21-3 通信への決まり（Gateway の DNS・HTTP policy）

この節を一言で

Gateway の決まりは検問所の並びで、名前の段階で止めるか、中身を見て止めるかを選べます。

図版を準備中通信の通り道に掲げられた店の決まりの札

Gateway の traffic policies は、端末の通信に対する店の決まりです。

制服を着せただけでは、まだ何も止まりません。通信は Cloudflare を通るようになりましたが、通り道に決まりが貼られていないからです。

店にたとえると、荷物が必ず本部を経由する状態です。あとは通り道に「通す」「止める」の札を掲げるだけです。

いま読んでいるこのサイト（Cloudflare Lab）でも、まず軽い決まりから貼ります。この節では札の種類と、読まれる順番を見ます。

Learning goals

この節でできるようになること

• Gateway の決まりが層ごとの検問所であることを説明できる
• 行き先の名前で止める決まりの作りを言える
• 中身まで見る決まりに何が要るかを言える
• 決まりが読まれる順番と、最初に当たった一枚が効くことを説明できる

1. 通信の通り道に貼る決まり

本部を通る荷物は、順に検問所を通ります。手前ほど軽く、奥へ行くほど細かく見ます。

Cloudflare では、この検問所の集まりを traffic policies と呼び、それを担う仕組みが Cloudflare Gateway です。公式は Gateway を Secure Web Gateway だと説明し、DNS・network（Layer 4）・HTTP（Layer 7）の層で通信を調べるとしています。

決まりは種類ごとに分かれます。名前を引く段階の DNS policies、通信の相手や port を見る Network policies、中身まで見る HTTP policies が中心です。

扉の図のとおり、手前の検問所は名前だけを見て、奥の検問所は中身まで開けます。

つまり、決まりは層ごとに分かれた検問所です。

2. 行き先の名前で止める

一番手前の検問所は宛名だけを見ます。危ない相手なら、開ける前に止まります。

DNS policies は、利用者が出す名前の問い合わせをすべて調べます。公式は、条件に当たると「その名前が住所に変換されないので、サイトはそもそも読み込まれない」と説明しています。接続の早い段階で効くため、広く速く守れます。

危ない相手を一つずつ書き並べる必要はありません。Security Categories は危険の種類ごと、Content Categories は内容の種類ごとに、まとめて指定できます。

図版を準備中行き先の名前を引く前に決まりの札で止められる場面

DNS policy は名前を引く段階で行き先を止めます。

宛名の段階で止めれば、荷物は本部の先へ進みません。

つまり、DNS policy は名前を引く段階で行き先を止めます。

3. 中身を見て止める

宛名が正しくても、中身が危ないことがあります。見るには箱を開ける必要があります。

HTTP policies は、URL・ヘッダ・やり取りされるファイルまで含めて中身を調べます。公式は、Gateway が HTTPS の通信を復号して、他の種類の決まりでは見えないものを調べると説明しています。既定では port 80、TLS decryption を有効にすると port 443 の通信を対象にします。

そのためには、端末の側に Cloudflare root certificate（もしくは自前の証明書）を入れておく必要があります。箱を開けてよい、という取り決めを先に交わす作業です。

実物では、URL 単位での遮断や、危ないファイルの隔離ができます。名前だけでは分けられないものは、この層で扱います。

図版を準備中荷物の中身まで開けて確かめる検問の場面

HTTP policy は中身まで見て、通す・止めるを決めます。

箱を開けて中身を確かめるので、同じ宛名でも扱いを変えられます。

つまり、HTTP policy は中身まで見て決めるかわりに、事前の準備が要ります。

4. 順番と、当たったときの処置

検問所では札を上から順に読み、最初に当てはまった一枚に従います。順番が違えば結果も変わります。

Gateway は order of enforcement、すなわち DNS policies を先に、次に network policies、最後に HTTP policies の順で評価します。DNS の決まりの中では first-match principle が働き、Block より上の位置に Allow が当たれば、その問い合わせは通ります。

処置は決まりごとに 1 つだけ選びます。DNS の決まりでは Allow・Block のほか、答えを差し替える Override などがあります。1 本の決まりは、条件を組み立てる Selector・Operator・Value と、処置の Action でできています。

図版を準備中決まりの札が上から順に並び、最初に当たった札が効く

決まりは上から順に見られ、最初に当たった一枚が効きます。

札は上から順に読まれ、最初に当たった一枚が効きます。

つまり、順番と処置の組み合わせが、その通信の運命を決めます。

Cloudflare Lab での使われ方

ここで紹介した決まりが、いま読んでいる Cloudflare Lab でどう使われるかを見ます。

Cloudflare Lab では、まず DNS policy を 1 本だけ作り、危ない種類をまとめて止める形から始める予定です。中身まで見る HTTP policy は証明書の準備が要るため、後に回します。実測（作った決まりの名前と条件）は実装後に追記します。

つまずきやすいところ

つまずきポイント

Block の見え方は設定で変わります

block page を切っていると、Gateway は A レコードに 0.0.0.0、AAAA レコードに :: を返します。応答する相手がいないので、ブラウザーは接続エラー画面を出します。

つまずきポイント

中身を見る決まりには準備が要ります

HTTP policies を使うには、端末に Cloudflare root certificate か自前の証明書が要ります。決まりを書くだけでは効きません。

この節のまとめ

• 決まりは層ごとの検問所で、DNS・network・HTTP の順に読まれます。
• DNS policy は名前を引く段階で止め、種類（categories）でまとめて指定できます。
• 1 本の決まりは Selector・Operator・Value と Action でできています。

この節で出てきた言葉を、つながりの順に並べると次のようになります。

flowchart TD
  A["端末からの通信"] --> B["通信への決まり<br/>Cloudflare Gateway"]
  B --> C["名前で止める<br/>DNS policies"]
  C --> D["種類でまとめる<br/>Security Categories"]
  B --> E["中身で止める<br/>HTTP policies"]
  E --> F["読む順番<br/>order of enforcement"]
  C --> F

図のラベル: 端末からの通信 / 通信への決まり Cloudflare Gateway / 名前で止める DNS policies / 種類でまとめる Security Categories / 中身で止める HTTP policies / 読む順番 order of enforcement

次の節では、この決まりを 1 本だけ作り、手元のパソコンで効きめを確かめます。

この節のチェック

問 1Cloudflare Gateway の説明として公式に沿うものはどれですか？

画像を保存する倉庫DNS・network・HTTP の層で通信を調べて絞り込む Secure Web Gateway証明書を発行する仕組み帳簿に記録するデータベース

問 2DNS policies が効く段階として公式に沿うものはどれですか？

名前が住所に変換される段階で止めるので、サイトはそもそも読み込まれないファイルを保存する段階画面を描く段階支払いの段階

問 3HTTP policies を使うために公式が求めている準備はどれですか？

端末を初期化すること有線接続にすること準備は何も要らないCloudflare root certificate か独自の証明書を端末に入れること

問 4Gateway が決まりを評価する順番として公式に沿うものはどれですか？

HTTP policies が先、次に DNS policies作った順ではなく名前の五十音順DNS policies が先、次に network policies、最後に HTTP policiesすべて同時に評価される

問 5DNS policies で Allow と Block の両方が当たりうるとき、公式が説明する扱いはどれですか？

常に Block が優先されるfirst-match principle により、上の位置で当たった Allow があれば解決される両方が同時に適用される後から作った決まりが必ず勝つ

採点する