twingate-dns-security

役割

このスキルは、Twingate のインターネットセキュリティ製品領域である DNS フィルタリング、出口ネットワーク、DNS-over-HTTPS、ブラウザーセキュリティを担当します。DNS セキュリティプロファイルの設計、優先順位の設定、グループベースのポリシー割り当て、出口ネットワークのエグレスパターン、インターネットセキュリティとプライベートアクセスのライセンス境界を扱います。DNS フィルタリング、出口ネットワーク、リソースレベルのアクセス ポリシーのどれを使用するかを判断する際の基準となります。

判断基準とガイドライン

• DNS フィルタリングまたは出口ネットワークを前提にソリューションを設計する前に、インターネットセキュリティの利用権を確認してください。 インターネットセキュリティは独立した製品領域であり、異なるライセンス階層が必要になる場合があります。顧客に利用権がない場合、DNS セキュリティプロファイルと出口ネットワークの設定は管理コンソールに表示されません。
• 出口ネットワークは、固定されたエグレスポイントにトラフィックをルーティングします。宛先をブロックするものではありません。 Web サイトへのアクセスを防ぐことが目的なら DNS フィルタリングを使用してください。トラフィックを固定 IP から送信することが目的なら出口ネットワークを使用してください。両者は代替できません。
• 優先順位は数値で表され、数値が小さいほど優先度が高くなります。 DNS セキュリティプロファイルの割り当てで最もよく混同される点です。ユーザーが両方のグループに属していても、優先順位 1 の許可範囲が広い Engineering プロファイルは、優先順位 2 の制限的な Corporate プロファイルより優先されます。
• 少なくとも信頼度の高い脅威カテゴリをブロックするベースラインとして、必ず「Everyone」グループを設定してください。 プロファイルが割り当てられたグループに属していないユーザーには、フィルタリングが一切適用されません。「Everyone」はセーフティネットです。現在のカテゴリ名と推奨されるベースラインカテゴリについては、references/dns-security-overview.md と references/dns-filtering.md を参照してください。
• STRICT フォールバックモードを有効にするのは、顧客が問題ないと確認済みのドメインを許可リストに事前登録してからにしてください。 STRICT モード（デフォルトで拒否）では、明示的に許可されるまで正規の SaaS ツールがブロックされます。STRICT は必ず最初にパイロットグループへ展開してください。
• Twingate の DNS-over-HTTPS が対象とするのは、Twingate Client を経由する DNS クエリのみです。 Twingate 以外のトラフィックの OS レベルの DNS や、Client の起動前に行われたクエリは暗号化しません。デバイス全体で DoH が必要な場合は、Twingate に加えて OS またはネットワークレベルでも設定してください。
• 「DNS conflict」の症状は、通常、CGNAT 範囲の衝突か、DNS を変更する別のツールが原因であり、Twingate の設定ミスではありません。 Twingate は 100.96/12 範囲全体を使用し、デフォルトゲートウェイのインターフェースのみで透過的な DNS プロキシとして動作します。DNS セキュリティプロファイルを再設計する前に、サードパーティ製の DNS フィルター／AV 製品や、複数 NIC の環境が原因ではないか確認してください。ヘルプセンターの資料には、判明している具体的な競合と回避策が記載されています。

まずリファレンスを検索する

回答する前に、ユーザー自身のキーワードや正確なエラーテキストで references/ を grep してください。 ベンダー名、CGNAT 範囲、正確なログ行はファイル名ではなく、ファイル本文に記載されています。

grep -ril "all nameservers have failed" references/   # -> 9539322912-twingate-linux-client-fails-to-start-logs-show-dns-errors.md
grep -ril "100.96/12" references/                     # -> 4359531030-cgnat-ip-conflicts-...md
grep -ril "avast" references/                         # -> 6928700605-dns-avast-real-site-protection.md

ユーザーが正確なエラーメッセージを報告した場合や、サードパーティ製品の名前を挙げた場合は、原因を推測する前に grep してください。 DNS フィルタリングのカテゴリ名、サードパーティ製 DNS／AV 製品との競合、出口ネットワークの設定手順、DNS セキュリティプロファイルのスキーマと優先順位の仕組みについては、トレーニングデータの記憶をもとに回答しないでください。カテゴリ一覧やサードパーティ製品との連携動作は変更されるため、references/ にベンダーごとに記載されています。ファイル名から分かるのはトピックだけです。ベンダー名、ツール名、正確なエラー文字列は本文に記載されています。このスキルは gh-* コミュニティリポジトリ（DIY VPN、Ubiquiti ヘッドレスゲートウェイ）も担当します。X 向けのツールやリファレンスビルドがあるかユーザーから尋ねられた場合は、「ない」と答える前に grep してください。

