スプリットトンネル
スプリットトンネルは、WARPを通過させるIPアドレスやドメインを除外または含めるように設定できます。この機能は、VPNと併用してWARPを実行するため（除外モード）や、特定のプライベートネットワークへのアクセスを提供するため（含めるモード）によく使用されます。
スプリットトンネルは、ネットワークレベルでGatewayが可視性を持つものを制御するため、エンドユーザーに更新を展開する前にすべての変更をテストすることをお勧めします。変更がクライアントに伝播するまでに最大24時間かかる場合があります。これは、組織に接続されているデバイスの数によります。
-
In Zero Trust ↗, go to Settings > WARP Client.
-
Under Device settings, locate the device profile you would like to modify and select Configure.
-
Scroll down to Split Tunnels.
-
(Optional) To view your existing Split Tunnel configuration, select Manage. You will see a list of the IPs and domains Cloudflare Zero Trust excludes or includes, depending on the mode you have selected. We recommend making a copy of your Split Tunnel entries, as they will revert to the default upon switching modes.
-
Under Split Tunnels, choose a mode:
- Exclude IPs and domains — (Default) All traffic will be sent to Cloudflare Gateway except for the IPs and domains you specify.
- Include IPs and Domains — Only traffic destined to the IPs or domains you specify will be sent to Cloudflare Gateway. All other traffic will bypass Gateway and will no longer be filtered by your network or HTTP policies. In order to use certain features, you will need to manually add Zero Trust domains.
All clients with this device profile will now switch to the new mode and its default route configuration. Next, add or remove routes from your Split Tunnel configuration.
-
In Zero Trust ↗, go to Settings > WARP Client.
-
Under Device settings, locate the device profile you would like to modify and select Configure.
-
Under Split Tunnels, check whether your Split Tunnels mode is set to Exclude or Include.
-
Select Manage.
-
You can exclude or include routes based on either their IP address or domain. When possible we recommend adding an IP address instead of a domain. To learn about the consequences of adding a domain, refer to Domain-based Split Tunnels.
To add an IP address to Split Tunnels:
- Select IP Address.
- Enter the IP address or CIDR you want to exclude or include.
- Select Save destination.
Traffic to this IP address is now excluded or included from the WARP tunnel.
To add a domain to Split Tunnels:
- Select Domain.
- Enter a valid domain to exclude or include.
- Select Save destination.
- (Optional) If your domain does not have a public DNS record, create a Local Domain Fallback entry to allow a private DNS server to handle domain resolution.
When a user goes to the domain, the domain gets resolved according to your Local Domain Fallback configuration (either by Gateway or by your private DNS server). WARP Split Tunnels will then dynamically include or exclude the IP address returned in the DNS lookup.
You can add up to 1000 combined Split Tunnel and Local Domain Fallback entries to a given device profile.
We recommend keeping the Split Tunnels list short, as each entry takes time for the client to parse. In particular, domains are slower to action than IP addresses because they require on-the-fly IP lookups and routing table / local firewall changes. A shorter list will also make it easier to understand and debug your configuration.
