← Cloudflare One / cloudflare-one / team-and-resources / devices / cloudflare-one-client / configure

Nastavení klienta zařízení

Nastavení klienta zařízení (dříve WARP) umožňují přizpůsobit režimy a oprávnění Cloudflare One Client, které jsou dostupné koncovým uživatelům.

• Globální nastavení klienta zařízení jsou konfigurace, které se vztahují na všechna zařízení zaregistrovaná ve vaší organizaci Zero Trust.
• Nastavení globálního odpojení umožňují administrátorům při incidentu nebo výpadku vynuceně odpojit všechny klienty Cloudflare One Client.
• Nastavení profilu zařízení se může na jednotlivých zařízeních lišit v závislosti na tom, profil zařízení platí.

Když Přepínač uzamčení zařízení klienta je povoleno, uživatelé nemohou na svém zařízení Cloudflare One Client zapínat a vypínat. Povolení Povolit override kódy správce umožňuje uživatelům dočasně připojit nebo odpojit Cloudflare One Client pomocí override kódu poskytnutého správcem. Povolit override kódy správce je potřeba pouze v konfiguraci, kde Přepínač uzamčení zařízení klienta je zapnuté.

Příklady případů použití pro Povolit override kódy správce patří:

• Umožnění uživatelům dočasně odpojit Cloudflare One Client kvůli dočasnému problému se sítí, například nekompatibilní veřejné Wi-Fi, nebo firewallu v prostorách zákazníka, který připojení blokuje.
• Umožnění testovacím uživatelům připojit Cloudflare One Client, zatímco je aktivní globální odpojení.

Jako správce můžete nastavit Časový limit definovat, jak dlouho může uživatel po zadání override kódu zapínat a vypínat přepínač připojení klienta. Cloudflare každou hodinu generuje nový override kód, který může správce odeslat koncovým uživatelům. Platnost override kódu se řídí pevnými hodinovými bloky a jejím cílem je vyjít koncovému uživateli vstříc.

Chcete-li získat jednorázový kód pro uživatele:

1. Povolit Povolit override kódy správce.
2. Přejděte na Tým a zdroje > Zařízení.
3. Vyberte Zobrazit podrobnosti pro připojené zařízení.
4. Přejděte níže na Podrobnosti o uživateli a vyberte jméno uživatele.
5. Zkopírujte 7místný Přepsání kódu zobrazené v postranním panelu.
6. Tento kód sdílejte s uživatelem, aby ho mohl zadat na svém zařízení.

Uživatel bude mít na aktivaci svého kódu neomezené množství času.

Aktivace override kódu na uživatelském zařízení:

Uživatel nyní může přepnout přepínač připojení klienta nebo použít warp-cli connect příkaz. Klient se automaticky znovu připojí po Doba trvání funkce Auto connect, ale uživatel se může nadále připojovat a odpojovat pomocí Cloudflare One Client, dokud platnost přepsání nevyprší.

Když Enabled, Cloudflare One Client automaticky nainstalovat kořenový certifikát vaší organizace v zařízení.

Přepisuje výchozí IP adresu klienta Cloudflare One Client virtuální síťové rozhraní tak, aby každé zařízení mělo vlastní jedinečnou lokální IP adresu rozhraní.

Toto nastavení se používá především jako předpoklad pro Cloudflare Mesh a MASQUE. Můžete jej také použít, pokud výchozí IP adresa koliduje s jinými místními službami ve vaší síti.

Hodnota:

• Disabled: (výchozí) Nastaví IP adresu místního rozhraní na 172.16.0.2 na všech zařízeních. Tuto konfiguraci respektují pouze zařízení, která používají WireGuard a nemá vliv na zařízení používající MASQUE.

• Enabled: Nastaví lokální IP adresu rozhraní na každém zařízení na její CGNAT IP nebo do vlastní IP adresa zařízení.

IP adresa přiřazená zařízení je trvalá, dokud se zařízení neodregistruje z vaší organizace Zero Trust nebo nepřejde na jinou registraci. Odpojení a opětovné připojení přiřazení IP adresy nemění.

Umožňuje provoz navedený pomocí Cloudflare Mesh nebo Cloudflare WAN a směrovat na zařízení zaregistrovaná ve vaší organizaci Zero Trust.

Každému zařízení je přiřazena virtuální IP adresa v Prostor CGNAT IP (100.96.0.0/12) nebo vlastní rozsah IP adres zařízení. S tímto nastavením Enabled, uživatelé ve vaší privátní síti se budou moci připojit k těmto IP adresám zařízení a přistupovat k služby založené na TCP, UDP a/nebo ICMP na svých zařízeních. Můžete vytvořit Síťové zásady Gateway řídit, kteří uživatelé a zařízení mohou přistupovat k IP adresám zařízení.

