Cloudflare DNS を用いた DDNS 設定および、acme.sh による DNS-01 チャレンジを利用した証明書取得設定を行うことで、Cloudflare のプロキシ機能（いわゆる「オレンジ雲」）を安全に有効化することができます。
Cloudflare プロキシを利用すると、公開 Web サーバへの通信は一度 Cloudflare が受け取り、その後オリジンサーバへ中継されます。この中継過程で WAF や Bot 対策などのセキュリティ機能、ならびに CDN によるキャッシュ配信が動作するため、セキュリティ向上とパフォーマンス改善の両立が期待できます。
本記事では、Synology NAS で運用している Web サーバを対象に、Cloudflare プロキシを有効化する基本設定と、さらに運用品質を高めるための追加設定について解説します。

以下の記事で、Synology NASで構築したWebサイトのDDNSをCloudflareのDNSで実現する設定方法について紹介しています。

参考　Synology NASで構築したWebサイトのDDNSをCloudflareのDNSで実現する設定方法

Synology NASで構築したWebサイトのDDNSをCloudflareのDNSで実現する設定方法

Synology NASとCloudflareを組み合わせ、独自ドメインをDDNSとして運用する方法を解説。Cloudflare APIを使ったDNS更新スクリプトの実装例と、既存ドメインを止めずに切り替える手順を紹介します。

masao-tec.com

2025.12.30

また、以下の記事で、Synology NASでacme.sh（DNS-01）を使った証明書自動更新について紹介しています。

参考　Cloudflareプロキシ有効時でも使える！Synology NASでacme.sh（DNS-01）を使った証明書自動更新

Cloudflareプロキシ有効時でも使える！Synology NASでacme.sh（DNS-01）を使った証明書自動更新

Synology NASでCloudflareを利用している方向けに、acme.shを使ったDNS-01チャレンジによるLet’s Encrypt証明書の取得・自動更新手順を解説。Cloudflareプロキシ有効時でも証明書更新が可能です。

masao-tec.com

2026.01.01

ここまでで、Synology NASをCloudflareと連携させるための下準備は整いました。
DDNSをCloudflareに統合し、Cloudflareプロキシを有効にした状態でもacme.shを用いて証明書を自動更新できる環境が構築できています。

本記事では、これらの仕組みを前提として、いよいよSynology NAS上で運用している公開WebサーバをCloudflareプロキシ配下に置く構成について解説します。
まずは、管理系アクセスと公開Webアクセスを分離した、本記事で想定する全体構成を整理していきます。

前提　本記事でのDSM（OS）バージョンはSynology DSM 7.3を用いています。

1.想定構成

本記事で想定する構成は以下のとおりです。

• DSM 管理画面・Synology Web アプリ：Synology DDNS 経由（Cloudflare 対象外）
• 公開 Web サーバ：独自ドメイン + Cloudflare プロキシ
• IPv6 優先構成
• 個人／SOHO 運用を想定

管理系のアクセス経路と公開 Web サーバの経路を分離することで、安定性とセキュリティのバランスを取る設計としています。

2.DNS 設定をプロキシ ON にする

Cloudflare ダッシュボードの「DNS」設定画面で、対象となるレコードのプロキシステータスを ON（プロキシ済み）にします。

これにより、外部から DNS 参照された際に返される IP アドレスは Cloudflare の IP アドレスとなり、クライアントからのリクエストは一度 Cloudflare が受け取った後、オリジンサーバへ中継されます。この中継処理の中で、Cloudflare のセキュリティ機能や CDN 機能が動作します。

なお、DNS レコードに登録されている IP アドレス自体は、オリジンサーバの実 IP のままで問題ありません。変更されるのは、外部から参照された際に返却される IP アドレスのみです。

Synology NASキット 2ベイ DS225+ クアッドCPU搭載 2GBメモリ搭載 2.5GbE-NIC スタンダードユーザー向け DiskStation

Synology

Amazon

Rakuten

Synology NASキット 2ベイ DS223 クアッドコアCPU 2GBメモリ搭載 ミドルライトユーザー向け 国内正規代理店品 電話サポート対応品 DiskStation

Synology

Amazon

Rakuten

3.オリジンサーバとの通信設定（SSL/TLS 暗号化）

Cloudflare ダッシュボードの「SSL/TLS」→「概要」にて、SSL/TLS 暗号化モードを「フル（厳密）」に設定します。（デフォルトでは「自動」になっているため、明示的に変更します。）

「フル（厳密）」を選択することで、Cloudflare とオリジンサーバ間の通信も TLS により暗号化され、オリジンサーバ側の証明書検証が行われます。※ここで、事前に acme.sh を用いて取得した証明書が使用されます。

なお、Cloudflare のクライアント証明書は Cloudflare とオリジンサーバ間の通信専用であり、ローカル環境などからの直接アクセスには利用できません。

ここまでの設定で、Cloudflare プロキシは有効化され、デフォルト状態でも一定のセキュリティ機能と CDN による配信が機能します。以下は、さらに運用品質を一段高めるための推奨設定です。

Seagate IronWolf 3.5インチ 4TB 内蔵 ハードディスク HDD CMR 6Gb/s 256MB 5400rpm ST4000VN006/EC

SEAGATE

Amazon

Rakuten

Western Digital ウエスタンデジタル WD Red 内蔵 HDD ハードディスク 4TB SMR 3.5インチ SATA 5400rpm キャッシュ256MB NAS メーカー保証3年 WD40EFAX-EC 【国内正規取扱代理店】

