Skip to main content
すべてのサンドボックスでインターネット接続を利用でき、外部からのアクセスは公開 URL を通じて提供されます。

インターネットアクセスの切り替え

サンドボックスを作成するときに、allowInternetAccess / allow_internet_access パラメーターを使用してインターネット接続を設定できます。インターネットアクセスはデフォルトで有効になっていますが、より厳格なセキュリティ要件を持つワークロードでは無効にできます。
インターネットアクセスが無効になっている場合、サンドボックスはアウトバウンドネットワークリクエストを開始できません。これにより、機密性の高いコードを実行する際に保護レイヤーを追加できます。
allowInternetAccess / allow_internet_access に falsy な値を渡すと、network.denyOut / network.deny_out['0.0.0.0/0'] を追加するのと同じ効果があり、すべての宛先がブロックされます。

きめ細かなネットワーク制御

ネットワーク設定では、許可リストと拒否リストを定義できるため、アウトバウンドトラフィックをより細かく制御できます。

許可リストと拒否リスト

サンドボックスからのアクセスを許可する IP アドレス、CIDR ブロック、またはドメイン名を指定できます。
CIDR '0.0.0.0/0' / "0.0.0.0/0" は「すべての宛先」を表す省略表現です。リテラルの代わりに名前付きの代替を使いたい場合は、エクスポートされた ALL_TRAFFIC 定数が同じ 0.0.0.0/0 値に解決されます。

ドメインベースのフィルタリング

allowOut / allow_out にホスト名を指定して、選択したドメインへのアウトバウンドトラフィックを許可できます。ドメインベースのフィルタリングを有効にする場合、残りのすべてのトラフィックは denyOut / deny_out を通じてブロックする必要があります。ドメインエントリは許可リストでのみサポートされ、拒否リストでは使用できません。
設定内にドメインが含まれる場合は常に、DNS 解決が機能し続けるように、デフォルトのネームサーバー 8.8.8.8 が自動的に許可されます。
ワイルドカードを使用して、あるドメインのすべてのサブドメインにマッチさせることもできます。
ドメイン、IP アドレス、CIDR 範囲は、すべて同じリスト内で混在させることができます。
ドメインによるフィルタリングは、ポート 80 の HTTP(Host ヘッダーで検査)とポート 443 の TLS(SNI で検査)にのみ適用されます。それ以外のポートは CIDR ベースのマッチングにフォールバックし、QUIC/HTTP3 などの UDP プロトコルはドメインでフィルタリングできません。

ブロックされた TCP 接続の挙動

ファイアウォールのアーキテクチャにより、ブロックされたアウトバウンド接続でも、サンドボックス内からは成功したように見える場合があります。 ファイアウォールは、対象の宛先が許可されているかどうかを評価する前に、まず TCP 接続を受け入れる必要があります。その結果、サンドボックス内で実行されているコードからは、宛先がブロックされている場合でも接続が成功し、ソケットが開いたように見えることがあります。その場合、リモートエンドポイントには実際にはトラフィックは配信されません。 宛先に到達可能であることを確認するには、TCP 接続の成功だけに依存せず、アプリケーションレベルのレスポンスを検証してください。たとえば、HTTP ステータスコード、完了した TLS ハンドシェイク、または想定されるプロトコルレスポンスのバイト列を確認します。 この挙動は、サンドボックスのアウトバウンドトラフィックが当社のファイアウォールを通じてルーティングされる仕組みにおける現在の制限であり、将来的に更新される可能性があります。

優先順位ルール

許可ルールと拒否ルールの両方が設定されている場合、許可ルールが優先されます。したがって、両方のリストに含まれている IP アドレスは引き続き許可されます。
network 設定は、サンドボックスの作成時にのみ有効になります。Sandbox.create に指定してください。サンドボックスが存在するようになると、これらは固定され、変更できません。

サンドボックスの公開 URL

サンドボックス内のサービスには、サンドボックスの公開 URL を使用してアクセスできます。
出力は次のようになります。
ホスト名の一番左のセグメントは、メソッドに渡したポート番号そのものです。

サンドボックス内で実行されているサーバーへの接続

前述の方法を使用して、サンドボックス内で実行されているサーバーに接続できます。たとえば、ポート 3000 で軽量 HTTP サーバーを起動し、その起動ディレクトリからファイルを提供します。
この出力は次のようになります。

リクエストの Host ヘッダーのマスク

maskRequestHost / mask_request_host オプションを使用して、サンドボックス内で実行されているサービスに送信される Host ヘッダーをカスタマイズできます。これは、アプリケーションがリクエストに特定のホスト形式を求める場合に便利です。
リクエスト時には、マスク内の ${PORT} が、アドレス指定されているサービスの実際のポート番号に置換されます。
最終更新日 2026年8月10日