Odpojit Cloudflare One Client na všech zařízeních umožňuje administrátorům nastavit Cloudflare One Client tak, aby v případě incidentu ve vašem prostředí přešel do režimu fail open, nezávisle na incidentech nebo výpadcích na straně služeb Cloudflare. Když tuto funkci zapnete, Odpojit Cloudflare One Client na všech zařízeních, Cloudflare odpojí všechny Cloudflare One Clients pro Windows, macOS a Linux, které jsou připojené k vaší organizaci Zero Trust. Patří sem zařízení koncových uživatelů a Cloudflare Mesh uzly. Koncoví uživatelé obdrží oznámení na svém zařízení a Cloudflare One Client zobrazí Admin directed disconnect.

Chcete-li obnovit běžný provoz, vypněte Odpojit Cloudflare One Client na všech zařízeních. Cloudflare One Client se automaticky znovu připojí.

Další informace o tom, jak Odpojit Cloudflare One Client na všech zařízeních funguje s ostatními nastaveními klienta zařízení, přečtěte si Priorita nastavení klienta zařízení.

Umožňuje administrátorům odpojit a znovu připojit klienta Cloudflare One nezávisle na jakékoli infrastruktuře Cloudflare. Když Enabled, Cloudflare One Clients budou pravidelně kontrolovat nakonfigurovaný endpoint HTTPS a odpojí se, jakmile obdrží platný signál k odpojení.

Informace o nastavení externího endpointu HTTPS najdete v Emergency Disconnect.

Umožňuje administrátorům odpojit a znovu připojit klienta Cloudflare One pomocí lokálního souboru JSON v zařízení, aniž by bylo nutné síťové připojení. Když Enabled, Cloudflare One Client sleduje pevnou cestu k souboru, zda se v ní neobjeví signál k odpojení. To je užitečné pro scénáře obnovy po havárii, kdy může být nedostupná jak Cloudflare, tak vaše vlastní infrastruktura.

Informace o nastavení místního souboru se signálem najdete v Emergency Disconnect.

Když Enabled, Cloudflare One Client se automaticky odpojí, jakmile zjistí captive portál a automaticky se znovu připojí po uplynutí Časový limit doba platnosti.

Implementace captive portálu se liší, takže klient Cloudflare One nemusí rozpoznat všechny captive portály. Další informace najdete v Detekce captive portálu.

Když Enabled, uživatelé mají možnost přepínat mezi Traffic and DNS mode a Režim pouze DNS. Tato funkce nepodporuje přepínání mezi žádnými jinými režimy.

Konfiguruje protokol používaný ke směrování IP provozu ze zařízení do Cloudflare Gateway. Chcete-li zkontrolovat aktivní protokol na zařízení, otevřete terminál a spusťte warp-cli settings | grep protocol.

Hodnota:

• WireGuard: Vytvoří WireGuard ↗ připojení ke Cloudflare. Cloudflare One Client bude šifrovat provoz pomocí sady šifer, která nevyhovuje FIPS, TLS_CHACHA20_POLY1305_SHA256. Při přepnutí z MASQUE na WireGuard mohou uživatelé ztratit připojení k internetu, pokud jejich síť Wi-Fi blokuje porty a IP adresy potřebné k tomu, aby WireGuard fungoval.
• MASQUE: (výchozí) Naváže připojení HTTP/3 ke Cloudflare. Cloudflare One Client bude šifrovat provoz pomocí TLS 1.3 a FIPS 140-3 ↗ vyhovující sadu šifer, TLS_AES_256_GCM_SHA384. Přiřaďte jedinečnou IP adresu každému zařízení je ve výchozím nastavení povolen u zařízení s povoleným MASQUE.

Podrobnosti o srovnání WireGuard a MASQUE najdete v naší blogový příspěvek ↗.

Umožňuje uživateli odpojit klienta Cloudflare One.

Hodnota:

• Disabled: (výchozí) Uživatel se může podle vlastního uvážení k Cloudflare One Client připojit nebo se od něj odpojit. Když je klient odpojen, uživatel nebude mít možnost dostat se na weby chráněné Access, které využívají určité kontroly stavu zařízení.
• Enabled: Uživatel nemůže Cloudflare One Client odpojit. Klient se vždy spustí v připojeném stavu.

