本文へ
ハクソク

世界を動かす技術を、日本語で。

HNに知らせる: スペインで「docker pull」が失敗するのは、サッカーのCloudflareブロックが原因です

元記事:

概要

  • GitLab Runnerで パイプラインが失敗 する問題の調査記録
  • Dockerイメージの取得時にTLSエラー が発生
  • 原因はスペイン国内での 特定IPアドレスのブロック
  • サッカーの試合開催時に Cloudflareホストへのアクセス制限
  • GitLabパイプライン実行の 予期せぬ外部要因

GitLab Runnerでのパイプライン失敗とTLSエラーの原因

  • ローカル環境の GitLab Runner でパイプライン作成時に失敗
  • ジョブ出力にて Dockerイメージ取得時のTLSエラー が表示
  • エラー内容：tls: failed to verify certificate: x509: certificate is not valid for any names, but wanted to match docker-images-prod.6aa30f8b08e16409b46e0173d6de2f56.r2.cloudflarestorage.com
  • 初期調査では TailscaleやDNS設定 などを疑う
  • root権限でのdocker pullコマンドでも同様のエラー

問題の切り分けと最終的な発見

  • エラーが発生するURLを ブラウザで直接アクセス して検証
  • スペイン語のバナーが表示され、 IPアドレスが裁判所命令でブロック されていることが判明
  • ブロック理由：LaLiga（スペインサッカーリーグ）とTelefónica Audiovisual Digitalによる 著作権保護措置
  • サッカーの試合開催時に Cloudflare経由の特定ホストが遮断
  • 参考URL：LaLiga公式アナウンス

まとめと教訓

  • 地域的なネットワーク制限 が開発環境やCI/CDフローに影響
  • 技術的な問題と誤認しやすく、 根本原因の特定が困難
  • スペイン在住やスペインIP利用時は LaLiga開催時間帯のCloudflare制限 に注意
  • 外部要因による パイプライン停止リスク の認識が重要
  • 「サッカーの試合中はGitLabパイプラインが動かない」 ユニークな事例

提供: ハクソク · 要約更新:

AIによる日本語要約です。内容は原文とあわせてご確認ください。

Hacker Newsの議論を読む

Hackerたちの意見

彼らはCloudflare R2全体をブロックしてるみたい。Docker Hubはただの（へへ） collateral だと思う。ラ・リーガの試合が始まると、CFを通じてプロキシされてるもの（ゼロアクセスのリバーストンネルも含む）が全部動かなくなる。試合がやってるか確認するためのサイトもあるよ: https://hayahora.futbol/ 自分のホストが影響を受けてるかチェックできる: https://hayahora.futbol/#comprobador&domain=docker-images-pr...

└

なんでそんなことするんだろう？ごめん、スペイン語はわからないんだ。

これがテクノロジー企業やプロフェッショナルが地元の政治にもうちょっと関わる必要がある理由だよ。そうしないと、こんなナンセンスが起こる。

└

「腐敗」じゃなくて「ロビー活動」に莫大なお金を使うっていうのは面白い言い回しだね。

へへ、君はラッキーだね、少なくともメッセージが出るから。うちのISPは影響を受けたIPへのトラフィックをそのまま落とすから。pingもtracerouteもできないし、ブラウザでは「ページが見つかりません」って表示されるまでずっとスピナーが回ってる。ラ・リーガ、つまりこの問題を引き起こしてるサッカー団体からの反応は、これがほんの一部の「docker images」や「github repositories」について話してるオタクたちにしか影響しない小さな問題だって言ってるけど、実際には、サッカーの試合中に動かなくなるスマートホームデバイス（防犯アラームや自動ドアなど）の証言もあるんだ。先週、認知症のお父さんの居場所を確認するためのGPSアプリが試合中にオフラインになってしまったって、女性がSNSで助けを求めてた。遅くなっても帰ってこないし、彼がつけてたタグを見つけられなかったんだって: https://www.infobae.com/america/agencias/2026/04/05/laliga-d... こんなことを言うのは辛いけど、誰もこんな経験をするべきじゃない。だけど、これがストレスになるのは、主流の人たちがこの検閲に関心を持つ唯一の方法なんだ。「docker imageを引っ張れない」なんてニュースにはならないけど、安全や個人のセキュリティはもっと強力な議論のきっかけになる。

└

影響を受けた人は全員、ISPとTelecommunications User Attention Officeに苦情を申し立てて、恣意的なサービス検閲による経済的損失を主張すべきだよ。

└

へへ、君はラッキーだね、少なくともメッセージが出るから。うちのISPは影響を受けたIPへのトラフィックをそのまま落とすから。pingもtracerouteもできないし、ブラウザでは「ページが見つかりません」って表示されるまでずっとスピナーが回ってる。これが中国のGFWの一般的な動きだよ。学校や企業のDNSブロッカーみたいな厳しい監視者がいるわけじゃなくて、インターネットのバージョンが断続的に、なんとなく壊れてる感じがする。実際、中国では、意図的にブロックされてないはずのものも安定してアクセスできないことが多い。実装がバラバラだから、変なルーティングやピアリングの問題が起きる。まだ完全に形成されていないインターネットのように感じる。国家や企業は、時にはインターネットの検閲やブロックの枠組みを持つことで何かを得ることがあるけど、時には普通の人々も、違法で本当に有害なビジネスを潰すのに役立つなら、恩恵を受けることもある。でも、全世界が徐々にインターネットの検閲を強化していることに気づかず、膨大な努力と知恵、費用をかけて築いた奇跡のようなものを崩しているように感じる。自由についてだけでなく、コミュニケーションやコンピューティングのインフラが崩壊していることについても考えられたらいいのに。

└

ラ・リーガのやってることはマジでおかしいし、間違ってるよ。でも、これを機にCloudflareの中央集権を見直すべきだと思う。

└

そろそろ、全てのCIジョブにVPNを入れる時期かもね。

これが、IPを一律にブロックするのがいかにひどい執行メカニズムかの良い例だね。Cloudflareは共有IPレンジの裏で何十万ものサービスをホストしてるから、海賊版ストリームを止めるために1つのIPをブロックすると、そのIP上の他のすべて、DockerレジストリやAPIエンドポイント、サッカーとは無関係なCDNまで影響を受ける。スペインがこの問題を解決するまでの実際の対策としては、スペインの外にあるVPSにプルスルーレジストリキャッシュ（例えば、registry:2とproxy.remoteurl）を設定して、Dockerデーモンのミラー設定をそこに向けること。GitLabランナーはキャッシュから引っ張って、キャッシュはブロックされていないIPを通じてDocker Hubから引っ張る。これでDocker Hubのレート制限からも守られるしね。でも、サッカーストリーミングに関する裁判所の命令が、国全体のdocker pullを壊すっていうのは本当に馬鹿げてる。

└

そのうちAzureもブロックされて、公式のラ・リーガサイトも使えなくなるんじゃない？

└

これは、包括的なIPブロックがひどい執行メカニズムである理由の良い例だよ。 確かに、彼らは「包括的なIPブロック」をやってるわけじゃなくて、DNSとIPに基づいてリクエストを傍受して、自分たちの証明書やコンテンツを提供しようとしてる。ほとんどの場合、証明書がサイトと合わないからブラウザに拒否されるけど、少なくとも私が見る限り、「包括的なIPブロック」ではなく、「DNSとIPの傍受」って感じ。実際にはその違いはあまり関係ないけど、少なくともブロックを経験してない人のために説明しておこうと思った。

Hacker Newsで議論の続きを見る