをインストール済みアプリケーションとして検出できません。その結果、Intune はそれらを検出できず、アプリが完全にはインストールされていないと判断してパッケージを再インストールします。検出できない各フレームワークを順に繰り返します。クライアント自身のバンドル識別子（com.cloudflare.1dot1dot1dot1.macos）は、その間も正しく検出されています。検出に失敗して再インストールループを起こしているのは、余分なフレームワークエントリです。Cloudflare はこの動作を Microsoft に報告しています。

回避するには、Included apps リストから埋め込みフレームワークバンドルを削除し、クライアント自身のバンドル識別子だけを残して、バージョンベースの検出をオフにします。

Microsoft Intune 管理センター ↗ で Apps > macOS を開き、Cloudflare One Client アプリを選びます。
Properties を開き、Detection rules の横の Edit を選びます。
Included apps リストで、com.cloudflare.1dot1dot1dot1.macos 以外のエントリをすべて削除します。
Ignore app version を Yes に設定し、デプロイしたクライアントバージョンに関係なく検出が成功するようにします。
Review + save を選んで変更を適用します。

Intune の Included apps 検出リスト。Cloudflare One Client のバンドル識別子だけが残り、Ignore app version が Yes になっている状態

Windows 11 24H2 のパフォーマンス問題

Windows 11 24H2 ユーザー向けに、Microsoft はマウスの遅延、音声の途切れ、その他のスローダウンなどのパフォーマンス問題につながる回帰を確認しています。この問題が起きているユーザーは、解決のために最低でも Windows 11 24H2 バージョン KB5062553 ↗ 以降へアップグレードしてください。

KB5055523 を入れた Windows でのマルウェア誤検知警告

KB5055523 をインストールした Windows デバイスでは、インストーラーに Win32/ClickFix.ABA があるという警告が出ることがあります。この誤検知を解消するには、Microsoft Security Intelligence をバージョン 1.429.19.0 ↗ 以降に更新します。