U nasazení přes MDM musíte také zahrnout auto_connect parametr alespoň s hodnotou 0. Tím se zabrání nasazení klientů ve vypnutém stavu bez možnosti, aby je uživatelé mohli ručně zapnout.

Když Enabled, uživatelé se mohou odhlásit z vaší organizace Zero Trust výběrem Odhlásit se ze Zero Trust v uživatelském rozhraní Cloudflare One Client. Odhlásit se ze Zero Trust tlačítko je k dispozici pouze pro zařízení, která byla zaregistrováno ručně. Zařízení zaregistrovaná pomocí Souboru MDM je vždy zabráněno opustit vaši organizaci Zero Trust.

Když Enabled, uživatelům budou zasílána oznámení o aktualizaci, jakmile bude k dispozici nová verze klienta. Tuto možnost zapněte pouze v případě, že jsou vaši uživatelé místními administrátory s oprávněním přidávat nebo odebírat software ve svém zařízení.

Když Enabled, klient se automaticky znovu připojí, pokud byl deaktivován po zadanou Časový limit hodnota. Toto nastavení se nejlépe používá společně s Přepínač uzamčení zařízení klienta výše.

Doporučujeme nastavit zde velmi nízkou hodnotu, obvykle jen tolik času, kolik uživatel potřebuje k přihlášení do Wi-Fi v hotelu nebo na letišti. Pokud je zadána jakákoli hodnota, klient standardně přejde do stavu Connected (například po restartu nebo po počáteční instalaci).

Hodnota:

• 0: Umožněte, aby přepínač zůstal v poloze vypnuto po neomezenou dobu, dokud jej uživatel znovu nezapne.
• 1 na 1440: Automaticky znovu zapne přepínač po uplynutí zadaného počtu minut.

Když Enabled, Odeslat zpětnou vazbu tlačítko se v Cloudflare One Client zobrazí a spustí zadanou adresu URL. Příklad URL podpory hodnoty jsou:

• https://support.example.com: Použijte odkaz https:// k otevření interní nápovědy vaší společnosti.
• mailto:[email protected]: Použijte mailto: odkaz pro otevření výchozího e-mailového klienta.

Umožňuje vybrat provozní režim klienta. Viz Klientské režimy pro podrobný popis jednotlivých režimů.

Konfiguruje Cloudflare One Client tak, aby přesměrovával DNS požadavky na privátní resolver DNS. Další informace najdete v Local Domain Fallback dokumentace.

Konfiguruje Cloudflare One Client tak, aby vylučoval nebo zahrnoval provoz na konkrétní IP adresy nebo domény. Další informace najdete v Split Tunnel dokumentace.

Vytvoří Split Tunnel Vylučte položky pro všechny IP adresy Microsoft 365 uvedené společností Microsoft ↗. Chcete-li použít toto nastavení, Split Tunnels musí být nastaven na Vyloučit IP adresy a domény. Po zapnutí veškerý síťový provoz Microsoft 365 obejde Cloudflare One Client i Gateway.

Toto nastavení slouží jako řešení pro uživatele, jejichž domácí síť používá stejný rozsah IP adres jako vaše firemní privátní síť. Chcete-li toto nastavení použít, Split Tunnels musí být nastaven na Vyloučit IP adresy a domény.

Když Enabled, uživatelé mají možnost přistupovat k prostředkům místní sítě (například tiskárnám a úložným zařízením), když jsou připojeni ke Cloudflare One Client. Když uživatel zapne Přístup k místní síti, Cloudflare One Client rozpozná místní rozsah IP adres oznamovaný domácí sítí uživatele (například 10.0.0.0/24) a dočasně vyloučit tento rozsah z tunelu WARP. Uživatel bude muset o přístup znovu požádat po Časový limit vyprší. Nastavení Časový limit na 0 minutes umožní přístup k síti LAN až do dalšího opětovného připojení klienta, například po restartu nebo po probuzení notebooku ze spánku.

Zapnutí přístupu k místní síti v Cloudflare One Client:

• Cloudflare One Client vyloučí pouze lokální sítě v RFC 1918 ↗ adresní prostor. Jiné IP adresy, například CGNAT, podporované nejsou.
• Maximální velikost vyloučené podsítě je /24.
• Pokud má zařízení více síťových rozhraní s odlišnými rozsahy místních IP adres, Cloudflare One Client vyloučí pouze jednu z těchto sítí. Pro přístup ke konkrétní místní síti deaktivujte ostatní rozhraní a Cloudflare One Client odpojte a znovu připojte.

Když Enabled, operační systém zaregistruje u klienta Cloudflare One Client IP adresa místního rozhraní (CGNAT IP nebo 172.16.0.2) s vaším místním DNS serverem, pokud je DNS server dostupný.

