← Cloudflare One / cloudflare-one / team-and-resources / devices / cloudflare-one-client / configure

Spravované sítě

Cloudflare One Client (dříve WARP) umožňuje selektivně aplikovat konkrétní profily zařízení a nastavení klienta zařízení v okamžiku, kdy se zařízení připojí ke známému síťovému umístění, například do kanceláře. Aby Cloudflare One Client zjistil, ve které síti se zařízení nachází, připojí se k TLS endpointu, který v dané síti hostujete, a ověří jeho certifikát. Pokud certifikát odpovídá, je zařízení ve vaší spravované síti a obdrží odpovídající profil zařízení (pokud je pro danou síť nastaveno).

Na této stránce se naučíte, jak:

• Vytvořte TLS endpoint ve své důvěryhodné síti.
• Nakonfigurujte endpoint TLS v Zero Trust a nastavte tak spravovanou síť.
• Použijte příslušný profil zařízení, jakmile Cloudflare One Client zjistí, že se zařízení nachází ve vaší spravované síti.

• Cloudflare One Client vyhledává spravované sítě vždy, když se změní výchozí trasa operačního systému, SSID aktivního připojení Wi-Fi nebo DNS servery výchozího rozhraní. Abyste minimalizovali dopad na výkon, používejte pro více poboček stejný TLS endpoint, pokud pro každou pobočku nepotřebujete odlišný profil nastavení.
• Ujistěte se, že zařízení může být v daný okamžik dostupné jen v jedné spravované síti. Pokud je nakonfigurováno a dostupné více spravovaných sítí současně, nelze určit, který profil nastavení zařízení obdrží.

Když nakonfigurujete managed network, Cloudflare One Client pomocí TLS endpointu určuje, zda je zařízení v této síti.

Doba potřebná k použití správného profilu zařízení závisí na tom, jak rychle reaguje endpoint TLS.

Pokud u TLS endpointu vyprší časový limit po 5 sekundách, Cloudflare One Client vyhodnotí, že zařízení není ve spravované síti, a použije výchozí profil zařízení. Cloudflare One Client zopakuje detekci pouze v případě, že dojde k jiné chybě než vypršení časového limitu. Vypršení časového limitu vyvolá přechod na výchozí profil zařízení bez dalších pokusů.

TLS endpoint je hostitel ve vaší síti, který poskytuje certifikát TLS. TLS endpoint funguje jako signál umístění sítě: jakmile se zařízení připojí k síti, Cloudflare One Client na zařízení TLS endpoint rozpozná a ověří certifikát TLS podle otisku SHA-256 (pokud je zadaný), nebo podle místního úložiště certifikátů, aby zkontroloval, že je podepsaný veřejnou certifikační autoritou.

TLS certifikát může hostovat jakékoli zařízení ve vaší síti. Endpoint však musí zůstat nedostupný uživatelům mimo danou síťovou lokalitu. Cloudflare One Client automaticky vyloučí spravovaný síťový endpoint ze všech profilů zařízení, aby se uživatelé nemohli k tomuto endpointu připojit přes Cloudflare Tunnel. Doporučujeme zvolit hostitele, který se fyzicky nachází v kanceláři a ke kterému vzdálení uživatelé nepotřebují přistupovat, například tiskárnu.

Pokud ve své síti ještě nemáte endpoint TLS, můžete si ho nastavit následujícím způsobem:

1. Vygenerujte certifikát TLS:

   openssl req -x509 -newkey rsa:4096 -sha256 -days 3650 -nodes -keyout key.pem -out cert.pem -subj "/CN=example.com" -addext "subjectAltName=DNS:example.com"

   Příkaz vypíše certifikát ve formátu PEM a jeho soukromý klíč. Tyto soubory uložte na bezpečné místo.

