15-2 名簿を検問の紙から引く（Custom Rules）

この節を一言で

検問の紙（Custom Rules）には名簿の名前だけを書きます。相手が変わったら名簿を直すだけで、紙はそのままです。

図版を準備中検問の紙に「名簿にある人」とだけ書かれ、矢印が名簿へ伸びる

検問の紙は名簿の名前を書くだけで、中身は名簿側で直します。

前の節で名簿を 1 冊作りました。作っただけでは、検問はその名簿を引きません。紙の側に「この名簿にある人」と書いて、はじめて効きます。

書き方は 2 通りあります。条件文を自分で打ち込む方法と、画面の選択肢から選ぶ方法です。どちらも名簿の名前を指すところが要点です。

いま読んでいるこのサイト（Cloudflare Lab）でも、通す相手を名簿にまとめる予定です。紙が名簿を指していれば、直すのは名簿の 1 行だけで済みます。

Learning goals

この節でできるようになること

• 条件文から名簿を引く書き方を説明できる
• 画面の選択肢から名簿を選ぶ手順を言える
• IP Access rules と検問の紙の違いと、公式の推奨を言える
• 名簿を更新したときに検問の紙がどうなるかを言える

1. 条件文から名簿を引く

検問の紙に「名簿にある人」と書くには、名簿の名前を指す印が要ります。

Cloudflare の条件文では、in という語と、名簿の名前の前に付ける $ を使います。これから出てくる 1 行は読めなくても大丈夫です。「送り主の住所が、office_network という名簿の中にあるなら」と書いた 1 行だと思って眺めてください。

ip.src in $office_network

この 1 行が条件に入ると、検問では毎回その名簿を引きます。逆に「名簿に無い人」を条件にしたいときは、公式の例では先頭に not を付けます。

図版を準備中検問の紙の条件欄に名簿の名前だけが書かれている

条件文では、名簿の名前の前に $ を付けて引きます。

紙の条件欄には名簿の名前しかなく、中身は名簿の側にあります。

つまり、条件文は名簿の名前を指すだけで、相手の一覧は持ちません。

2. 画面の選択肢から選ぶ

条件文を打ち込まずに、画面の選択肢から組み立てることもできます。

公式は、条件を編集する方法が 2 つあると説明しています。選択肢を選んで組み立てる Expression Builder と、文字で書く Expression Editor です。

Expression Builder

Operator の一覧から is in list（この名簿にある）か is not in list（この名簿に無い）を選び、Value の一覧から名簿を選びます。

Expression Editor

in と $名簿名 を文字で書きます。かっこでまとめるといった細かい書き方はこちらだけです。

書き終えたら、有効にするなら Deploy、まだなら Save as Draft を選びます。なお公式は、全ての機能が条件文の名簿に対応しているわけではないと注意しています。

つまり、名簿は文字でも選択肢でも引けます。迷ったら選択肢から選びます。

3. IP Access rules との違い

Cloudflare には、検問の紙とは別に、相手の住所だけで通す・止めるを決める古くからの仕組みがあります。

これを IP Access rules と呼びます。公式は、訪問者の IP アドレス・ASN・国を見て、許可・block・challenge を行う仕組みだと説明しています。全プランで使えて、アカウントあたり 50,000 本まで、国での block は Enterprise 専用です。

ただし公式は、IP や地理での制限には IP Access rules ではなく Custom Rules を作ることをすすめています。相手の住所で出入りを決めるなら、検問の紙の条件文で名簿を引く形にする、というのがその中身です。

