社内向けのDNS運用は、長らくVPN専用機器やActive Directory統合DNSサーバーなど、パブリックDNSとは別建ての基盤で行われてきた。ネットワーク・インフラ運用チームにとって、この二重構成は監査ログの分断や設定ドリフトの温床になりやすい。2026年7月15日、Cloudflareは「Internal DNS」を一般提供（GA）した。パブリックDNS（1.1.1.1）やZero Trust、アプリケーションサービスと同じグローバル基盤の上で、社内向けの権威DNS（ドメインの正式なレコードを保持し問い合わせに回答するサーバー）と再帰DNS（クライアントに代わって問い合わせを解決する仲介役）を、追加費用なしで提供する機能だ[1][2]。VPN代替の議論が一巡した今、次の統合対象は「社内DNSをどこで運用するか」という判断に移りつつある。本稿では、Internal DNS GAが変える運用実態と、スプリットホライズンDNS（社内向けと社外向けで異なる名前解決結果を返す運用方式）の統合判断について整理する。
予備知識
- 権威DNS（authoritative DNS）：ドメインやゾーンの正式なレコードを保持し、問い合わせに対して「正解」を返すサーバー。
- 再帰DNS（recursive DNS／リゾルバ）：クライアントに代わって権威DNSへの問い合わせを繰り返し、最終的な回答をまとめて返す仲介役。
- スプリットホライズンDNS：同じドメイン名でも、問い合わせ元が社内ネットワークか社外かによって異なる名前解決結果を返す運用方式。
- Zero Trust Gateway：ユーザーやデバイスの通信を検査・制御するCloudflareのアクセス制御機能。DNSリゾルバポリシーもここで評価される。
VPN脱却とゼロトラスト移行の全体像を業界横断で整理しており、Internal DNS導入判断の前提知識になる
Internal DNSとは何か——公開DNS基盤上に載る社内権威・再帰DNS
Internal DNSは、Cloudflareが1.1.1.1で運用する公開DNS基盤の上に、社内ネットワーク専用の権威DNSと再帰DNSを追加する機能である。
構成要素は2つある。再帰解決とポリシー評価を担う「Gateway Resolver」と、社内ゾーンのレコードを公開DNSと同じ権威DNSプラットフォーム上で提供する「Internal Authoritative DNS」だ[1][2]。Cloudflare Gateway for Enterprise契約に含まれており、追加課金なしで利用できる[1][3]。2025年6月にダッシュボードでのベータ設定UIが提供され、その後オープンベータを経て、2026年7月15日付のCloudflare changelogでGAが告知された[2]。
社内ネットワークのゼロトラスト移行設計手順を具体的に解説しており、DNS・VPN統合判断の実務参照に使える
何が変わるのか——VPNと社内DNSサーバーの二重運用からの脱却
従来型の社内DNS運用は、VPN機器と社内DNSサーバーという別々の基盤を運用者が個別に管理する必要があった。
Cloudflareの説明によれば、Internal DNSとあわせてサーバー側にCloudflare Tunnel、クライアント側にWARPを組み合わせることで、VPNコンセントレータや社内ファイアウォール、ロードバランサーを退役させた事例があるという[1]。社内DNSサーバー・VPN機器・レガシーリゾルバをそれぞれ個別に運用する体制と比べ、公開DNS・Zero Trust・社内DNSが単一のAPI・単一の監査ログ・単一のポリシー管理画面に統合される点が最大の変化だ[1][3]。
| 項目 | 従来型（VPN＋社内DNS） | Cloudflare Internal DNS |
|---|---|---|
| DNS基盤 | 社内サーバー（AD統合DNS等）を別途構築・保守 | 公開DNSと同じグローバル権威DNS基盤[1] |
| リモートアクセス | VPNコンセントレータ経由で内部到達 | WARP＋Cloudflare Tunnelでゼロトラスト到達[1] |
| ポリシー管理 | DNSサーバー・VPN機器・FWを個別設定 | Gatewayの単一ポリシー画面で一元管理[3] |
| 監査ログ | 機器ごとに分散 | 単一の監査トレイル[1] |
| 追加費用 | 機器・保守費用が別建て | Gateway for Enterprise契約に含む[1][2] |