ウエスタンデジタル

Amazon

Rakuten

【NAS用拡張メモリ】Synology D4NESO-2666-4G [DDR4-2,666-SODIMM / 4GB / Synology NAS専用] 国内正規代理店品

Synology

Amazon

Rakuten

4.DNS の A レコード（IPv4）を削除する（推奨）

Cloudflare ダッシュボードの DNS 設定画面で、対象ドメインの A レコード（IPv4）を削除します。

目的は、Cloudflare とオリジンサーバ間の通信を IPv6 のみに限定することです。フレッツ光環境では IPv6 経由通信の方が効率的な場合が多く、通信品質の向上が期待できます。

公開 Web サイトとしての IPv4 アクセスについては、Cloudflare プロキシを有効化しているため Cloudflare 側で IPv4 アドレスが提供され、IPv4 からのアクセスも問題なくオリジンサーバへ中継されます。

5.Synology NAS の Firewall 設定（推奨）

公開 Web サーバへの入口が Cloudflare に集約されたため、Synology NAS 側では Firewall 設定により到達経路を大幅に絞ることができます。

HTTPS（443）に対して、以下のルールを設定します。

• 送信元が Cloudflare の IP アドレスの場合は許可（公開 Web サーバ用）
• 送信元が日本（JP）の場合は許可（DSM 管理画面や Synology Web アプリ用）

CloudflareのIPアドレスについては以下にて公開されています。

IP範囲

本ページは、Cloudflareの現行IP範囲の最も信用できるソースであることを意図としています。

www.cloudflare.com

前述の設定により Cloudflare とオリジンサーバ間通信を IPv6 のみに限定している場合、Cloudflare の IP アドレス条件も IPv6 のみとします。

送信元を JP に限定したルールは、公開 Web サーバ以外の用途（DSM 管理画面やモバイルアプリ利用）を考慮して残しています。この構成でも、HTTPS ポートに対する不正アクセスは大幅に減少します。

6.リバースプロキシ設定（対象があれば必須）

Cloudflare プロキシ経由のアクセスでは、オリジンサーバから見る送信元 IP アドレスは Cloudflare の IP アドレスとなります。そのため、アクセス解析などでクライアントの実 IP アドレスが必要なアプリについては、HTTP ヘッダを通じて実 IP を引き渡す設定が必要です。

以下のカスタムヘッダをリバースプロキシ設定に追加します。

• CF-IPCountry : $http_cf_ipcountry
• CF-RegionCode : $http_cf_regioncode
• CF-IPCity : $http_cf_ipcity
• X-Forwarded-For : $http_cf_connecting_ip
• X-Real-IP : $http_cf_connecting_ip

これらの設定は、DSM の「コントロールパネル」→「ログインポータル」→「詳細設定」→「リバースプロキシ」から、必要なアプリごとに設定します。

すべてのアプリに一律で設定するのではなく、実 IP が必要なアプリに限定して設定することが重要です。

7.Cloudflare セキュリティルールの設定（推奨）

Cloudflare の WAF 機能を利用すると、L7 レベルで柔軟な条件指定によるアクセス制御が可能です。これを活用することで、不正アクセスや既知攻撃への耐性を高めることができます。

設定箇所はCloudflare ダッシュボードの「セキュリティ」→「セキュリティルール」→「カスタムルール」です。以下は WordPress サイトを想定した設定例です。

1. 管理画面を日本 IP のみに限定
   • 条件式: (starts_with(http.request.uri.path, "/wp-admin") and http.request.uri.path ne "/wp-admin/admin-ajax.php" and ip.src.country ne "JP")
   • アクション: ブロック
2. 高リスクエンドポイントの遮断
   • 条件式: (http.request.uri.path eq "/xmlrpc.php") or (starts_with(http.request.uri.path, "/wp-json/wp/v2/users"))
   • アクション: ブロック
3. 悪名高いファイルスキャンの遮断
   • 条件式: (http.request.uri.path contains "/.env") or (http.request.uri.path contains "/.git") or (http.request.uri.path contains "/wp-config.php")
   • アクション: ブロック
4. PHP 直叩きの抑止
   • 条件式: (ends_with(http.request.uri.path, ".php"))
   • アクション: マネージドチャレンジ

マネージドチャレンジは、正規ユーザーのブラウザアクセスを許可しつつ、Bot などの不正アクセスのみを排除できる点が特徴です。これらの設定はあくまで一例であり、利用している CMS やアプリケーションに応じて調整が必要です。

8.Cloudflare キャッシュルールの設定（推奨）

Cloudflare の CDN 機能はデフォルトではキャッシュ対象が限定的であり、HTML ドキュメントは基本的にキャッシュされません。Cache Rules を設定することで、キャッシュ対象を明示的に指定できます。

設定箇所はCloudflare ダッシュボードの「Caching」→「Cache Rules」です。
以下は WordPress サイトを想定した設定例です。

1. ログイン中ユーザーをキャッシュ除外
   • 条件式: (http.cookie contains "wordpress_logged_in_")
   • 実行内容: キャッシュをバイパス
2. 管理画面・API をキャッシュ除外
   • 条件式: (starts_with(http.request.uri.path, "/wp-admin/")) or (starts_with(http.request.uri.path, "/wp-login")) or (starts_with(http.request.uri.path, "/wp-json"))
   • 実行内容: キャッシュをバイパス
3. 静的ファイルをキャッシュ対象
   • 条件式: (starts_with(http.request.uri.path, "/wp-content/"))
   • 実行内容: キャッシュの対象
   • TTL: 1 日
   • ブラウザ TTL: オリジンをオーバーライドし 1 日
4. 一般ページをキャッシュ対象
   • 条件式: (http.host eq "masao-tec.com")
   • 実行内容: キャッシュの対象
   • TTL: 2 時間

