Cloudflare DNS

解決する課題

• ドメインの名前解決を世界中どこからでも低遅延で返したい
• DNS事業者への攻撃（DDoSなど）に巻き込まれず、名前解決自体の可用性を落としたくない
• レコード管理と同時に、通信保護（WAF・DDoS対策）やキャッシュ配信も一体で扱いたい
• ゾーン移管やレコード変更を、ダッシュボードやAPIから安全かつ迅速に行いたい
• 既存のDNSプロバイダを残しつつ、CloudflareをセカンダリDNSとして併用したい

主要概念と用語

• ゾーン（Zone）: Cloudflareで管理するドメイン単位の設定のまとまり。ドメインをCloudflareに追加すると1つのゾーンが作られる
• DNSレコード: A・AAAA・CNAME・MX・TXT・NSなど、ドメインに紐づく名前解決情報の1件1件
• プロキシ状態（オレンジクラウド／グレークラウド）: レコードをCloudflareのプロキシ経由にするか（オレンジ）、DNSのみで素通しにするか（グレー）を切り替える設定
• エニーキャスト（Anycast）: 同一のIPアドレスを世界中の拠点から広報し、利用者から見て最も近い拠点が応答する仕組み。Cloudflareの権威DNSもこの方式で配信される
• DNSSEC: DNS応答が改ざんされていないことを電子署名で保証する仕組み。ゾーン単位で有効化する
• DNS Firewall: 社内やアプリケーションからの再帰的な問い合わせを保護し、悪意あるドメインへの解決をブロックする機能
• セカンダリDNS: 既存の権威DNSサーバーをプライマリとして残し、Cloudflareをセカンダリの権威サーバー群として追加運用する構成
• CNAME flattening: 本来CNAMEを置けないゾーン頂点（apex）などでも、CloudflareがCNAMEの解決結果をAレコードのように返す独自の仕組み

仕様・制限・クォータ

• ゾーンごとに登録できるレコード数やレコードタイプの組み合わせにはプランに応じた制限があり、詳細はダッシュボードの表示に従う
• プロキシ化できるレコードはA・AAAA・CNAMEなど一部のタイプに限られ、MXやTXTなどはプロキシ化できず常にDNSのみで応答する
• TTL（Time To Live）はプロキシ化されたレコードでは自動管理され、DNSのみのレコードでは秒数を指定できる
• DNSSECやDNS Firewallなど一部機能は利用可能なプランやゾーンの設定状況に依存する
• セカンダリDNS構成ではゾーン転送（AXFR/IXFR）の許可設定が必要になる

内部の仕組み

Cloudflare DNSは、世界中のデータセンターで同一のエニーキャストIPアドレスを広報し、利用者の問い合わせが最も近い拠点で処理される構成を取ります。これにより、特定拠点への攻撃や障害があっても他拠点が処理を引き継ぎ、応答の遅延も地理的に最小化されます。

ゾーンにレコードを追加すると、その情報はCloudflareのグローバルなネットワークに配信され、どの拠点からの問い合わせにも一貫した内容で応答できるようになります。プロキシ化されたレコードの場合、DNSの問い合わせに対してはCloudflareのエッジIPアドレスが返り、実際のHTTP／HTTPS通信はそのエッジで一度受け止められてからオリジンへ転送されます。これにより、オリジンの実IPアドレスを隠しつつ、WAFやキャッシュ、DDoS対策などの機能を同じ経路で適用できます。

DNSSECを有効化すると、ゾーンの応答に電子署名が付与され、リゾルバ側で応答の改ざんや偽装を検証できるようになります。

設計パターン / ベストプラクティス

• Webサイトやアプリケーションのオリジンを守りたいレコードはプロキシ化し、WAFやDDoS対策の恩恵を受ける
• メール関連（MX・SPF・DKIM・DMARC用のTXTなど）はDNSのみのまま正しく設定し、配送に影響を与えない
• 重要なゾーンにはDNSSECを有効化し、キャッシュポイズニングなどの改ざんリスクを下げる
• 移行期や複数プロバイダ併用時はセカンダリDNS構成を使い、既存プライマリを残したまま段階的に移行する
• APIトークンはゾーン単位・権限単位で発行し、DNS編集権限を必要最小限に絞る
• 変更頻度が高いレコードには適切なTTLを設定し、切り替え時の反映速度と問い合わせ負荷のバランスを取る

運用・監視

• ダッシュボードやAPIでゾーンのレコード一覧・アクティビティログを確認し、意図しない変更がないか継続的に点検する
• DNS Analyticsで問い合わせ状況やクエリタイプの傾向を把握し、異常なトラフィックの兆候を早期に検知する
• ゾーンのネームサーバー委任状況（レジストラ側の設定）を定期的に確認し、Cloudflareへの委任が正しく維持されているか確かめる
• DNSSECを有効化している場合は、鍵のロールオーバーや親ゾーンとの整合性に注意する
• セカンダリDNS構成では、プライマリとのゾーン転送が正しく行われているかを監視する

コスト

Cloudflare DNSの基本的な権威DNSホスティングは無料プランでも利用でき、追加のDNS FirewallやDNSSEC関連機能、高度なアナリティクスなどが上位プランや追加オプションの対象になることがあります。具体的な料金体系は変わりやすいため、契約中のプランと公式の料金ページで確認することが望ましいです。

セキュリティ

• プロキシ化されたレコードはオリジンのIPアドレスを隠せるため、オリジン直撃型の攻撃を受けにくくなる
• オリジン側ではCloudflareの送信元IPレンジ以外からの通信を遮断し、DNSを迂回した直接アクセスを防ぐ
• DNSSECを有効化し、応答の改ざんやキャッシュポイズニングへの耐性を高める
• DNS Firewallを使い、内部ネットワークやアプリケーションからの悪意あるドメインへの解決を防ぐ
• DNS編集権限を持つAPIトークンやアカウントアクセスを最小権限で管理し、変更履歴を監査できるようにする

関連サービス・比較

Cloudflare DNSは、同じくCloudflare上のLoad BalancingやWAFなどのプロキシ関連機能と一体で使われることが多いサービスです。他クラウドではAWSのRoute 53が近い役割を担います。

ハンズオン / CLI例

Cloudflare DNSのレコードはダッシュボードから設定するのが一般的ですが、wranglerやCloudflare APIを使った操作の一例を示します。

# wrangler経由でCloudflare APIトークンの有効性を確認
wrangler whoami

# ゾーン一覧を取得し、対象ゾーンIDを確認する
curl -X GET "https://api.cloudflare.com/client/v4/zones?name=example.com" \
  -H "Authorization: Bearer ${CF_API_TOKEN}" \
  -H "Content-Type: application/json"

# Aレコードを作成する（プロキシ化して登録する例）
curl -X POST "https://api.cloudflare.com/client/v4/zones/${ZONE_ID}/dns_records" \
  -H "Authorization: Bearer ${CF_API_TOKEN}" \
  -H "Content-Type: application/json" \
  --data '{
    "type": "A",
    "name": "www",
    "content": "203.0.113.10",
    "ttl": 1,
    "proxied": true
  }'

# 既存レコードの一覧を取得する
curl -X GET "https://api.cloudflare.com/client/v4/zones/${ZONE_ID}/dns_records" \
  -H "Authorization: Bearer ${CF_API_TOKEN}" \
  -H "Content-Type: application/json"