Pokud používáte lokální DNS infrastrukturu (například Active Directory), doporučujeme toto nastavení zapnout pro vzdálené profily zařízení a jejím vypnutím pro spravovaná síť profily zařízení. Při této konfiguraci si vzdálená zařízení zaregistrují IP adresu svého klientského rozhraní, zatímco zařízení v místní síti si zaregistrují jen svou místní adresu DHCP. Díky tomu dokáže místní server DNS přeložit hostname zařízení bez ohledu na to, kde se dané zařízení nachází.

Microsoftu System Center Configuration Manager ↗ (SCCM) se používá ke správě softwaru na zařízeních Windows na základě skupina hranic ↗, nebo síťové lokalitě, do které patří. Klienty Cloudflare One Client můžete přiřadit k hraniční skupině SCCM na základě jejich spravovaná síť a další atributy profilu zařízení. Pokud Podpora SCCM VPN Boundary je zapnuto, Cloudflare One Client upraví pole popisu ve svém virtuální síťové rozhraní. Díky tomu můžete definovat skupinu hranic VPN, která se shoduje podle popisu síťového rozhraní.

Hodnota:

• Disabled: (výchozí) Popis síťového rozhraní klienta je Cloudflare WARP Interface Tunnel.

• Enabled: Popis síťového rozhraní klienta je (SCCM) Cloudflare WARP Interface Tunnel pro zařízení, která mají Klient SCCM ↗ nainstalováno. Zařízení bez klienta SCCM budou i nadále používat výchozí Cloudflare WARP Interface Tunnel popis. Cloudflare One Client zjišťuje, zda je nainstalovaný klient SCCM, podle přítomnosti SMS Agent Host (ccmexec.exe) Služba Windows.

Předpokládejme, že chcete odesílat aktualizace softwaru z cloudového distribuční bod ↗ pokud je zařízení vzdálené, ale použijte on-prem servery, pokud je zařízení v kancelářské síti. Chcete-li nastavit tyto hraniční skupiny:

1. V Zero Trust:

   a. Zapněte Podpora SCCM VPN Boundary pro vzdálené profily zařízení.

   b. Vypněte Podpora SCCM VPN Boundary pro profily on-prem zařízení.

   c. (Volitelné) Ověřte nastavení zařízení:

   Ověřte podporu VPN Boundary v SCCM

   Chcete-li zkontrolovat, zda Podpora SCCM VPN Boundary je na zařízení aktivní, spusťte následující příkaz:

   warp-cli settings | findstr "SCCM VPN Boundary"

   (network policy) SCCM VPN Boundary Support: true

   Můžete také ověřit podrobnosti síťového rozhraní pro CloudflareWARP adaptér:

   ipconfig /all

   Windows IP Configuration
   
   ...
   
   Unknown adapter CloudflareWARP:
   
   	Connection-specific DNS Suffix  . :
   	Description . . . . . . . . . . . : (SCCM) Cloudflare WARP Interface Tunnel
   	Physical Address. . . . . . . . . :
   	DHCP Enabled. . . . . . . . . . . : No
   	Autoconfiguration Enabled . . . . : Yes
   	IPv6 Address. . . . . . . . . . . : 2001:db8:110:8f79:145:f180:fc4:8106(Preferred)
   	Link-local IPv6 Address . . . . . : fe80::83b:d647:4bed:d388%49(Preferred)
   	IPv4 Address. . . . . . . . . . . : 172.16.0.2(Preferred)
   	Subnet Mask . . . . . . . . . . . : 255.255.255.255
   	Default Gateway . . . . . . . . . :
   	DNS Servers . . . . . . . . . . . : 127.0.2.2
   																			127.0.2.3
   	NetBIOS over Tcpip. . . . . . . . : Disabled

2. V Microsoft SCCM:

   a. Vytvořte hranici ↗ s následujícím nastavením:

   • Popis: Remote Cloudflare One Clients
   • Typ: VPN
   • Popis připojení: (SCCM) Cloudflare WARP Interface Tunnel

   b. Přiřaďte tuto hranici jedné nebo více skupinám hranic.

Když je zařízení vzdálené, popis rozhraní klienta se změní na (SCCM) Cloudflare WARP Interface Tunnel a server SCCM určí, že zařízení patří do hraniční skupiny VPN. Zařízení nyní může stahovat aktualizace z distribučního bodu přiřazeného této hraniční skupině. Když dojde ke změně sítě a Cloudflare One Client rozpozná spravovanou síť, vrátí popis rozhraní zpět na Cloudflare WARP Interface Tunnel a hraniční podmínka již nebude splněna. Zařízení bude odpovídat vašemu místnímu rozsahu IP adres a bude považováno za on-prem.