特定のサイトのためにGatewayを完全にバイパスする必要がある場合や、WARPが作成するファイアウォールを通過させるトラフィックを許可する場合にスプリットトンネルを使用します。一般的なシナリオには以下が含まれます：
- エンドユーザーのデバイスの実際のIPアドレスを必要とするサードパーティアプリケーションに接続する（例：Microsoft 365）。
- 音声とビデオを最適化する。
- サードパーティVPNエンドポイントに接続する。
Gatewayのログでトラフィックを確認したい場合は、スプリットトンネルからサイトを除外しないでください。特に、スプリットトンネルを使用して以下のことを行うことはお勧めしません：
- 特定のウェブサイトとの接続の問題を解決する。設定ガイダンスについては、トラブルシューティングガイドを参照してください。
- 特定のウェブサイトのパフォーマンスの問題を解決する。Cloudflareは95%のインターネット接続人口の50ミリ秒以内で運営されているため、通常はトラフィックを私たちを通じて送信する方が速いです。パフォーマンスに関連する問題が発生している場合は、まずGatewayポリシーを確認するか、サポートに連絡することをお勧めします。
多くのCloudflare Zero Trustサービスは、WARPを通過するトラフィックに依存しています。例えば、デバイスの姿勢チェックやWARPセッションの持続時間などです。含めるモードでスプリットトンネルを使用している場合、これらの機能が機能するためには、以下のドメインを手動で追加する必要があります：
- Cloudflare Zero Trustに認証するために使用されるIdP
<your-team-name>.cloudflareaccess.com- AccessまたはGatewayポリシーによって保護されているアプリケーション
- ブラウザアイソレーションを使用している場合は
edge.browser.run
ドメインベースのスプリットトンネルには、組織に展開する前に知っておくべきいくつかの影響があります：
- WARPおよびGatewayの可視性から除外または含められたルートは日々変わる可能性があり、ユーザーごとに異なる場合があります。
- IPアドレスを共有する追加のホスト名を意図せず除外または含める可能性があります。これは、CDNやCloudflare、AWS、Azureなどの大規模なインターネットプロバイダーによってホストされているドメインを追加した場合によく発生します。例えば、AWSでホストされているVPNを除外したい場合は、
*.amazonaws.comを追加しないでください。そうすると、デバイスがAWS上のすべてのトラフィックに対して開かれてしまいます。代わりに、特定のVPNエンドポイント（*.cvpn-endpoint-<UUID>.prod.clientvpn.us-west-2.amazonaws.com）を追加してください。 - ほとんどのサービスはホスト名のコレクションです。スプリットトンネルモードがアプリタイプをサポートするまで、特定のアプリやサービスで使用されるすべてのドメインを手動で追加する必要があります。
- WARPはドメインのDNSルックアップリクエストを処理する必要があります。DNS結果がオペレーティングシステムによって以前にキャッシュされているか、他の方法で傍受されている場合（例えば、ブラウザのセキュアDNS設定を介して）、IPアドレスはスプリットトンネルに動的に追加されません。
| スプリットトンネルドメイン | 一致するもの | 一致しないもの |
|---|---|---|
example.com | example.comの正確な一致 | www.example.comのようなサブドメイン |
example.example.com | example.example.comの正確な一致 | example.comやwww.example.example.comのようなサブドメイン |
*.example.com | www.example.comやsub2.sub1.example.comのようなサブドメイン | example.com |
ドメインベースのスプリットトンネルは、モバイルクライアントとデスクトップクライアントで異なる動作をします。モバイルとデスクトップの両方のクライアントが組織に接続する場合は、すべてのプラットフォームで同じように機能するIPアドレスまたはCIDRに基づくスプリットトンネルを使用することをお勧めします。
これらのプラットフォームのクライアントは、ドメインのIPアドレスが解決された直後に、スプリットトンネル用のルーティングテーブルに動的に挿入することによって機能します。これにより、デスクトップクライアントはワイルドカードドメインプレフィックス（例えば、*.example.com）をサポートし、単一のドメイン（example.comやwww.example.com）だけでなくなります。
プラットフォームの違いにより、モバイルクライアントはトンネルが最初に開始されたときにのみスプリットトンネルルールを適用できます。これは以下を意味します：
-
ドメインベースのスプリットトンネルルールは、トンネルが確立されたときにその時点でのドメインのIPアドレスに基づいて作成されます。ルートはトンネルが確立されるたびに更新されます。
-
ワイルドカードドメインプレフィックス（例えば、
*.example.com）は、有効なワイルドカードDNSレコードがある場合にのみサポートされます。他のワイルドカードドメインは、クライアントがトンネルを開始する際にワイルドカードドメインをホスト名に一致させることができないため、サポートされません。サポートされていないワイルドカードドメインプレフィックスは、構成に存在することができますが、モバイルプラットフォームでは無視されます。
-
Zero Trust ↗に移動し、設定 > WARPクライアントを選択します。
-
デバイス設定の下で、変更したいデバイスプロファイルを見つけて構成を選択します。
-
スプリットトンネルの下で、管理を選択します。
-
リスト内のIPアドレスまたはホスト名を見つけて削除を選択します。
Cloudflareが推奨するデフォルトのスプリットトンネルエントリに戻す必要がある場合は、デフォルトエントリを復元を選択します。