これらの設定も例であり、サイト構成や更新頻度に応じて調整してください。

9.まとめ

本構成により、以下のような典型的な攻撃・不要アクセスをCloudflareのエッジで遮断できるようになります。

• オリジンサーバ IP の直接アクセス
• 海外 Bot による総当たりアクセス
• WordPress の既知攻撃（xmlrpc等）
• 無差別な設定ファイル・環境ファイルスキャン

Cloudflare プロキシは単に DNS を切り替えるだけでなく、Firewall や WAF、CDN と組み合わせることで真価を発揮します。Synology NAS での個人・SOHO 運用においても、現実的かつ効果的な構成の一例として参考になれば幸いです。

Synology NASキット 4ベイ DS925+ RyzenCPU 4GBメモリ搭載 スタンダードユーザー向け

Synology

Amazon

Rakuten

Synology NASキット 2ベイ DS725+ RyzenCPU搭載 4GBメモリ搭載 2.5GbE-NIC スタンダードユーザー向け

Synology

Amazon

Rakuten

Synology NASキット 6ベイ 拡張可 DS1621+ クアッドコアCPU 4GBメモリ搭載

Synology

Amazon

Rakuten

Synology NASキット 4ベイ DS425＋ クアッドコアCPU 2GBメモリ搭載 2.5GbE-NICスタンダードユーザー向け

Synology

Amazon

Rakuten

Synology NAS で Web サーバを運用している場合、DSM に標準で用意されている Let’s Encrypt 証明書取得機能を利用して HTTPS 化している方も多いと思います。
しかし、Cloudflare を DNS プロバイダとして利用し、さらに Cloudflare のプロキシ（オレンジ雲）を有効化 して運用しようとすると、Synology 標準の証明書更新が正常に行えなくなるという問題に直面します。
これは、DSM の Let’s Encrypt 実装が HTTP-01 チャレンジのみに対応しており、Cloudflare のプロキシ経由では認証が成立しない ためです。
Cloudflare には Origin Certificate という選択肢もありますが、これは Cloudflare とオリジンサーバ間の通信専用であり、ローカル環境やプロキシを介さない直接アクセスでは利用できません。
本記事では、これらの問題を解決する方法として、DNS-01 チャレンジに対応した ACME クライアント「acme.sh」 を Synology NAS に導入し、Cloudflare DNS を利用して Let’s Encrypt 証明書を自動取得・更新する手順を解説します。
この構成により、Cloudflare のプロキシを有効化した状態でも、オリジンサーバ（Synology NAS）側で正規の証明書を維持できるようになります。

以下の記事で、Synology NASで構築したWebサイトのDDNSをCloudflareのDNSで実現する設定方法について紹介しています。

参考　Synology NASで構築したWebサイトのDDNSをCloudflareのDNSで実現する設定方法

Synology NASで構築したWebサイトのDDNSをCloudflareのDNSで実現する設定方法

Synology NASとCloudflareを組み合わせ、独自ドメインをDDNSとして運用する方法を解説。Cloudflare APIを使ったDNS更新スクリプトの実装例と、既存ドメインを止めずに切り替える手順を紹介します。

masao-tec.com

2025.12.30

上記記事では、IP アドレスが変動する環境でも独自ドメインの Web サイトを安定して公開できるよう、Cloudflare の DNS を DDNS サービスとして利用する構成を紹介しています。この構成により、Synology NAS 上で Web サービスを公開するための基本的な土台は整います。

次のステップとして検討したくなるのが、Cloudflare のプロキシ機能を有効化した運用です。Cloudflare プロキシを有効にすると、オリジンサーバである Synology NAS を直接インターネットに晒さずに済むようになり、セキュリティや運用面で多くのメリットが得られます。

しかし、Cloudflare プロキシを有効にした状態では、Synology DSM 標準の Let’s Encrypt 証明書取得・更新の仕組み（HTTP-01 チャレンジ）が正常に動作しなくなるという問題があります。

本記事ではこの問題に対する解決策として、acme.sh を用いて Cloudflare の DNS と連携し、DNS-01 チャレンジによる Let’s Encrypt 証明書の取得および自動更新を Synology NAS 上で構成する方法を解説します。

前提　本記事でのDSM（OS）バージョンはSynology DSM 7.3を用いています。

1.acme.shとは

こちらのサイトで開発されています。

acme.sh は、シェルスクリプトのみで実装された軽量な ACME クライアントであり、Let’s Encrypt をはじめとする各種認証局から証明書の取得・更新・インストールを行うことができます。

Synology DSM が標準で対応していない DNS-01 チャレンジ方式 に対応している点が大きな特徴で、Cloudflare の DNS API を利用することで、DNS レコード（TXT）を自動的に操作しながら証明書を取得できます。

これにより、Cloudflare のプロキシ設定を有効にした状態でも、オリジンサーバ（Synology NAS）側で問題なく証明書の取得・更新が可能となります。

更に、ポート80を開放する必要性がなくなるため、ポート80をFirewallやホームゲートウェイ機器で閉じることができるので、セキュリティ面も大幅に向上します。

2.Synology NASにおけるacme.shのセットアップ方法

2-1.acme.shのインストール

gitコマンドでcloneしてから、インストールコマンドを実行する方法を説明します。
注意 gitコマンドは予めパッケージセンターでGit Serverパッケージをインストールしておく必要があります。