NetBIOS over TCP/IP (NetBT) je zastaralý protokol používaný pro překlad názvů a další funkce v systému Windows. NetBT je již řadu let zastaralý, ale Windows jej stále neodstranily. Cloudflare One Client ve výchozím nastavení zakazuje NetBT na tunelovém rozhraní z bezpečnostních důvodů a v souladu s moderními osvědčenými postupy. Toto nastavení umožňuje přepsat výchozí chování a povolit NetBT přes tunel WARP.

Měli byste zapnout NetBIOS over TCPIP pouze pokud zařízení potřebují přistupovat k interním prostředkům přes NetBT. Příklady scénářů zahrnují:

• Starší překlad názvů: Spoléháte na NetBIOS při překladu jednoslovných názvů (například \\SERVER01), místo moderních alternativ, jako je mDNS pro jednoslovné názvy nebo standardní DNS pro plně kvalifikované názvy domén (například \\server01.corp.internal).
• SMBv1: Přistupujete k velmi starým sdíleným souborům nebo tiskárnám, které nepodporují moderní SMB (v2/v3) a k vyhledávání vyžadují NetBT.
• Starší aplikace: Používáte specializovaný interní software, který má NetBIOS pevně zakódovaný pro komunikaci mezi uzly.

V opačném případě doporučujeme vždy zakázat NetBIOS over TCPIP. Můžete zvolit jiné nastavení pro vzdálená zařízení oproti on-prem zařízení.

Chcete-li zkontrolovat, zda NetBIOS over TCPIP je povoleno na rozhraní klientského tunelu, spusťte následující příkaz:

warp-cli settings | findstr "NetBT"

(network policy) NetBT: true

Můžete také ověřit podrobnosti síťového rozhraní pro CloudflareWARP adaptér:

ipconfig /all

Windows IP Configuration
...
Unknown adapter CloudflareWARP:
    Connection-specific DNS Suffix  . :
    Description . . . . . . . . . . . : Cloudflare WARP Interface Tunnel
    Physical Address. . . . . . . . . :
    DHCP Enabled. . . . . . . . . . . : No
    Autoconfiguration Enabled . . . . : Yes
    IPv6 Address. . . . . . . . . . . : 2001:db8:110:8f79:145:f180:fc4:8106(Preferred)
    Link-local IPv6 Address . . . . . : fe80::83b:d647:4bed:d388%49(Preferred)
    IPv4 Address. . . . . . . . . . . : 172.16.0.2(Preferred)
    Subnet Mask . . . . . . . . . . . : 255.255.255.255
    Default Gateway . . . . . . . . . :
    DNS Servers . . . . . . . . . . . : 127.0.2.2
    																		127.0.2.3
    NetBIOS over Tcpip. . . . . . . . : Enabled

Cloudflare One Client ve výchozím nastavení zobrazuje všechny virtuální síť (VNET) ve vašem účtu v rozevírací seznam VNET. Dostupnost VNET omezuje rozevírací nabídku na podmnožinu VNET a vybírá výchozí VNET podle jednotlivých profil zařízení základě. Aktivní profil určuje, mezi kterými sítěmi VNET mohou zařízení přepínat a které z nich vidí.

Pokud váš tým QA například používá staging-vnet a váš obchodní tým by se k němu nikdy neměl dostat, můžete profilu zařízení pro obchodní tým přiřadit pouze production-vnet. Uživatelé Sales neuvidí staging-vnet v rozevírací nabídce.

Vyhledávací přípona DNS (známá také jako vyhledávací doména) automaticky připojuje doménu k jednoslovným názvům, takže uživatelé mohou zadat jira do prohlížeče a operační systém přeloží jira.internal.example. Vyhledávací přípony obvykle oznamuje lokální síť prostřednictvím DHCP, zařízení připojená přes Cloudflare One Client ale místo toho používají virtuální rozhraní WARP, které tyto síťově oznamované přípony nepřebírá.

Použijte Vyhledávací přípony DNS nasadit seřazený seznam až 25 přípon do Cloudflare One Client na základě profil zařízení základě. Klient postupně připojuje jednotlivé přípony k dotazům s jednoslabičným názvem, dokud se jeden z nich úspěšně nevyřeší. Toto nastavení nahrazuje ruční konfiguraci pro jednotlivá zařízení popsanou v Přidejte příponu DNS.