コンテンツにスキップ

TLS復号化

Cloudflare Gatewayは、マルウェアやその他のセキュリティリスクのためにHTTPSトラフィックを検査するためにSSL/TLS復号化 ↗を実行できます。TLS復号化を有効にすると、GatewayはHTTPS経由で送信されるすべてのトラフィックを復号化し、HTTPポリシーを適用し、その後ユーザー側証明書でリクエストを再暗号化します。

TLS復号化を有効にする

  1. In Zero Trust ↗, go to Settings > Network.
  2. Turn on TLS decryption.

検査の制限

Gatewayは、次のアプリケーションに対してTLS復号化をサポートしていません：

非互換証明書

証明書ピンニングやmTLS認証を使用するアプリケーションは、Cloudflare証明書を信頼しません。たとえば、ほとんどのモバイルアプリケーションは証明書ピンニングを使用しています。Cloudflareは、公開CAによって署名された証明書の代わりに自己署名証明書を使用するアプリケーションを信頼しません。

TLS復号化を試みると、これらのアプリケーションは読み込まれないか、エラーを返す可能性があります。この問題を解決するには、次のことができます：

  • サポートされているアプリケーションにCloudflare証明書を追加します。
  • アプリケーションをTLS復号化から除外するために検査しないポリシーを作成します。アプリケーションセレクタは、埋め込まれた証明書を使用することが知られている信頼されたアプリケーションのリストを提供します。
  • スプリットトンネルをインクルードモードで構成して、GatewayがあなたのIPまたはドメインに向けられたトラフィックのみを検査するようにします。これは、ユーザーの個人デバイスにゼロトラストを展開する組織や、個人アプリケーションの使用が期待される場合に便利です。

または、安全でない証明書を持つサイトにアクセスしながらHTTPフィルタリングを許可するには、信頼できない証明書アクションをパススルーに設定します。

Google Chromeの自動HTTPSアップグレード

Google Chromeは、http://を明示的に宣言するリンクを選択しても、HTTPリクエストをHTTPSリクエストに自動的にアップグレードできます。Gatewayを使用してトラフィックをプロキシおよびフィルタリングすると、このアップグレードがゼロトラストユーザーとGatewayの間の接続を中断する可能性があります。

自動HTTPSアップグレードを無効にするには、Gatewayのパススルーポリシー、Chromeブラウザフラグ、またはChromeエンタープライズポリシーを使用できます。

URL全体で自動HTTPSアップグレードを無効にするには、Gatewayのパススルーポリシーを作成します。

  1. カスタムルート証明書を展開します。

  2. 自動的にアップグレードされるURLのドメインに一致するHTTPポリシーを作成します。たとえば：

    セレクタオペレーター値アクション
    URLinexample.com許可

  3. 信頼できない証明書アクションで、パススルーを選択します。

  4. ポリシーを作成を選択します。

パススルーポリシーは、ゼロトラスト組織に接続されている任意のデバイスに対して安全でない接続のアップグレードをバイパスします。詳細については、信頼できない証明書を参照してください。

ESNIおよびECH

ESNIまたはECH標準 ↗に準拠したウェブサイトは、TLSハンドシェイク中にサーバー名インジケーター（SNI）を暗号化するため、HTTP検査と互換性がありません。これは、GatewayがHTTPリクエストをポリシーに一致させるためにSNIに依存しているためです。

SNIおよびSNIドメインを除いて、すべてのネットワークポリシーフィルターを適用できます。ESNIおよびECHトラフィックを制限するためのオプションは、SNIヘッダーを含まないすべてのポート80および443トラフィックをフィルタリングすることです。

FIPS準拠

デフォルトでは、TLS復号化はTLSバージョン1.2および1.3の両方を使用できます。ただし、FedRAMPなどの一部の環境では、FIPS 140-2に準拠した暗号スイートおよびTLSバージョンが必要です。FIPS準拠には現在、TLSバージョン1.2が必要です。

FIPS準拠を有効にする

  1. In Zero Trust ↗, go to Settings > Network.
  2. Turn on TLS decryption.
  1. FIPS 140-2に準拠した暗号スイートおよびTLSバージョンのみを有効にするを選択します。

制限

FIPS準拠が有効になっている場合、Gatewayはオリジンに接続する際にFIPS準拠の暗号スイートのみを選択します。オリジンがFIPS準拠の暗号をサポートしていない場合、リクエストは失敗します。

FIPS準拠のトラフィックはデフォルトでHTTP/3になります。Gatewayは、Chrome、Firefox、Safariを含むほとんどのブラウザからのHTTP/3トラフィックを検査しません。このHTTP/3トラフィックに対してHTTPポリシーを強制するには、ユーザーのブラウザでQUICを無効にする必要があります。

暗号スイート

A set of encryption algorithms for establishing a secure communications connection. There are several cipher suites in wide use, and a client and server agree on the cipher suite to use when establishing the TLS connection. Support of multiple cipher suites allows compatibility across various clients.

以下の表は、GatewayがTLS復号化に使用するデフォルトの暗号スイートを示しています。

名前 (OpenSSL)名前 (IANA)FIPS準拠
ECDHE-ECDSA-AES128-GCM-SHA256TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256✅
ECDHE-ECDSA-AES256-GCM-SHA384TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384✅
ECDHE-RSA-AES128-GCM-SHA256TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256✅
ECDHE-RSA-AES256-GCM-SHA384TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384✅
ECDHE-RSA-AES128-SHATLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256❌
ECDHE-RSA-AES256-SHA384TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384✅
AES128-GCM-SHA256TLS_RSA_WITH_AES_128_GCM_SHA256✅
AES256-GCM-SHA384TLS_RSA_WITH_AES_256_GCM_SHA384✅
AES128-SHATLS_RSA_WITH_AES_128_CBC_SHA❌
AES256-SHATLS_RSA_WITH_AES_256_CBC_SHA❌

暗号スイートに関する詳細は、暗号スイートを参照してください。

Cloudflare DashboardDiscordCommunityLearning CenterSupport Portal
Cookie Settings