管理者ユーザで、任意のディレクトリ（ホームディレクトリ推奨）で以下を実行します。

git clone https://github.com/acmesh-official/acme.sh.git
cd acme.sh
./acme.sh --install --force -m yourmailaddres@mail.com

• -mで指定するメールアドレスは、認証局（Let’s Encrypt）に登録される連絡先です。
• --force は、Synology DSM では cron が標準では使用できないため、警告エラーを無視してインストールを続行する目的で指定しています。

上記を実行すると、管理者ユーザのホームディレクトリ配下に以下のディレクトリが作成されます。

.acme.sh

（ちょっとややこしいですが、先頭にピリオドがついた隠しディレクトリが作成されます。管理者ユーザのホームディレクトリ直下にgit cloneでacme.shをクローンした場合、それとは別に「.acme.sh」が作成されます）

2-2．初期セットアップ

スクリプトディレクトリに移動

cd ~/.acme.sh

デフォルト認証局をLet’s Encrypt に設定

./acme.sh --set-default-ca --server letsencrypt

ACME アカウント登録

./acme.sh --register-account --accountemail yourmailaddres@mail.com

インストール時に -m オプションでデフォルトのメールアドレスを設定している場合、--register-account 実行時に --accountemail を省略しても問題ありません。acme.sh は account.conf に保存されたメールアドレスを自動的に使用します。

通知設定（SMTP）

証明書更新の成功・失敗をメールで受け取れるよう、SMTP 通知を設定します。以下はgmailでの通知設定例となります。

$export SMTP_TLS=1
$export SMTP_FROM=yourmailaddres@mail.com
$export SMTP_PASSWORD=googleのアプリパスワード
$export SMTP_HOST=smtp.gmail.com
$export SMTP_TO=yourmailaddres@mail.com
$export SMTP_USERNAME=yourmailaddres@mail.com
$export SMTP_PORT=587
$./acme.sh --set-notify --notify-hook smtp --notify-level 2 --notify-source yourhostname

• gmailで予めアプリパスワードを取得しておく必要があります。
• 赤文字の部分は自環境に適宜読み替えてください。
• 問題なければテストメールが送信されますので、メール受信を確認してください。
• 設定内容は.acme.sh/account.confに保存されます。

2-3.DNS-01チャレンジによる証明書取得

Cloudflare API トークンの設定

Cloudflare の API トークンを環境変数として設定します。

export CF_Token="API Token"
export CF_Account_ID="CloudflareのアカウントID"

Cloudflare API Token については以下の記事に記載している「DNS編集に必要な最小権限のトークン」を使用します。

Synology NASで構築したWebサイトのDDNSをCloudflareのDNSで実現する設定方法

Synology NASとCloudflareを組み合わせ、独自ドメインをDDNSとして運用する方法を解説。Cloudflare APIを使ったDNS更新スクリプトの実装例と、既存ドメインを止めずに切り替える手順を紹介します。

masao-tec.com

2025.12.30

証明書取得

./acme.sh --issue -d ドメイン名 --dns dns_cf

ワイルドカード証明書の例

./acme.sh --issue -d example.com -d *.example.com --dns dns_cf

証明書取得に成功すると、証明書や更新設定などの情報が .acme.sh 配下に保存されます。

2-4.証明書の初回デプロイ（DSMへの反映）

以下の作業はrootユーザで実行します。（sudo -i)

export SYNO_USE_TEMP_ADMIN=1
export SYNO_CREATE=1
export SYNO_CERTIFICATE="ドメイン名"

ACME_HOME="/var/services/homes/管理者ユーザのホームディレクトリ/.acme.sh"
cd $ACME_HOME

./acme.sh --home $ACME_HOME \
  --deploy -d ドメイン名 \
  --deploy-hook synology_dsm

• 赤文字の部分は自環境に適宜読み替えてください。
• 証明書が DSM に自動登録されます。
• DSM の コントロールパネル ＞ セキュリティ ＞ 証明書 で更新されていることを確認してください。
• 初回デプロイ時に、以降の自動更新に必要な設定情報が保存されます。

2-5.自動更新設定（タスクスケジューラ）

DSM のタスクスケジューラに以下のタスクを登録します。

タスク設定

• タスク名（例)：acme_cert_update
• ユーザー：root
• スケジュール：毎日
• 開始時刻：03:00

ユーザー指定のスクリプト

#!/bin/bash
ACME_HOME="/var/services/homes/管理者ユーザのホームディレクトリ/.acme.sh"
cd $ACME_HOME
./acme.sh --cron --home "$ACME_HOME"

このタスクにより、証明書の有効期限チェック、必要に応じた更新、および DSM への再デプロイまでが自動で実行されます。

Synology NASキット 2ベイ DS225+ クアッドCPU搭載 2GBメモリ搭載 2.5GbE-NIC スタンダードユーザー向け DiskStation

Synology

Amazon

Rakuten

Synology NASキット 2ベイ DS223 クアッドコアCPU 2GBメモリ搭載 ミドルライトユーザー向け 国内正規代理店品 電話サポート対応品 DiskStation

Synology

Amazon

Rakuten

3.Synology 標準の証明書更新との関係について

すでに Synology DSM 標準の Let’s Encrypt 機能（HTTP-01 チャレンジ）を用いて証明書を管理している状態で、acme.sh を用いて同一ドメインの証明書を取得し、synology_dsmデプロイフックで DSM に登録した場合、
DSM の証明書管理画面上では 既存の DSM 標準 Let’s Encrypt 証明書が実質的に置き換えられる形になります。

