Cloudflare One Client トラブルシューティングガイド

このガイドでは、Cloudflare One Client（旧称 WARP）のよくある問題を切り分けて解決します。対象は Windows、macOS、Linux などのデスクトップ向けクライアントです。

始める前に: 前提条件、権限、バージョン確認、クライアントの基本。
ログを収集する: Cloudflare ダッシュボード（DEX リモートキャプチャ）またはコマンドラインインターフェース（CLI）（warp-diag）。
ログを確認する: 状態、設定、プロファイル ID、Split Tunnel の設定、そのほかの設定。
よくある設定ミスを直す: プロファイルの不一致、Split Tunnel の問題、マネージドネットワークの問題、ユーザーグループの不一致。
サポートチケットを出す: 切り分けを一通り試したあとのチケットの出し方。

1. 始める前に

前提条件

Zero Trust のオンボーディングを完了し、Zero Trust 組織を作成済みであること。
エンドユーザーのデバイスに Cloudflare One Client がインストールされていること。
Cloudflare ダッシュボードでログを見る管理者権限があること。

クライアントのバージョンを確認する

トラブルシューティングの多くは、古いクライアントが原因です。パフォーマンスと互換性を保つため、管理者は新しいリリースを確認し、ほかの切り分けに入る前に Cloudflare One Client を更新してください。

Cloudflare One Client を更新したあと、問題が再発するかを見守ります。続く場合は、このガイドの手順を続けます。

デバイスから確認する

デスクトップで Cloudflare One Client を開きます。
About を選択します。
デバイスのバージョンを最新バージョンと比較します。

デスクトップで Cloudflare One Client を開きます。
歯車アイコンを選択します。
About WARP を選択します。
デバイスのバージョンを Cloudflare One Client の最新バージョンと比較します。

Cloudflare ダッシュボードから確認する

Cloudflare ダッシュボード ↗ にログインし、Zero Trust > Team & Resources > Devices > Your devices を開きます。
調査するデバイスを選択します。
サイドメニューの Client version で、デバイスのクライアントバージョンを確認します。
デバイスのバージョンを Cloudflare One Client の最新バージョンと比較します。

クライアントの基本

Cloudflare One Client のアーキテクチャ、インストールパス、モードを把握すると、切り分けの精度が上がります。

チャプター

クライアントのアーキテクチャ

Cloudflare One Client の構成は次のとおりです。

グラフィカルユーザーインターフェイス（GUI）: エンドユーザーがクライアントのステータスを確認し、Cloudflare One Client のオン／オフなどの操作を行うコントロールパネルです。
WARP デーモン（またはサービス）: セキュアトンネル（WireGuard または MASQUE）の確立と、デバイス上のクライアント機能をすべて扱う中核のバックグラウンドコンポーネントです。

Cloudflare One Client がデバイスのオペレーティングシステムと連携してトラフィックをルーティングする仕組みは、クライアントアーキテクチャを参照してください。

クライアントのインストール詳細

GUI とデーモン（またはサービス）は名前が異なり、次の場所に格納されます。

Windows

	Windows
サービス / デーモン	`C:\Program Files\Cloudflare\Cloudflare WARP\warp-svc.exe`
GUI アプリケーション	`C:\Program Files\Cloudflare\Cloudflare WARP\Cloudflare WARP.exe`
ログの場所	デーモン `C:\ProgramData\Cloudflare\` GUI ログ `C:\Users\<USER>.WARP\AppData\Local` または `%LOCALAPPDATA%\Cloudflare`

macOS

	macOS
サービス / デーモン	`/Applications/Cloudflare WARP.app/Contents/Resources/CloudflareWARP`
GUI アプリケーション	`/Applications/Cloudflare WARP.app/Contents/MacOS/Cloudflare WARP`
ログの場所	デーモン `/Library/Application Support/Cloudflare/` GUI ログ `~/Library/Logs/Cloudflare/`

Linux

	Linux
サービス / デーモン	`/bin/warp-svc`
GUI アプリケーション	`/bin/warp-taskbar`
ログの場所	`/var/log/cloudflare-warp/` `/var/lib/cloudflare-warp`

