--- title: "Cloudflare上でホストされたウェブサイトがCatoファイアウォールをバイパスする" slug: "website-hosted-on-cloudflare-bypasses-the-cato-firewall" updated: 2026-07-30T01:32:01Z published: 2026-07-30T01:32:01Z canonical: "knowledge.catonetworks.com/website-hosted-on-cloudflare-bypasses-the-cato-firewall" --- > ## Documentation Index > Fetch the complete documentation index at: https://knowledge.catonetworks.com/llms.txt > Use this file to discover all available pages before exploring further. # Cloudflare上でホストされたウェブサイトがCatoファイアウォールをバイパスする ## 問題 CatoファイアウォールはCloudflareでホストされたウェブサイトでファイアウォールルールを適用することに失敗する。 例えば、カテゴリー**データベース**として分類されているウェブサイト**research.cloudflare.com**は、ファイアウォールルールでこのカテゴリをブロックしているにも関わらず許可されている。 ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/22499982236573.png?sv=2026-02-06&spr=https&st=2026-11-10T17%3A05%3A52Z&se=2026-11-10T18%3A05%3A52Z&sr=c&sp=r&sig=LZRbnu1mo5f9GJaZ8CrgRBjkzNQf97ucbwcY%2F8vpMDc%3D) ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/22499722091549.png?sv=2026-02-06&spr=https&st=2026-11-10T17%3A05%3A52Z&se=2026-11-10T18%3A05%3A52Z&sr=c&sp=r&sig=LZRbnu1mo5f9GJaZ8CrgRBjkzNQf97ucbwcY%2F8vpMDc%3D) 関連するCMAイベントは、意図したサイトと一致せずファイアウォールルールをバイパスする異なるドメイン名、**cloudflare-ech.com**を表示している。 このイベントは、ウェブサイトの宛先IPアドレスをフィルタリングすることで見つけることができる。 ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/22499722096413.png?sv=2026-02-06&spr=https&st=2026-11-10T17%3A05%3A52Z&se=2026-11-10T18%3A05%3A52Z&sr=c&sp=r&sig=LZRbnu1mo5f9GJaZ8CrgRBjkzNQf97ucbwcY%2F8vpMDc%3D) ## 環境 - 特定のカテゴリをブロックするファイアウォールルール。 - TLSインスペクションが有効になっていません。 ## トラブルシューティング イベント内のドメイン名**cloudflare-ech.com**の存在は、暗号化されたクライアントハロー(ECH)プロトコルが使用されていることを示唆しています。 #### ECHとは何か？ [Cloudflareのドキュメント](https://developers.cloudflare.com/ssl/edge-certificates/ech/)に記載されているように、ECHはTLSクライアントハローパケットの一部を暗号化し、通常はTLSセッションの確立に使用されるサーバー名表示(SNI)をマスクします。 これは、CatoがCloudflareへの接続を確認しながら、特定のウェブサイトを識別できないことを意味します。 これが機能するためには、ブラウザーおよびウェブサイトの両方がECHをサポートする必要があります。 #### ECHの仕組み 1. 公開鍵配布: サーバーは、DNS経由で、しばしばDoH(HTTPSを介したDNS)やDoT(TLSを介したDNS)のような安全なDNSプロトコルを使用して、公開鍵(ECH設定内)を共有します。 ただし、UDPを介した暗号化されていないDNSも利用可能です。 このキーは、クライアントハローのメッセージを暗号化するためにクライアントによって使用されます。 以下は、ECH設定を含むHTTPSタイプのDNS応答の例です。 ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/22499916309661.png?sv=2026-02-06&spr=https&st=2026-11-10T17%3A05%3A52Z&se=2026-11-10T18%3A05%3A52Z&sr=c&sp=r&sig=LZRbnu1mo5f9GJaZ8CrgRBjkzNQf97ucbwcY%2F8vpMDc%3D) 2. クライアントハロー暗号化: 接続時に、クライアントはSNIなどクライアントハローの機密部分をサーバーの公開鍵を使用して暗号化します。 この情報を復号化できるのはサーバーのみです。 暗号化されていない外部クライアントハローも送信され、デフォルトのSNIのような一般的な情報を表示しますが、本当のターゲットは明らかにならないかもしれません。 以下の例では、デフォルトのSNIは**cloudflare-ech.com**です ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/22499722100765.png?sv=2026-02-06&spr=https&st=2026-11-10T17%3A05%3A52Z&se=2026-11-10T18%3A05%3A52Z&sr=c&sp=r&sig=LZRbnu1mo5f9GJaZ8CrgRBjkzNQf97ucbwcY%2F8vpMDc%3D) 3. フォールバックメカニズム: ECHがサポートされている場合、サーバーは暗号化されたクライアントハローを処理し、接続を続行します。 サポートされていない場合、フォールバックメカニズムは暗号化されていないクライアントハローでの再接続を試み、従来のTLS 1.3サーバーとの後方互換性を維持します。 ## 解決策 Catoは現在ECHをサポートしていないため、ネットワーク設定に基づいて未暗号化SNI TLS接続にフォールバックを強制する次の回避策をお勧めします： - インターネットファイアウォールでDoH、DoT、およびQUICプロトコルをブロックします。 これにより、ECH設定を交換するためのセキュアDNSプロトコルの使用が防止されます。 ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/22499870238109.png?sv=2026-02-06&spr=https&st=2026-11-10T17%3A05%3A52Z&se=2026-11-10T18%3A05%3A52Z&sr=c&sp=r&sig=LZRbnu1mo5f9GJaZ8CrgRBjkzNQf97ucbwcY%2F8vpMDc%3D) - ブラウザーによっては、クライアントがECH設定を交換するためにUDPベースのDNSへのフォールバックを行う場合があります。 その場合、[TLSインスペクション](/v1/docs/configuring-tls-inspection-policy-for-the-account)を影響を受けるサイトやユーザーに対して有効にします。 ECHは中間者攻撃(MITM)手法をサポートしていないため、接続は未暗号化のSNIを使用するフォールバックを行います。 - 最後の手段として、インターネットファイアウォール内のドメイン**cloudflare-ech.com**をブロックします。 これによりブラウザは未暗号化SNIにフォールバックし、正しいファイアウォールルールを適用できるようにします。 ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/22522099591837.png?sv=2026-02-06&spr=https&st=2026-11-10T17%3A05%3A52Z&se=2026-11-10T18%3A05%3A52Z&sr=c&sp=r&sig=LZRbnu1mo5f9GJaZ8CrgRBjkzNQf97ucbwcY%2F8vpMDc%3D)