← Cloudflare One / cloudflare-one / networks / connectors / cloudflare-tunnel / use-cases

SMB

Protokol Server Message Block (SMB) umožňuje uživatelům číst, zapisovat a přistupovat ke sdíleným prostředkům v síti. Kvůli bezpečnostním rizikům firewally a poskytovatelé internetu obvykle blokují veřejná připojení ke sdílené složce SMB. S Cloudflare Tunnel můžete uživatelům mimo vaši síť poskytnout zabezpečený a jednoduchý přístup k SMB.

Cloudflare Zero Trust nabízí dvě řešení pro připojení k serverům SMB:

• Směrování privátních podsítí pomocí Cloudflare One Client do Tunnel
• Směrování veřejného hostname s cloudflared access

Zatímco SMB byl vyvinut pro Microsoft Windows, Samba poskytuje konektivitu SMB pro systémy podobné UNIXu a systémy BSD. Server Samba lze nastavit pomocí tohoto průvodce ↗ na počítači s Ubuntu.

Pomocí Cloudflare Tunnel můžete vytvořit zabezpečené, pouze odchozí připojení ze svého serveru do globální sítě Cloudflare. K tomu je potřeba spustit cloudflared démon na serveru. Uživatelé se ke službě dostanou po instalaci Cloudflare One Client na svém zařízení a zaregistrují se do vaší organizace Zero Trust. Vzdálená zařízení se pak budou moci připojit, jako by byla ve vaší privátní síti. Ve výchozím nastavení mají ke službě přístup všechna zařízení zaregistrovaná ve vaší organizaci, pokud nevytvoříte zásady, které konkrétním uživatelům přístup povolí nebo zablokují.

1. V Cloudflare dashboardu přejděte na Sítě > Tunnels.

   Přejděte na Tunnels ↗

2. Vytvořit nový tunel nebo upravit existující cloudflared tunel.

3. V Cloudflare dashboardu přejděte na Sítě > Trasy.

   Přejděte na Trasy ↗

4. Vyberte Vytvořit trasu > Tunnel CIDR. Vyberte právě vytvořený tunel, zadejte privátní IP adresu nebo adresu CIDR svého serveru a vyberte Vytvořit trasu.

5. (Volitelné) Nastavení zásad Zero Trust doladit přístup k vašemu serveru.

Chcete-li připojit svá zařízení ke Cloudflare:

1. Nasaďte Cloudflare One Client na vašich zařízeních v režimu Traffic and DNS nebo vygenerujte proxy endpoint a nasaďte soubor PAC.
2. Vytvořit pravidla registrace zařízení určit, která zařízení se mohou zaregistrovat do vaší organizace Zero Trust.

WARP ve výchozím nastavení vylučuje provoz směřující na Prostor RFC 1918 ↗, což jsou IP adresy, které se obvykle používají v privátních sítích a nejsou dostupné z internetu. Aby mohl Cloudflare One Client odesílat provoz do vaší privátní sítě, musíte nakonfigurovat Split Tunnels tak, aby IP/CIDR vaší privátní sítě směrovala přes Cloudflare One Client.

1. Nejprve zkontrolujte, zda váš Režim Split Tunnels je nastaveno na Vyloučit nebo Include režimu.

2. Upravte trasy Split Tunnel podle režimu:

   Pokud používáte Vyloučit režimu:

   a. Odstraňte trasu obsahující rozsah IP/CIDR vaší privátní sítě. Pokud například vaše síť používá výchozí rozsah AWS 172.31.0.0/16, smažte 172.16.0.0/12.

   b. Znovu přidat rozsahy IP/CIDR které vaše privátní síť výslovně nepoužívá. Pro výše uvedený příklad AWS byste přidali nové položky pro 172.16.0.0/13, 172.24.0.0/14, 172.28.0.0/15, a 172.30.0.0/16. Tím se zajistí, že pouze provoz na 172.31.0.0/16 tras přes Cloudflare One Client.

   K určení, které IP adresy je třeba znovu přidat, můžete použít následující kalkulačku:

   Base CIDROdečtené rozsahy CIDR

   Vypočítat

   Pokyny ke kalkulačce

   1. V Base CIDR, zadejte rozsah RFC 1918, který jste odstranili ze Split Tunnels.
   2. V Odečtené rozsahy CIDR, zadejte rozsah IP/CIDR používaný vaší privátní sítí.
   3. Znovu přidejte výsledky kalkulačky do seznamu režimu Split Tunnel Exclude.