Cloudflare One Client の GUI およびデーモンに加え、warp-cli と warp-diag もマシンにインストールされ、任意のターミナルセッションから使えるようシステムパスに追加されます。

warp-diag は、Cloudflare One Client からログ、設定の詳細、接続データを収集し、問題の切り分けに使うコマンドライン診断ツールです。

warp-cli は、Cloudflare One Client を管理・設定するためのコマンドラインインターフェース（CLI）です。接続、切断、設定の変更をプログラムから行えます。

クライアントモード

Cloudflare One Client は複数のモードで動作し、トラフィックの扱いがそれぞれ異なります。

各クライアントモードで使える Zero Trust の機能は異なります。

クライアントモード	DNS フィルタリング	ネットワークフィルタリング	HTTP フィルタリング	サービスモード（`warp-cli settings` に表示）
Traffic and DNS mode（デフォルト）	✅	✅	✅	`WarpWithDnsOverHttps`
DNS only mode	✅	❌	❌	`DnsOverHttps`
Traffic only mode	❌	✅	✅	`TunnelOnly`
Local proxy mode	❌	❌	✅	`WarpProxy`
Posture only mode	❌	❌	❌	`PostureOnly`

2. 診断ログを収集する

診断ログは次の 2 通りで収集できます。Cloudflare ダッシュボード、または warp-diag コマンドラインインターフェース（CLI）です。

オプション A: Cloudflare ダッシュボードでログを収集する

Digital Experience Monitoring（DEX）のリモートキャプチャを使い、Cloudflare ダッシュボードからクライアント診断ログを遠隔で収集します。

リモートキャプチャを開始する

リモートキャプチャを実行するには、デバイスが Internet に接続している必要があります。

リモートデバイスからデータをキャプチャする手順は次のとおりです。

Cloudflare One ↗ で、DEX > Remote captures を開きます。
キャプチャを実行するデバイスを最大 10 台選びます。デバイスは、Zero Trust 組織に登録されている必要があります。
実行するキャプチャの種類を設定します。
- Packet captures (PCAP): WARP トンネル外のトラフィック（デフォルトのネットワークインターフェース）と、WARP トンネル内のトラフィック（仮想インターフェース）のパケットキャプチャを実行します。
- Device diagnostic logs: 過去 96 時間の Cloudflare One Client 診断ログを生成します。Split Tunnel の設定にあるすべての IP とドメインのルーティングテストを含めるには、Test all routes を選びます。
  Note
  Test all routes を選ぶと、診断の実行時間が長くなり、テスト中にデバイスのパフォーマンスが一時的に低下することがあります。
  Device Diagnostic Logs を選択する必要があります。PCAP を同時に実行し、PCAP 実行中に問題を再現すると、ネットワークの状況をより詳しく把握できます。このトラブルシューティングの範囲はクライアント診断ログのみです。PCAP を選ばない場合は、診断の直前に問題を再現してください。
Run diagnostics を選びます。

DEX は、設定したデバイスへキャプチャリクエストを送ります。Cloudflare One Client が切断されている場合、キャプチャは 10 分後にタイムアウトします。

リモートキャプチャの状態を確認する

キャプチャの一覧を表示するには、Insights > Digital experience > Diagnostics を開きます。Status 列には、次のいずれかの状態が表示されます。

Success: キャプチャが完了し、ダウンロードできます。一部だけ成功したキャプチャも Cloudflare にアップロードされます。たとえば、プライマリネットワークインターフェイスでは PCAP が成功し、WARP トンネルインターフェイスでは失敗する場合があります。PCAP の結果を確認すると、どの PCAP が成功または失敗したかを判断できます。
Running: デバイス上でキャプチャが進行中です。
Pending Upload: キャプチャは完了していますが、まだダウンロードできません。
Failed: キャプチャがタイムアウトしたか、エラーが発生しました。キャプチャを再試行するには、Cloudflare One Client のバージョンと接続状態を確認し、新しいキャプチャを開始します。

リモートキャプチャをダウンロードする

Cloudflare One ↗ で、DEX > Remote captures を開きます。
成功したキャプチャを探します。
三点リーダーを選び、Download を選びます。

<capture-id>.zip という ZIP ファイルがローカルマシンにダウンロードされます。DEX は、ログ保持ポリシーに従ってキャプチャデータを保存します。