2026年6月22日、CDN大手Cloudflareのネットワークが劣化し、X、Reddit、Microsoft Teams、Zoomなど数多くのサービスで遅延やタイムアウトが発生した[1][2]。原因は設定変更のミスではなく、北米[…]
スプリットホライズンDNSの運用モデル——ゾーン・ビュー・リゾルバポリシー
スプリットホライズンDNSとは、同じドメイン名に対して問い合わせ元が社内か社外かで異なる名前解決結果を返す運用方式であり、Internal DNSはこれを3つのオブジェクトで構造化する[2][3]。
管理者はまず、サービスエンドポイントやデータベースなど社内向けレコードを保持する「内部ゾーン」を作成する。次に、どのユーザー・デバイスがどのゾーンを参照できるかを定義する「DNSビュー」を作る。最後に、どの問い合わせをどのビューへ振り分けるかを決める「リゾルバポリシー」を設定する[2][3][4]。この3ステップにより、社内向けと社外向けの名前解決を同じゾーンの上で「ビュー」として分離でき、複数のDNSサーバーに個別のゾーンファイルを配って設定ドリフトを追いかける従来の運用から解放される[4]。問い合わせはリゾルバポリシーの判定を経て、一致すればInternal Authoritative DNSの該当ビューから応答され、ポリシーでブロックされる場合はリゾルバの時点で破棄される[4]。
このインシデントの舞台はGoogle Cloud VMware Engine（GCVE、Google Cloud上でVMware vSphere基盤をマネージドサービスとして提供する仕組み）。影響を受けたのは、DR（Disaster Re[…]
導入判断のポイント——向いている組織と留意点
Internal DNS GAの恩恵を受けやすいのは、既にCloudflare Gateway for Enterpriseを契約し、WARPやCloudflare Tunnelでゼロトラストネットワークアクセスへの移行を進めている組織だ。
逆に、Gateway for Enterprise契約がない組織にとっては追加ライセンス費用の検討が前提になる[1][2]。既存の社内DNSサーバーからの移行は内部ゾーンの棚卸しとビュー設計が前提になるため、ドメイン数・レコード数が多い組織ほど移行計画に時間がかかる可能性がある点は留意したい［未確認］。一方で、監査ログとポリシー管理が一本化される効果は、複数拠点・多数の内部サービスを抱える組織ほど大きいと考えられる[1][3]。
よくある質問（FAQ）
Q1. Internal DNSは無料で使えますか？
A. Cloudflare Gateway for Enterpriseの契約に含まれており、追加費用なしで利用できる[1][2]。Gateway for Enterprise自体を契約していない組織は、別途ライセンス費用の検討が必要になる。
Q2. 既存のVPNをすぐに廃止する必要がありますか？
A. 必須ではない。CloudflareはTunnel＋WARPの組み合わせでVPN機器を退役させた事例を紹介しているが[1]、Internal DNS単体の導入とVPN代替（ZTNA移行）は別々に判断できる。
Q3. スプリットホライズンDNSの設定は複雑になりませんか？
A. 内部ゾーン・DNSビュー・リゾルバポリシーという3つのオブジェクトで構成され、単一の管理画面から社内向け・社外向けの名前解決を定義する設計になっている[2][3][4]。複数サーバーに個別のゾーンファイルを配布する従来方式より、設定箇所は集約される。
まとめ
Cloudflare Internal DNSのGAは、社内DNSという「独立して運用されてきた基盤」を、パブリックDNS・Zero Trust・アプリケーションサービスと同じコントロールプレーンに統合する動きだ。VPN代替の議論と同様に、判断の起点は「今すぐ全面移行するか」ではなく、既存のGateway for Enterprise契約とWARP／Tunnel導入状況を棚卸しし、内部ゾーンとスプリットホライズン設定の移行コストを見積もることにある。読者への具体的なアクションとしては、まず自社の内部DNSサーバー台数とVPN機器の保守期限を一覧化し、Internal DNSへの統合で監査ログ・ポリシー管理が一本化できる範囲を洗い出すことを勧める。無料で使える機能である以上、既にGatewayを契約している組織にとっては検討コストが小さい選択肢だ。