• acme.sh により取得された証明書は既存の同一ドメインの証明書スロットに上書き登録される
• その結果、DSM はその証明書を「DSM 標準の Let’s Encrypt 管理対象」とは認識しなくなる
• 以降、そのドメインに対してDSM 標準の Let’s Encrypt 自動更新（HTTP-01）は実行されない

つまり、
「DSM 標準の証明書と acme.sh の証明書が並行して併存・更新される」
という挙動にはなりません。

3-1.Synology 標準の証明書更新に戻したい場合

Synology 標準の証明書更新に戻したい場合は、一旦acme.shで取得した証明書を削除し、Synology DSM 標準の Let’s Encrypt 機能で証明書を取得しなおせば、Synology 標準の証明書更新に戻ります。

Seagate IronWolf 3.5インチ 4TB 内蔵 ハードディスク HDD CMR 6Gb/s 256MB 5400rpm ST4000VN006/EC

SEAGATE

Amazon

Rakuten

Western Digital ウエスタンデジタル WD Red 内蔵 HDD ハードディスク 4TB SMR 3.5インチ SATA 5400rpm キャッシュ256MB NAS メーカー保証3年 WD40EFAX-EC 【国内正規取扱代理店】

ウエスタンデジタル

Amazon

Rakuten

【NAS用拡張メモリ】Synology D4NESO-2666-4G [DDR4-2,666-SODIMM / 4GB / Synology NAS専用] 国内正規代理店品

Synology

Amazon

Rakuten

4.なぜ Cloudflare プロキシ有効時に DSM 標準の証明書更新は失敗するのか

ここまでで、acme.sh を導入すると証明書の更新主体が DSM から acme.sh に切り替わることを説明しました。
では、そもそもなぜ DSM 標準の Let’s Encrypt 証明書更新では不十分なのかを整理します。

4-1.DSM 標準の証明書取得方式は HTTP-01 チャレンジのみ

Synology DSM に標準で搭載されている Let’s Encrypt 証明書取得・更新機能は、HTTP-01 チャレンジ方式のみに対応しています。

HTTP-01 チャレンジでは、認証局（Let’s Encrypt）が以下の流れで検証を行います。

1. http://example.com/.well-known/acme-challenge/ にアクセス
2. その URL から特定のトークンが取得できるかを確認
3. 応答できれば「そのドメインを管理している」と判断

この方式は、

• クライアントが 直接オリジンサーバへ HTTP 接続できる
• 認証リクエストが 途中で改変されない

ことが前提条件になります。

4-2.Cloudflare プロキシ有効時に起きる問題

Cloudflare で DNS レコードの プロキシ（オレンジ雲）を有効化すると、ドメインへの HTTP/HTTPS アクセスは以下のように変化します

Let’s Encrypt ⇒ Cloudflare（エッジ）⇒ Synology NAS（オリジン）

この構成では、

• Let’s Encrypt からの HTTP-01 チャレンジは Cloudflare までしか到達しない
• Cloudflare は ACME チャレンジ用のリクエストを オリジンサーバへ透過転送しない
• 結果として Let’s Encrypt は正しいトークンを取得できない

そのため、Cloudflare プロキシ有効にすると、DSM 標準の Let’s Encrypt（HTTP-01）証明書取得・更新に失敗する状態となります。

4-3.DNS-01 チャレンジならプロキシの影響を受けない

acme.shで証明書を取得する方式であるDNS-01 チャレンジでは、検証方法が根本的に異なります。

• HTTP/HTTPS アクセスは一切使用しない
• DNS に一時的な TXT レコードを追加することで所有確認を行う

そのため、

• Cloudflare プロキシが有効かどうかは無関係
• オリジンサーバへの到達性も不要

となり、Cloudflare プロキシと完全に共存可能です。

5.まとめ

Cloudflare プロキシを有効にした環境では、Synology DSM 標準の Let’s Encrypt 証明書取得方式（HTTP-01 チャレンジ）は動作しません。本記事で紹介したように、acme.sh を用いて DNS-01 チャレンジに切り替えることで、HTTP 経路に依存せず、Cloudflare プロキシを有効にしたままでも証明書を自動更新できる構成を実現できます。

acme.sh で取得した証明書は DSM の証明書管理にデプロイされ、以降の更新は acme.sh が担うため、DSM 標準の仕組みと競合することなく安定した運用が可能です。Cloudflare を活用した構成で Synology NAS を公開する場合、本記事の方法は現実的かつ安全な選択肢となるでしょう。

Synology NASキット 4ベイ DS925+ RyzenCPU 4GBメモリ搭載 スタンダードユーザー向け

Synology

Amazon

Rakuten

Synology NASキット 2ベイ DS725+ RyzenCPU搭載 4GBメモリ搭載 2.5GbE-NIC スタンダードユーザー向け

Synology

Amazon

Rakuten

Synology NASキット 6ベイ 拡張可 DS1621+ クアッドコアCPU 4GBメモリ搭載

Synology

Amazon

Rakuten

Synology NASキット 4ベイ DS425＋ クアッドコアCPU 2GBメモリ搭載 2.5GbE-NICスタンダードユーザー向け

Synology

Amazon

Rakuten

Synology NASでWebサイト（Web Stationなど）を構築する場合、動的に変化する自宅回線のグローバルIPアドレスに対応するため、DDNS（Dynamic DNS）を利用するのが一般的です。
DDNSとは、IPアドレスが変わっても常に同じドメイン名でアクセスできるようにする仕組みで、Synology純正DDNSをはじめ、いくつかの選択肢があります。
独自ドメインを使用する前提でSynology NAS上にWebサイトを公開する場合、無料で高機能なDNSおよびセキュリティ機能を提供する Cloudflare DNS は、非常に有力な選択肢の一つです。
ただし、CloudflareのDNSをDDNS用途として利用する場合、Synology標準のDDNS機能は使用できないため、CloudflareのWeb APIを用いてDNSレコードを自動更新する仕組みを別途構築する必要があります。