図版を準備中古い簡易な住所だけで出入りを決める紙と、新しい検問の紙を並べた対比

同じ止め方でも、公式は検問の紙の側をすすめています。

同じ「止める」でも、名簿を引く検問の紙の方が後から読みやすく、直しやすくなります。

つまり、住所で出入りを決めるときは、名簿と検問の紙の組み合わせで書きます。

4. 名簿を直せば紙は触らない

名簿の効き目は、相手が変わったときに出ます。

公式は、名簿の中身を更新すると、その名簿を使っているルールは自動的に更新されると説明しています。紙が何枚あっても、直すのは名簿の 1 か所です。

項目を足すときの決まりもあります。公式は、画面からでも CSV ファイルからでも、既存の項目は消さず、同じ項目は更新し、無い項目は追加すると説明しています。中身をまるごと入れ替えるときだけ、API の別の操作を使います。

図版を準備中名簿に 1 行足すと、その名簿を見る紙が全部そろって変わる

名簿を直せば、その名簿を引く紙は自動でそろいます。

名簿に 1 行足すと、その名簿を引く検問の紙がそろって新しい中身で効きます。

つまり、運用で触るのは名簿であって、検問の紙ではありません。

Cloudflare Lab での使われ方

ここで紹介した引き方が、いま読んでいる Cloudflare Lab でどう使われるかを見ます。

Cloudflare Lab では、前の節の名簿 1 冊を検問の紙から引く予定です。管理用の通路にだけ「名簿にある相手なら通す」の条件を置き、それ以外は既定の守りに任せます。検問の紙はドメイン（zone）の設定なので、実装はドメインの取得後です。実際の条件文と動作の確認結果は、そのときに追記します。

つまずきやすいところ

つまずきポイント

許可は他の守りを飛び越えます

公式は、IP や ASN を IP Access rules で許可すると、Custom Rules・rate limiting rules・WAF Managed Rules を迂回すると注意しています。「通す」は「素通しにする」に近い操作です。

つまずきポイント

許可した通信は記録に出ません

公式は、許可の動作にした IP Access rules は設計上 Security Events に表示されないと説明しています。効いているか確かめたいときは記録側だけを見ても分かりません。

この節のまとめ

• 条件文では in と $名簿名 で名簿を引きます。画面の選択肢からも同じことができます。
• 住所での制限は、公式は IP Access rules より Custom Rules をすすめています。
• 名簿を更新すると、その名簿を使うルールは自動的に更新されます。

この節で出てきた言葉を、つながりの順に並べると次のようになります。

flowchart TD
  A["1 か所にまとめた名簿<br/>Lists"] --> B["条件文から名前で引く<br/>in と $名簿名"]
  B --> C["文字で書く<br/>Expression Editor"]
  B --> D["選択肢から選ぶ<br/>Expression Builder"]
  C --> E["検問の紙<br/>Custom Rules"]
  D --> E
  E --> F["名簿を直せば<br/>紙は触らない"]

図のラベル: 1 か所にまとめた名簿 Lists / 条件文から名前で引く in と $名簿名 / 文字で書く Expression Editor / 選択肢から選ぶ Expression Builder / 検問の紙 Custom Rules / 名簿を直せば 紙は触らない

次の節では、守りの状態をまとめて見るための点検表に移ります。

この節のチェック

問 1条件文から名簿を引く書き方として公式に沿うものはどれですか？

in という語を使い、名簿の名前の前に $ を付ける名簿の名前を二重かっこで囲む名簿の中身をそのまま条件文に貼り付ける名簿の番号を数字で書く

問 2画面の選択肢から名簿を使うとき、Operator の一覧から選ぶものはどれですか？

is in list または is not in listequals または containsgreater thanstarts with

問 3IP Access rules で相手を許可したときに起きることはどれですか？

設定済みの custom rules・rate limiting rules・WAF Managed Rules を迂回する全ての守りが強くなる何も変わらないその相手だけ通信が遅くなる

問 4IP アドレスでの制限について、公式がすすめている書き方はどれですか？

custom rules を作り、条件文で IP list を引く全てを IP Access rules で書くブラウザ側で止めるDNS の設定で止める

問 5名簿の中身を更新したとき、その名簿を使っているルールはどうなりますか？

自動的に更新される1 本ずつ手で書き直す必要がある無効になる作り直しになる

採点する