下図はWARPクライアントがZero Trustのセキュリティ空間に接続された時の概念図です。
PCやスマートデバイスの[WARP]がCloudflareの[セキュリティ空間]に[認証]されると[WARP]と[Gateway]間はWireGuardのVPNで接続されます。（最近はMASQUEのVPNも利用できる様になりました）
またGatewayには[DNSポリシー]と[HTTPSポリシー]があり、これらを利用する為には[DNS Locations]と[Cert Pinning]設定を行う必要があります。
これらの設定は自動で生成される事もありますが、無い場合はマニュアルで作成します。
1.DNS Locationsの設定
WARPのインターネットアクセスは汎用のDNSリゾルバではなく、貴方の[セキュリティ空間]に設定された貴方専用のDNSリゾルバが利用されます。
[Gateway → DNS Locations]を起動して下さい。
メモ
ここに[Default Location]が既に設定されていた場合は、この設定は不要です。
この[Default Location]がないと、ブロック設定を行っても貴方専用のブロック画面が表示されないので必ず設定して下さい。
何も設定されてない場合は、画面の中にある[Add a location]ボタンを挿入します。
1.[Add DNS endpoints]ページの設定
①[DNS location details]欄
[Location name]欄に[Default Location]を入力します。
②[Select DNS endpoints]欄
ここでは[DNS]を[IPv4]か[IPv6]の何れを利用するのか？とDNSとの会話の暗号化方式を設定します。
具体的には[IPv4 DNS]以外をONにします。
以上でIPv6のDNSで暗号化方式は下記の2つが利用できるDNSである事を宣言します。
・DNS over TLS(DoT)
TLS（SSL）を使って暗号化する方式です。ポート番号の853を利用します。
・DNS over HTTPS(DoH)
HTTPSを使って暗号化する方式です。ポート番号の443を利用します。
③[Default DNS Location]欄
[Set as Default DNS Location]に✓を付け[continue]ボタンを挿入します。
■上記はデフォルトがDoHで、DoTでも利用できるIPv6のDNSリゾルバという意味です。
2.[Protect your endpoints]ページの設定
プロテクトはしないので、何も設定せずに[continue]ボタンを挿入します。
3.[Review setup details]ページの設定
内容を確認後[Done]ボタンを挿入します。
4.[configuration]ページの設定
内容を確認後[Go to DNS locatins]ボタンを挿入します。
以上で[Default Location]という名前の貴方専用のDNSリゾルバが作成されました。
2.HTTPポリシーの[Cert Pinning]設定
ここでは[検査をしない]というルールを設定します。
[Gateway → Firewall policies]を起動し[HTTP]タブを開いて下さい。
メモ
ここに既に[Cert Pinning]というポリシーが設定されていた場合は、この作業は不要です。
[Exclude]モードで運用していた場合は、この[Cert Pinning]がないと、PCの中にインストールした[Thunderbird]等のアプリが動きません。
[Include]モードで運用していた場合は、この設定は不要です。（あっても問題ありません）
[解説]
インターネットにアクセスするのはブラウザだけでなく、デバイスにインストールされた[Thunderbird]の様なアプリもアクセスします。
これらのアプリは独自の証明書でインターネットをアクセスするので、Cloudflareの[TSL decryption]処理が行われると当然エラーになります。
[Cert Pinning]の[Do Not Inspect]リストには、TLS復号を行うと動かないアプリが設定されています。
しかし[Thunderbird]は良いのでが、[秀丸メール]や[FFFTP]等の日本製アプリはこの中には登録されていません。
よってこれらのアプリを利用する場合は、個別に検査しないポリシーを作成する必要があります。
何も設定されてない場合は、画面の中にある[Add a policy]ボタンを挿入します。
1.[Name your policy]欄
[Policy name]に[Cert Pinning]を入力します。
2.[Build an expression]欄
[Traffic] 欄にある[+Add condition]ボタンを挿入します。
下記画面が表示されます。
・[Selector]の▼から[Application]を選択します。
・[Opelator]の▼から[in]を選択します。
・[Value]欄に[Do Not Inspect]を入力し、表示された[Do Not Inspect]に✓を付けます。
3.[Select an action]欄
・[Action]欄の▼から[Do Not Inspect]を選択します。
4.画面の下にある[Create policy]ボタンを挿入します。
下記のポリシーが表示されます。
メモ
尚、[Cert Pinning]ポリシーはHTTPポリシーの先頭に配置する必要があります。
もし、ブロックポリシーの下にあった場合は先頭に移動させてください。
以上で登録したアプリは[TSL decryption]対象外になります。