診断ファイルを入手したら、主要ファイルを確認するに進み、切り分けを続けます。

オプション B: CLI でログを収集する

デスクトップで warp-diag CLI を使い、クライアント診断ログを収集します。

デスクトップデバイスでクライアントログを確認するには:

ターミナルを開きます。
warp-diag ツールを実行します。
```
warp-diag
```

デスクトップに warp-debugging-info-<date>-<time>.zip が作成されます。

コマンドプロンプトまたは PowerShell を開きます。
warp-diag ツールを実行します。
```
C:\Users\JohnDoe>warp-diag
```

デスクトップに warp-debugging-info-<date>-<time>.zip が作成されます。

ターミナルを開きます。
warp-diag ツールを実行します。
```
warp-diag
```

コマンドを実行した同じフォルダーに warp-debugging-info-<date>-<time>.zip が作成されます。

診断ファイルを入手したら、主要ファイルを確認するに進み、切り分けを続けます。

3. 主要ファイルを確認する

クライアント診断ログには、MDM ポリシーやほかのソフトウェア設定をすべて適用したあとの、デバイス上の最終的な Cloudflare One Client の設定と状態が記録されます。このログを見ると、設定ミスや想定外の動作を見つけやすくなります。

チャプター

クライアントの状態を確認する

warp-status.txt を開き、warp-diag 収集時点の Cloudflare One Client 接続状態を確認します。接続できているクライアントは次のように表示されます。

Ok(Connected)

問題が起きている場合、エラーはデバイス上の Cloudflare One Client GUI に表示されます。クライアントエラーのドキュメントで、エラー内容、原因、対処を特定します。

クライアントの設定を確認する

状態を確認したあと、デバイス上の Cloudflare One Client 設定を見て、想定どおりの構成が当たっているかを確認します。warp-settings.txt を開き、Cloudflare One Client の設定を確認します。適用中のデバイスプロファイルと Split Tunnel 設定を見ます。

`warp-settings.txt` の例

デスクトップ上のクライアント診断ログを探し、warp-settings.txt を開きます。次の例と、その下の各項目の説明を確認します。

Merged configuration:
(derived)   Always On: true
(network policy)    Switch Locked: false # If false, does not allow the user to turn off the WARP toggle and disconnect the WARP client
(network policy)    Mode: WarpWithDnsOverHttps # The device's WARP mode, this mode is WARP with Gateway mode
(network policy)    WARP tunnel protocol: WireGuard
(default)   Disabled for Wifi: false
(default)   Disabled for Ethernet: false
(reg defaults)  Resolve via: 1xx0x1011xx000000000f0x00000x11.cloudflare-gateway.com @ [1xx.1xx.1x.1, 1x01:1x00:1x00::1xx1] # The SNI Cloudflare will use and the IP address for DNS-over-HTTPS (DoH) requests
(user set)  qlog logging: Enabled
(default)   Onboarding: true # If true, the user sees an onboarding prompt when they first install the WARP client
(network policy)    Exclude mode, with hosts/ips: # Split tunnel configuration
  1xx.1xx.1xx.1xx/25 (zoom)
...
  cname.user.net

(network policy)    Fallback domains: # Local domain fallback configuration
  intranet
...
  test
(not set)   Daemon Teams Auth: false
(network policy)    Disable Auto Fallback: false
(network policy)    Captive Portal: 180
(network policy)    Support URL: my-organizations-support-portal.com # Your organization's support portal or IT help desk
(user set)  Organization: Organization-Name
(network policy)    Allow Mode Switch: true  # The user is allowed to switch between WARP modes
(network policy)    Allow Updates: false # WARP client will not perform update checks
(network policy)    Allowed to Leave Org: true
(api defaults)  Known apple connectivity check IPs: xx.xxx.0.0/16;
(network policy)    LAN Access Settings: Allowed until reconnect on a /24 subnet # The maximum size of network that will be allowed when Access Lan is clicked.
(network policy)    Profile ID: 000000x1-00x1-1xx0-1xx1-11101x1axx11