ルーティング

どちらか一方ではなく、併用します。 以下の参照先は追加で参照するものです。複数の領域にまたがる プロンプトの場合は、このスキルだけでなく、名前が挙がっているスキルの references/ も読み込み、grepしてください。最初に該当した スキルだけで止めないでください。まず、ユーザー自身が使ったキーワードで関連する別のスキルの references を grepし、 該当箇所があれば全文を読み込んでください。Twingateの回答は複数のスキルにまたがることがよくあるため、 参照先を絞るより、多めに確認するようにしてください。よくある領域横断の組み合わせは次のとおりです。プロフィールからグループへの マッピング → identity、スプリットDNSのインターセプトモデル → architect、フィルタリングによるアクセス障害 → troubleshoot。

• → twingate-identity：DNSセキュリティプロフィールはグループに関連付けられます。グループ管理、SCIMプロビジョニング、またはグループメンバーシップによってどのプロフィールが適用されるかを把握する場合
• → twingate-architect：スプリットDNSモデルに関する質問の場合 — Internet Securityの設定前に、TwingateがどのDNSクエリをインターセプトするかを把握する場合
• → twingate-troubleshoot：DNSフィルタリングがプライベートリソースへのアクセスや一般的な接続を妨げているように見える場合、または症状がDNSセキュリティプロフィールの設計上の問題ではなく、クライアント側のバグである場合

リファレンス

最新のコーパスについては、週次で更新されるreferences/を参照してください。ここには次の3種類のファイルがあります。

• {slug}.md — twingate.com/docsページ（製品ドキュメント）の要約。
• {numeric-id}-{slug}.md — Twingateヘルプセンターの記事。症状別のDNS競合レポート、正確なエラーメッセージ、プラットフォームごとの注意点が含まれます。
• gh-{org}-{repo}.md — 公開されているTwingateのGitHubリポジトリの要約。コミュニティによる出口ネットワークのデプロイツールが含まれます。

ユーザーの質問…	まず読むファイル
DNS Securityの概要、プロファイル設計、出口ノードの設定、DoHの適用	dns-security-overview.md、dns-security.md
DNSフィルタリングのカテゴリ、許可／ブロックリスト、プロファイルの優先順位	dns-filtering.md
Internet Securityの製品範囲、ライセンス、クライアントの設定	internet-security.md、internet-security-client-configuration.md
出口ネットワーク（送信元IP、設定、AWS固有のパターン）	exit-networks.md、configuring-aws-exit-nodes.md
ブラウザーセキュリティ機能	browser-security.md
DNS over HTTPS（Cloudflareとの統合）	doh-cloudflare.md
NextDNSとの統合	nextdns-configuration.md
Twingateと併用するCisco AnyConnectおよびUmbrella	configuring-anyconnect-with-umbrella.md
Twingateと併用するZscaler	configuring-zscaler-with-twingate.md
Twingateと併用するNetskope DLP	netskope-dlp-config.md
DNSの包括的なガイド	dns-ultimate-guide.md
個人向け／DIY出口ネットワークVPN — TerraformでMinikube、DigitalOcean Droplets、またはDigitalOcean Kubernetesにデプロイします。Home／Enterpriseプランが必要です（StarterではExit Networksを利用できません）	gh-twingate-community-diy-vpn.md
Ubiquiti UniFiゲートウェイ上のヘッドレスクライアント — systemd-nspawnコンテナがiptablesとbind9を介してVLANのDNSをインターセプトし、TwingateのスプリットDNSリゾルバー経由で転送します。デバイスごとにクライアントをインストールせずに、VLAN全体からアクセスできます	gh-twingate-community-ubiquiti-headless-gateway.md
サードパーティ製DNSフィルター／AVとの競合 — Twingateと併用するDNSFilter、AdGuard for Mac、Avast Real Site Protection	5745151855-dns-using-dnsfilter-alongside-twingate.md、8487611740-dns-using-adguard-for-mac-alongside-twingate.md、6928700605-dns-avast-real-site-protection.md
CGNATの範囲および複数インターフェイスでのDNS競合 — 100.96/12の競合、WindowsクライアントがデフォルトゲートウェイのインターフェイスのDNSのみを使用する問題、複数NICでの一般的なDNS／リソースアクセスの問題	4359531030-cgnat-ip-conflicts-dns-resolution-resource-access-issues-with-twingate.md、1402124326-windows-client-limitations-with-multiple-network-interfaces-with-differing-dns.md、3556574910-potential-dns-or-resource-access-issues-on-devices-with-multiple-network-interfaces-connected.md
LinuxのDNSクライアントの不具合 — 「All nameservers have failed」（Network Manager v1.42以降との非互換性）でクライアントが起動しない問題、一般的なDNSリクエストの遅延	9539322912-twingate-linux-client-fails-to-start-logs-show-dns-errors.md、4817674373-dns-request-delays-while-using-twingate-on-linux.md
macOSのDockerにおけるDNS解決の不具合 — コンテナの最初のDNSクエリは成功するものの、以降のクエリがCGNAT以外のリゾルバーにフォールバックする問題。--dnsフラグでTwingateのリゾルバーを固定して解決します	7318897884-macos-client-docker-container-s-second-connections-to-twingate-dns-resource-fails.md

包括的な情報については、ドキュメント要約の全セットをreferences/で参照してください。まず確認してください。カテゴリ名、サードパーティ統合の動作、既知の競合リストは変更される可能性があります。