本記事では、実際にSynology NAS上でCloudflare APIを用いたDDNS構成を実現した例をもとに、設定方法と運用上のポイントを紹介します。

以下の記事で、Synology NASに構築したWebサイトに独自ドメインを設定し、Let's EncryptによるSSL証明書を設定してWebサイトを常時HTTPS化設定する手順について紹介しています。

参考　Synology NASで構築したWebサイトに独自ドメイン設定およびLet’s EncryptによるHTTPS化設定

Synology NASで構築したWebサイトに独自ドメイン設定およびLet's EncryptによるHTTPS化設定

SSL(Secure Sockets Layer)とは、インターネット上でのWebブラウザとWebサーバー間の通信を暗号化し、データをやりとりする仕組みのことです。SSL対応されているWebサイトは、URLが「https://」となります。Webサイトを運営するにあたりHTTPS化は必須となっていますので、本記事ではSynology NASで構築したWebサイトに独自ドメインを設定し、Let's Encryptによる常時HTTPS化設定を行います。

masao-tec.com

2022.02.15

上記記事内では、DDNSサービスとしてMyDNS.JPによるDDNSを用いていましたが、この度、DDNSサービスとしてCloudflareのDNSに移行しましたので、本記事では、実際にSynology NAS上でCloudflare APIを用いたDDNS構成を実現した例をもとに、設定方法と運用上のポイントを紹介します。

※）本記事ではCloudflareのCDNやWAF、プロキシ機能の設定については扱いません。

前提　本記事でのDSM（OS）バージョンはSynology DSM 7.3を用いています。

1.Cloudflareとは

Cloudflareは、DNSホスティング、CDN、WAFなどを提供するグローバルなインターネットインフラサービスです。
DNSサービスは高速かつ安定しており、APIを通じたレコード操作にも対応しています。
一般的にはリバースプロキシとしてトラフィックをCloudflare経由にする使い方が多いですが、本記事ではプロキシ機能は利用せず、DNSを動的に更新するDDNS用途に限定して使用します。
Cloudflare APIを用いてAレコード、およびAAAAレコードを自動更新することで、独自ドメインを用いたDDNS構成を実現します。

2.Cloudflareにドメインを登録する

すでにCloudflareへのアカウント登録は済である前提です。

［アカウントホーム]＞[ドメインのオンボード]を選択し、ドメイン入力欄に移行元のドメインを入力し、「DNSレコードのクイックスキャン」または「DNSレコードの手動で入力する」を選択して、[続行]を選択します。

Synology NASキット 2ベイ DS225+ クアッドCPU搭載 2GBメモリ搭載 2.5GbE-NIC スタンダードユーザー向け DiskStation

Synology

Amazon

Rakuten

Synology NASキット 2ベイ DS223 クアッドコアCPU 2GBメモリ搭載 ミドルライトユーザー向け 国内正規代理店品 電話サポート対応品 DiskStation

Synology

Amazon

Rakuten

3.CloudflareのDDNSレコード編集

「DNSレコードのクイックスキャン」を選択した場合は、入力したドメインの既存DNSレコードを自動スキャンします。「DNSレコードの手動で入力する」の場合は全て自分で別途入力が必要です。
［DNS]＞[レコード]を選択し、Aレコード（IPv4アドレスのレコード）とAAAAレコード(IPv6アドレスのレコード）を必要に応じて編集します。
「DNSレコードのクイックスキャン」を選択した場合は、現状のIPアドレスが入力済ですので、内容に齟齬がないかを確認しておきます。
「プロキシステータス」はDNSのみ（灰色雲マーク）としておきます。

入力完了したら［保存]をクリックしてレコードの編集内容を確定させます。

AレコードとAAAAレコードが編集できたら、CloudflareネームサーバのNSの内容をメモっておきます。（ネームサーバ委譲の設定で必要となるため）

Seagate IronWolf 3.5インチ 4TB 内蔵 ハードディスク HDD CMR 6Gb/s 256MB 5400rpm ST4000VN006/EC

SEAGATE

Amazon

Rakuten

Western Digital ウエスタンデジタル WD Red 内蔵 HDD ハードディスク 4TB SMR 3.5インチ SATA 5400rpm キャッシュ256MB NAS メーカー保証3年 WD40EFAX-EC 【国内正規取扱代理店】

ウエスタンデジタル

Amazon

Rakuten

【NAS用拡張メモリ】Synology D4NESO-2666-4G [DDR4-2,666-SODIMM / 4GB / Synology NAS専用] 国内正規代理店品

Synology

Amazon

Rakuten

4.CloudflareDNSへのネームサーバ委譲

ドメインレジストラについてはXServerDomainを使用しているため、XServerDomainの管理画面でネームサーバーの委譲（CloudflareにDNSの管理を行わせる設定）を実施する必要があります。
Cloudflareで新規ドメインの取得を行ったり、ドメインレジストラをCloudflareに移管した場合は本手順は必要ありません。
（XServerDomaini以外のレジストラの場合も同様な手順があると思いますので、適宜読み替えてください。）