`warp-settings.txt` の内容

トラブルシューティングに関係する warp-settings.txt の各フィールドの意味を確認します。

Always On

GUI の接続トグルの現在の状態です。この例では、トグルはオンです。

Always On: true

Switch Locked

Lock device client switch を指します。ユーザーがクライアントの接続トグルを使い、切断できるかを制御します。この例では値が false なので、ユーザーは任意で接続・切断できます。

Switch Locked: false

Lock device client switch が有効（true）のとき、ユーザーがデバイス上の Cloudflare One Client を一時的に切断するには管理者オーバーライドコードが必要です。

Mode

デバイスが使っているクライアントモードです。この例では、クライアントモードは WarpWithDnsOverHttps（Traffic and DNS モード）です。クライアントモード比較表で、warp-settings.txt の値とモード名を照合します。

Mode: WarpWithDnsOverHttps

Exclude mode, with hosts/ips

Split Tunnel の設定です。この例では、Cloudflare One Client は Exclude モードで動作しています。ここに列挙したホストと IP 向け以外のトラフィックは、すべて WARP トンネル経由になります。ホスト cname.user.net と IP 1xx.1xx.1xx.1xx/25 は、どちらも WARP トンネルから除外されています。

Exclude mode, with hosts/ips:
  1xx.1xx.1xx.1xx/25 (zoom)
...
  cname.user.net

Fallback domains

Local Domain Fallback の設定です。この例では、Cloudflare One Client は intranet を Gateway に送らず、設定済みのフォールバックサーバーへ直接送るドメインとして列挙しています。

(network policy)    Fallback domains:
  intranet
...

Allow Mode Switch

Mode switch の設定です。この例ではモード切替が有効（true）なので、ユーザーは Traffic and DNS モードと Gateway with DNS-over-HTTPS (DoH) モードを切り替えられます。

Allow Mode Switch: true

Allow Updates

Allow updates の設定です。この例では false なので、新しい Cloudflare One Client が公開されても更新通知は届かず、管理者の承認なしに更新できません。

Allow Updates: false

Allowed to Leave Org

Allow device to leave organization の設定です。この例では値が true なので、ユーザーは Zero Trust 組織からログアウトできます。

Allowed to Leave Org: true

LAN Access Settings

Allow users to enable local network exclusion の設定です。有効にすると、検出したローカルサブネットを WARP トンネルから除外し、プリンターなどのローカルデバイスへ一時的にアクセスできます。この例では、次回のクライアント再接続まで、/24 までのサブネットに限ってアクセスが許可されます。

LAN Access Settings: Allowed until reconnect on a /24 subnet

Profile ID

デバイスが使っているデバイスプロファイルです。この例の ID は 000000x1-00x1-1xx0-1xx1-11101x1axx11 です。

Profile ID: 000000x1-00x1-1xx0-1xx1-11101x1axx11

4. よくある設定ミスを直す

Cloudflare One Client が正しく設定され、動作しているかを確認するには、次を見直します。

デバイスに誤ったプロファイル ID が当たっていないか。
デバイスで誤った Split Tunnel 設定が有効になっていないか。

誤ったプロファイル ID

プロファイル ID は、Cloudflare ダッシュボード上の各デバイスプロファイルに割り当てられる一意の識別子で、どの設定をデバイスに適用するかを決めます。

適用中のデバイスプロファイルを確認する

当たっているデバイスプロファイルが意図したものかを確認するには:

Cloudflare ダッシュボード ↗ で、Zero Trust > Team & Resources > Devices > Device profiles > General profiles を開きます。
そのデバイス向けのデバイスプロファイルを探して選択します。
Profile details の Profile ID と、warp-settings.txt の Profile ID を照合します。

組織で複数のデバイスプロファイルを定義している場合、次の理由で意図しないプロファイルが当たることがあります。

プロファイルの優先順位の設定。
マネージドネットワークの問題（マネージドネットワークを使っている場合）。
ユーザーグループの不一致。
一致ルールが粗い。

プロファイルの優先順位を確認する

Cloudflare One Client は、階層に基づいてデバイスプロファイルを動的に評価します。デバイスが接続すると、クライアントはダッシュボードに表示されている上から下の順でプロファイルを確認します。最初に一致したプロファイルを採用します。デバイスがプロファイルに一致した時点で評価を止め、以降のプロファイルはその決定を上書きできません。