   Zúžením rozsahu privátních IP adres zahrnutých v Cloudflare One Client snížíte riziko narušení uživatelova přístup k místním prostředkům.

   Pokud používáte Include režimu:

   1. Přidejte požadované Domény Zero Trust nebo IP adresy do seznamu Split Tunnel include.
   2. Přidejte trasu tak, aby to zahrnovalo rozsah IP/CIDR vaší privátní sítě.

1. V nabídce Finder vyberte Go > Připojit se k serveru.

2. Zadejte smb://<smb-server-ip-address>/sambashare.

   

3. Přihlaste se pomocí uživatelského jména a hesla vytvořených při nastavování serveru.

1. Otevřete File Explorer a klikněte pravým tlačítkem na Síť > Mapovat síťovou jednotku.
2. Pro Složka, zadejte \\<server-private-ip>\sambashare.
3. Vyberte Připojení pomocí jiných přihlašovacích údajů.
4. Vyberte Dokončit.
5. Přihlaste se pomocí uživatelského jména a hesla vytvořených při nastavování serveru.

Cloudflare Tunnel může směrovat aplikace také přes veřejný hostname, což uživatelům umožňuje připojit se k aplikaci bez Cloudflare One Client. Tento způsob vyžaduje mít cloudflared nainstalováno jak na serverovém, tak na klientském počítači, a zároveň potřebujete aktivní zónu na Cloudflare. Provoz je proxy přes toto připojení a uživatel se k serveru přihlásí pomocí svých přihlašovacích údajů Cloudflare Access.

Metodu veřejného hostname lze kombinovat se směrováním přes Cloudflare One Client, takže existuje více způsobů připojení k serveru. Stejný tunel můžete znovu použít pro trasy privátní sítě i pro trasy veřejného hostname.

1. Vytvořte Cloudflare Tunnel podle našeho průvodce nastavením dashboardu.

2. V Cloudflare dashboardu přejděte na Sítě > Tunnels a vyberte svůj tunel.

   Přejděte na Tunnels ↗

3. Na Trasy kartě vyberte Přidat trasu, pak vyberte Publikovaná aplikace.

4. Vyberte doménu z rozevírací nabídky a zadejte libovolnou subdoménu (například smb.example.com).

5. Pro Služba, vyberte SMB a zadejte naslouchací port SMB (například localhost:445). Jednotky SMB naslouchají na portu 139 nebo 445 ve výchozím nastavení.

6. Vyberte Přidat trasu.

Ke serveru se pomocí hostname publikované aplikace může ve výchozím nastavení připojit kdokoli na internetu. Chcete-li povolit nebo zablokovat konkrétní uživatele, vytvořte self-hosted aplikace v Cloudflare Access.

1. Nainstalujte cloudflared na klientském počítači.

2. Spusťte následující příkaz pro otevření naslouchacího portu SMB. Na klientském zařízení můžete zadat libovolný dostupný port.

   cloudflared access tcp --hostname smb.example.com --url localhost:8445

   Tento příkaz lze zabalit do zástupce na ploše, aby koncoví uživatelé nemuseli používat příkazový řádek.

3. Otevřít SMB klienta a nakonfigurujte klienta tak, aby směřoval na smb://localhost:8445/sambashare. Nezadávejte hostname.

4. Přihlaste se pomocí uživatelského jména a hesla vytvořených při nastavování serveru.

Pokud používáte počítač s Windows a nemůžete zadat port pro SMB, možná bude nutné vypnout lokální server. Lokální server na klientském počítači používá stejný výchozí port 445 pro CIFS/SMB. Nasloucháním na tomto portu může místní server blokovat cloudflare access připojení.

Chcete-li zakázat místní server v počítači se systémem Windows:

1. Vyberte Win+R a otevřít okno Spustit.
2. Typ services.msc a vyberte Zadání.
3. Najděte lokální serverový proces, pravděpodobně nazvaný Server.
4. Zastavte službu a nastavte Typ spuštění na Disabled.
5. Opakujte kroky 3 a 4 pro TCP/IP NetBIOS Helper.