2. Nakonfigurujte server HTTPS ve své síti tak, aby používal tento certifikát a klíč. Následující příklad ukazuje, jak obsluhovat certifikát TLS z kontejneru nginx v Dockeru:

   a. Vytvořte konfigurační soubor nginx s názvem nginx.conf:

   nginx.conf

   events {
   worker_connections  1024;
   }
   
   http {
   		server {
   			listen              443 ssl;
   			ssl_certificate     /certs/cert.pem;
   			ssl_certificate_key /certs/key.pem;
   			location / {
   						return 200;
   			}
   		}
   }

   V případě potřeby nahraďte /certs/cert.pem a /certs/key.pem s umístěním vašeho certifikátu a klíče.

   b. Přidejte image nginx do souboru Docker Compose:

   docker-compose.yml

   services:
   	nginx:
   		image: nginx:latest
   		ports:
   			- 3333:443
   		volumes:
   			- ./nginx.conf:/etc/nginx/nginx.conf:ro
   			- ./certs:/certs:ro

   V případě potřeby nahraďte ./nginx.conf a ./certs s umístěním konfiguračního souboru nginx a certifikátu.

   c. Spusťte server:

   docker compose up -d

3. Chcete-li ověřit, že server TLS funguje, spusťte na zařízení koncového uživatele příkaz curl:

   curl --verbose --insecure https://<private-server-IP>:3333/

   Musíte předat --insecure možnost, protože používáme self-signed certifikát. Pokud je zařízení připojeno k síti, měl by požadavek vrátit 200 stavový kód.

Cloudflare One Client naváže TLS spojení pomocí Rustls ↗. Ujistěte se, že váš endpoint TLS přijímá jeden z šifrovací sady podporované Rustls ↗.

Otisk SHA-256 je vyžadován pouze v případě, že váš TLS endpoint používá samopodepsaný certifikát.

openssl x509 -noout -fingerprint -sha256 -inform pem -in cert.pem | tr -d :

SHA256 Fingerprint=DD4F4806C57A5BBAF1AA5B080F0541DA75DB468D0A1FE731310149500CCD8662

openssl s_client -connect <private-server-IP>:443 < /dev/null 2> /dev/null | openssl x509 -noout -fingerprint -sha256 | tr -d :

SHA256 Fingerprint=DD4F4806C57A5BBAF1AA5B080F0541DA75DB468D0A1FE731310149500CCD8662

Pokud je TLS endpoint zadán jako privátní IP adresa, Cloudflare One Client ho automaticky vyloučí ze všech profilů zařízení. Tato výjimka brání vzdáleným uživatelům v přístupu k endpointu přes tunel WARP na jakémkoli portu. Pokud je TLS endpoint zadán jako hostname místo privátní IP adresy, Cloudflare One Client ho automaticky nevyloučí.

resource "cloudflare_zero_trust_device_custom_profile" "office" {
	account_id            = var.cloudflare_account_id
	name                  = "Office"
	description           = "Devices connected to the office network"
	precedence            = 1
	service_mode_v2       = {mode = "warp"}

	match = trimspace(replace(<<-EOT
		network == "${cloudflare_zero_trust_device_managed_networks.office.name}"
	EOT
	, "\n", " "))
}

Spravované sítě jsou nyní povoleny. Kdykoli se zařízení ve vaší organizaci připojí k síti (například při probuzení zařízení nebo změně Wi-Fi sítě), Cloudflare One Client určí jeho síťovou polohu a použije odpovídající profil nastavení.

Chcete-li zkontrolovat, zda Cloudflare One Client rozpoznává síťovou lokalitu:

1. Připojte Cloudflare One Client.
2. Odpojte se od sítě a znovu se připojte.
3. Otevřete terminál a spusťte warp-cli debug alternate-network.

• Profily zařízení: Jak vytvářet a spravovat profily zařízení, které aplikujete prostřednictvím spravovaných sítí.
• Nastavení klienta zařízení: Definuje, jak se Cloudflare One Client chová a co mohou uživatelé dělat.
• Průvodce řešením problémů s Cloudflare One Client: Řešte běžné problémy s Cloudflare One Client.