Default プロファイルは、常にリストの最下部にあります。上にあるどのプロファイルの条件も満たさない場合にだけ適用されます。別のカスタムプロファイルをデフォルトにすると、その設定はすべて Default プロファイルへコピーされます。

管理者は、ユーザー ID、場所、オペレーティングシステムなどの条件に応じて異なる設定を適用するため、複数のプロファイルを作成できます。正しいポリシーがデバイスに適用されるよう、この上から下への評価順を理解しておくことが重要です。

マネージドネットワークの設定を確認する

マネージドネットワークは、物理オフィスなど、TLS エンドポイントで定義するネットワークの場所です。Cloudflare One Client はこの TLS エンドポイントを確認して場所を判定し、対応するデバイスプロファイルを適用します。

マネージドネットワークの設定が誤っている、または TLS エンドポイントに到達できない場合、意図しないプロファイルにフォールバックすることがあります。

マネージドネットワーク起因で Cloudflare One Client を切り分けるときは:

エンドポイントに到達できるかを確認します。

Cloudflare One Client は、ネットワークを識別するために TLS エンドポイントへ接続します。エンドポイントがダウンしている、または到達できない場合、ネットワークを検出できず、誤ったプロファイルが当たります。

接続をテストし、リモートサーバーの SHA-256 フィンガープリントを取得する手順は次のとおりです。
```
openssl s_client -connect <private-server-IP>:443 < /dev/null 2> /dev/null | openssl x509 -noout -fingerprint -sha256 | tr -d :
```
出力は次のようになります。
```
SHA256 Fingerprint=DD4F4806C57A5BBAF1AA5B080F0541DA75DB468D0A1FE731310149500CCD8662
```
エンドポイントがダウンしていると、Could not find certificate from <stdin> という応答が返ります。

SHA-256 フィンガープリントが返った場合:
1. Cloudflare ダッシュボード ↗ にログインし、Zero Trust > Team & Resources > Devices > Device profiles を開きます。
2. Managed networks > Edit を開きます。
3. ダッシュボードの TLS Cert SHA-256 と、ターミナルに返ったフィンガープリントが一致するかを確認します。
1 つの場所には 1 つのプロファイルを使います。

管理を簡単にし、ミスを防ぐため、同じ場所に複数のマネージドネットワークプロファイルを作らないでください。たとえば、1 つのオフィスに複数の TLS エンドポイントがある場合は、すべて同じデバイスプロファイルに紐づけます。設定ミスで意図しないプロファイルが当たるリスクが下がります。

ユーザーのグループ所属を確認する

デバイスプロファイルで問題が起きるのは、ユーザーが正しいグループに入っていないことが原因の場合があります。アイデンティティプロバイダー（IdP）の自動更新に SCIM を使っていない組織で起きやすいです。

ユーザーが意図したグループに入っているかを確認するには:

Cloudflare ダッシュボード ↗ にログインし、Zero Trust > Team & Resources > Devices > Your devices を開きます。
対象ユーザーを選択します。
User Registry Identity でユーザー名を選択します。
Get-identity endpoint に、そのユーザーが属するグループが一覧表示されます。

最近グループに追加されたユーザーは、Cloudflare Zero Trust 側のグループ所属を更新する必要があります。再認証エンドポイントにログインすれば更新できます。

Cloudflare Access のセッションを手動で更新し、アイデンティティプロバイダー（IdP）からグループ情報を取り込むには、ブラウザーで次の URL を開き、チーム名を入れます。

https://<your-team-name>.cloudflareaccess.com/cdn-cgi/access/refresh-identity

再認証すると、セッション期間がリセットされ、組織の IdP から最新のグループ情報を取得します。

デバイスプロファイルの一致ルールを編集する

デバイスプロファイルの一致ルールを変えるには、デバイスプロファイルを編集します。編集手順は次のとおりです。

Cloudflare ダッシュボード ↗ で Zero Trust > Team & Resources > Devices > Device profiles > General profiles を開きます。
更新するデバイスプロファイルを探し、Configure を選びます。
セレクターで一致ルールを追加または調整し、必要に応じてこのプロファイルのデバイスクライアント設定を変更します。
Note
次のいずれかの設定を変更すると、クライアント接続が再起動します。新しい設定が適用されるあいだ、ユーザーは短時間の接続切断を経験することがあります。
Save profile を選びます。