Xserverドメインの管理ページの左側メニューにある［ネームサーバ設定］をクリックします。
XServerDomainのネームサーバ設定で、ドメイン適用先サービスのネームサーバーをCloudflareネームサーバのNSの内容に設定します。

確認画面で［設定を変更する］をクリックし、ネームサーバ設定を確定させます。本設定で、Xserverドメインで登録したドメインをCloudflareのDNSで使用可能となります。

5.DNSレコード自動更新の設定

Synology DSMのDDNS登録サービス（コントロールパネル＞外部アクセス＞DDNS）には、Cloudfrareに対応したDDNS登録の仕組みがサポートされていないため、独自スクリプトを実装してDNSレコードの自動更新の仕組みを構築します。処理概要としては、Synology NASのグローバルアドレスを取得し、CloudflareのAPIを用いてDNSレコードの更新を行うものとします。これをタスクスケジューラに登録して定周期実行させます。

5-1.Cloudflareの情報取得

CloudflareのAPI操作を行うために以下2つの情報を予め取得する必要があります。

ゾーンID

Cloudflareのダッシュボードのアカウントホームよりアカウントを選択し、［概要]ページに移動し、ページ下部にあるAPIセクションに表示されていますのでこの値を取得しておきます。

APIトークン

APIトークンはDNS編集に必要な最小権限のものを作成します。
Cloudflareのダッシュボードのアカウントホームより[ アカウントの管理] >[ アカウントAPIトークン]ページに移動し、［トークンを作成する]ボタンをクリックします。

APIトークンテンプレートの［ゾーンDNSを編集する]を選択します。
必要事項が予めプリセットされていますので、［ゾーン」のみ選択して、［確認に進む]をクリックします。

次のページで［トークンを作成する]をクリックすると、トークンが作成され、APIトークンが表示されます。
APIトークンはこのページを離れると2度と表示できないため、内容をコピーして保存しておきます。

5-2.スクリプトの実装

取得した情報をもとにDNSレコードを更新するスクリプトを実装します。
既に同様なスクリプトが公開されているのかもしれませんが、探すのが面倒だったのと、大した内容でなさそうなので自作しました。（正確には仕様を提示してChatGPTに作ってもらいました。）
bashスクリプトで、以下のような内容としています。

• IPV4とIPV6のグローバルアドレスを取得
• CloudflareのDNSレコードをAPIを用いて取得（参照）
• グローバルアドレスとDNSレコードを比較し、差分があればAPIを用いて更新
• エラーやWarning事象についてはloggerコマンドを用いてSynologyのログセンターに出力

cloudfrare_ddns.conf

#!/bin/bash
# ========================================
# Synology DSM Cloudflare DDNS 更新スクリプト
# IPv4 / IPv6 同時対応 / 複数レコード対応（効率化版）
# ========================================

# スクリプト自身のディレクトリを取得
SCRIPT_DIR="$(cd "$(dirname "$0")" && pwd)"
CONFIG_FILE="${SCRIPT_DIR}/cloudflare_ddns.conf"

# 設定ファイルが存在するか確認
if [ ! -f "$CONFIG_FILE" ]; then
    echo "[ERROR] Config file not found: $CONFIG_FILE"
    exit 1
fi

# 設定を読み込み
source "$CONFIG_FILE"

NOW=$(date '+%Y-%m-%d %H:%M:%S')

# 現在のグローバルIPを取得
# IPv4取得
CURRENT_IPV4=$(curl -s --max-time 10 https://checkip.synology.com | grep -oE '([0-9]{1,3}\.){3}[0-9]{1,3}')
if ! [[ $CURRENT_IPV4 =~ ^([0-9]{1,3}\.){3}[0-9]{1,3}$ ]]; then
    logger -n localhost -P 514 --rfc3164 -t DDNS  -p local1.info "$NOW : ERROR - Failed to get valid IPv4 address"
    CURRENT_IPV4=""
fi

# IPv6取得
CURRENT_IPV6=$(curl -6 -s --max-time 10 https://ifconfig.co)
if ! [[ $CURRENT_IPV6 =~ ^([0-9a-fA-F:]+)$ ]]; then
    logger -n localhost -P 514 --rfc3164 -t DDNS  -p local1.info "$NOW : ERROR - Failed to get valid IPv6 address"
    CURRENT_IPV6=""
fi

# Cloudflareのゾーン内全DNSレコードを取得
ALL_RECORDS=$(curl -s -X GET "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/dns_records" \
    -H "Authorization: Bearer $API_TOKEN" \
    -H "Content-Type: application/json")

# レコードごとに処理
for NAME in "${RECORDS[@]}"; do
    for TYPE in A AAAA; do
        if [ "$TYPE" = "A" ]; then
            CURRENT_IP=$CURRENT_IPV4
        else
            CURRENT_IP=$CURRENT_IPV6
        fi

        # 無効なIPならスキップ
        if [ -z "$CURRENT_IP" ]; then
            continue
        fi

        # 該当レコード情報を抽出
        RECORD_INFO=$(echo "$ALL_RECORDS" | jq -r --arg name "$NAME" --arg type "$TYPE" '
        .result
        | map(select(.name==$name and .type==$type))
        | .[0]
        | {id: .id, content: .content, proxied: .proxied, ttl: .ttl}
        ')

        RECORD_ID=$(echo "$RECORD_INFO" | jq -r '.id')
        CF_IP=$(echo "$RECORD_INFO" | jq -r '.content')
        CF_PROXIED=$(echo "$RECORD_INFO" | jq -r '.proxied')
        CF_TTL=$(echo "$RECORD_INFO" | jq -r '.ttl')

        # ttlがnullや空の場合は Auto (1) にフォールバック
        if [ -z "$CF_TTL" ] || [ "$CF_TTL" = "null" ]; then
            CF_TTL=1
        fi        

        # レコードが存在しない場合はスキップ
        if [ -z "$RECORD_ID" ] || [ "$RECORD_ID" = "null" ]; then
	    logger -n localhost -P 514 --rfc3164 -t DDNS  -p local1.info "$NOW : $TYPE $NAME not found in Cloudflare, skipping."
            continue
        fi

        # 差分があれば更新
        if [ "$CURRENT_IP" != "$CF_IP" ]; then
            logger -n localhost -P 514 --rfc3164 -t DDNS -p local1.info "$NOW : Updating $TYPE $NAME ($CURRENT_IP != $CF_IP)"
            RESPONSE=$(curl -s -X PATCH "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/dns_records/$RECORD_ID" \
                -H "Authorization: Bearer $API_TOKEN" \
                -H "Content-Type: application/json" \
                --data "{
                  \"type\":\"$TYPE\",
                  \"name\":\"$NAME\",
                  \"content\":\"$CURRENT_IP\",
                  \"ttl\":$CF_TTL,
                  \"proxied\":$CF_PROXIED
                }")
	    logger -n localhost -P 514 --rfc3164 -t DDNS -p local1.info "$NOW : $TYPE $NAME response: $RESPONSE"
        fi
    done
done

cloudfrare_ddns.conf（スクリプトと同じフォルダに配置し、API更新のための情報と更新対象のレコードを記載する）

# Cloudflare DDNS 設定ファイル
ZONE_ID="xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"
API_TOKEN="XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX"

# 更新対象レコード（スペース区切りで列挙）
RECORDS=(
  "example.com"
  "aaa.example.com"
  "bbb.example.com"
)

5-3.スクリプトの定期実行設定

上記スクリプト本体と設定ファイル（設定内容を定義したもの）をSynology NASの管理者アカウントのホームディレクトリ以下にサブディレクトリ（例：cloudfrare_script)を作成して格納します。

[コントロールパネル]＞[タスクスケジューラ]＞[作成]＞[予約タスク]＞[ユーザ指定のスクリプト]を選択

タスク：適切な名称（例：cloudfare_DDNS等）を入力
ユーザー：実行ユーザですが、root権限は不要なので管理者アカウントで問題ありません。

スケジュール画面で10分周期の実行を設定します。

開始時刻：00:00
繰り返し：10分ごと
最終実行時刻：23:50

タスク設定画面で［ユーザー指定のスクリプト]欄にスクリプトのフルパスを記載します。
入力完了したら[OK]ボタンをクリックして確定させます。

6.注意点

6-1.TTLとIP変更頻度について

TTL設定について

本記事の構成では、DNSレコードのTTLは Cloudflareの「自動（Auto）」設定 を使用しています。
CloudflareにおけるTTL自動設定は実質的に 約5分 となっており、DDNS用途として十分に短く、安定した値です。

TTLを手動で最短値に設定することも可能ですが、本構成ではIPアドレスの変更頻度が高くないこと、および運用の簡素化を優先し、TTLは自動設定のままとしています。

スクリプト実行間隔の考え方

スクリプト実行間隔がTTL（約5分）より長いため、IPアドレス変更からDNSレコード更新までに最大でスクリプト実行間隔分（約10分） の遅延が発生する可能性があります。
ただし、DNSレコード更新後はTTL相当の時間経過後に新しいIPアドレスが参照されるため、実運用上は大きな問題にならないと判断しています。

IPアドレス変更時の挙動まとめ

本構成における、IPアドレス変更時の最大遅延は以下の通りです。

• IP変更検知まで：最大 約10分
• DNSキャッシュ切り替え：最大 約5分

合計で 最大約15分程度 の遅延が発生する可能性があります。
本記事の想定用途では、この遅延は許容範囲としています。

運用方針としての割り切り

Pアドレス変更がより頻繁に発生する環境や、即時性が求められる用途では、スクリプト実行間隔を短くする、もしくはTTLを手動設定するなどの調整が必要になります。
本記事では、
「過剰に短い間隔で更新しない」ことを前提とした、安定性と運用負荷のバランスを重視した設定
を採用しています。

6-2.プロキシ設定（オレンジ雲）について

Cloudflareでは、DNSレコードをプロキシ化（オレンジ雲）することで、CDNやWAFなどの機能を利用できます。
しかし本記事では、CloudflareをDDNS用途として使用することを目的としているため、DNSレコードは基本的にプロキシ無効（グレー雲）で運用します。
なお、将来的にWebサイト公開用途としてCloudflareのプロキシ機能を利用する場合は、DNSレコード更新自体は同じ仕組みで継続利用できます。

Synology NASキット 4ベイ DS925+ RyzenCPU 4GBメモリ搭載 スタンダードユーザー向け

Synology

Amazon

Rakuten

Synology NASキット 2ベイ DS725+ RyzenCPU搭載 4GBメモリ搭載 2.5GbE-NIC スタンダードユーザー向け

Synology

Amazon

Rakuten

Synology NASキット 6ベイ 拡張可 DS1621+ クアッドコアCPU 4GBメモリ搭載

Synology

Amazon

Rakuten

Synology NASキット 4ベイ DS425＋ クアッドコアCPU 2GBメモリ搭載 2.5GbE-NICスタンダードユーザー向け

Synology

Amazon

Rakuten