新しく更新した設定がデバイスへ反映されるまで、最大 10 分かかることがあります。

誤った Split Tunnel 設定

Split Tunnels では、IP アドレスまたはドメインを Cloudflare One Client（旧称 WARP）経由から除外または含めるよう設定できます。よくある用途は、VPN と並行して Cloudflare One Client を動かす場合（Exclude モード）や、特定のプライベートネットワークへのアクセスを提供する場合（Include モード）です。

Split Tunnels は、ネットワークレベルで Gateway が可視化できる対象を制御します。そのため、エンドユーザーへ変更を展開する前に、すべての変更をテストすることを推奨します。

Split Tunnel の設定を誤ると、接続の問題が起きることがあります。

たとえば、Exclude IPs and domains モードで、アプリケーションが必要とする IP を誤って除外すると、そのアプリケーションが正しく動かないことがあります。同様に、Include IPs and domains モードで必要な IP やドメインを入れ忘れると、そのトラフィックは Cloudflare One Client を迂回し、Zero Trust のセキュリティ機能が使えなくなります。

1. 適用中の Split Tunnel 設定を確認する

クライアント診断ログをダウンロードしたあと、設定が意図どおりかを確認します。

warp-settings.txt を開き、Exclude mode, with hosts/ips: または Include mode, with hosts/ips: を探します。

Exclude モードと Include モード
Exclude mode では、指定した IP とドメイン以外のトラフィックがすべて WARP トンネル経由になります。
Include mode では、指定した IP またはドメイン向けのトラフィックだけが WARP トンネル経由になります。
Cloudflare ダッシュボード ↗ にログインし、Zero Trust > Team & Resources > Devices > Device profiles > General profiles を開きます。
そのデバイス向けのデバイスプロファイルを探して選択します。
Edit を選択します。
Split Tunnels を探し、選んでいるモードを確認して Manage を選択します。
Cloudflare ダッシュボードで設定した IP / ホストと、warp-settings.txt に列挙された IP / ホストを照合します。

ダッシュボードの Split Tunnel 設定と warp-settings.txt の内容が一致しない場合は、Cloudflare One Client に設定を更新させる必要があることがあります。

2. Cloudflare One Client の設定を更新する

warp-settings.txt の Split Tunnel 設定がダッシュボードと一致しない場合、Cloudflare One Client に最新設定を取得させられます。

エンドユーザーにクライアントの切断と再接続を案内するか、暗号化キーをリセットしてもらいます。

どちらの方法でも、クライアントは最新の設定を取り込みます。

オプション A: クライアントを切断して再接続する

エンドユーザーのデバイスで Cloudflare One Client を開き、Disconnect を選択します。

Connect を選択します。

エンドユーザーのデバイスで Cloudflare One Client を開き、切断します。

Cloudflare One Client を再接続します。

再接続すると、クライアントは新しい設定を取得します。

オプション B: 暗号化キーをリセットする

エンドユーザーのデスクトップで暗号化キーをリセットするには:

デバイスで Cloudflare One Client を開きます。
Connectivity > Encryption keys を開きます。
Reset keys を選択します。

デバイスで Cloudflare One Client の GUI を開きます。
歯車アイコン > Preferences > Connection を選択します。
Reset Encryption Keys を選択します。

暗号化キーをリセットすると、クライアントはトンネルを再確立し、最新の設定を取得します。

5. サポートを受ける

切り分けを速く進めるには、サポートチケットに十分な詳細を書いてください。状況が多いほど、原因の特定と解決が早くなります。

サポートに問い合わせるときは、チケットにできるだけ次の情報を入れてください。

状況: シナリオやユースケースを短く説明します（例: ユーザーがどこにいて、何をしようとしていたか）。
再現手順: トラブルシューティング中に問題を再現した手順を書きます。
タイムスタンプ: 問題が起きた正確な時刻とタイムゾーンを書きます。
試した切り分け: すでに試した手順や変更を列挙します。
クライアント診断ログ: ダッシュボードまたは CLI からダウンロードしたクライアント診断を添付します。