← Cloudflare One / cloudflare-one / troubleshooting

Cloudflare One Client

Tento návod vám pomůže diagnostikovat a vyřešit běžné problémy s klientem Cloudflare One Client (dříve WARP). Popisuje řešení potíží s Cloudflare One Client na desktopových operačních systémech, včetně Windows, macOS a Linuxu.

1. Než začnete: Předpoklady, oprávnění, správa verzí, a základy klienta.
2. Shromáždit protokoly: Prostřednictvím Cloudflare dashboard (se vzdáleným zachytáváním DEX) nebo rozhraní příkazového řádku (CLI) (warp-diag).
3. Zkontrolovat protokoly: Stav, nastavení, ID profilu, split tunel konfiguraci a další nastavení.
4. Opravit časté chyby konfigurace: Neshoda profilu, problémy se split tunelem, problémy se spravovanou sítí, neshoda skupiny uživatele.
5. Založte tiket podpory: Jak vytvořit tiket poté, co vyčerpáte možnosti řešení potíží.

• Musíte mít dokončeno Úvodní proces Zero Trust s vytvořenou organizací Zero Trust.
• Na zařízení koncového uživatele musíte mít nainstalovaný Cloudflare One Client.
• Musíte mít role která uděluje oprávnění správce k přístupu k protokolům v dashboardu Cloudflare.

Mnoho problémů při řešení potíží způsobují zastaralé verze klienta. Pro nejlepší výkon a kompatibilitu by správci měli kontrolovat nová vydání a aktualizovat Cloudflare One Client před pokusem o řešení dalších problémů.

Po aktualizaci Cloudflare One Client sledujte, zda se problém znovu neobjeví. Pokud problém přetrvává, pokračujte podle průvodce řešením problémů.

1. Přihlaste se do Cloudflare dashboard ↗ a přejděte na Zero Trust > Tým a zdroje > Zařízení > Vaše zařízení.
2. Vyberte zařízení, které chcete prošetřit.
3. Najděte verzi klienta zařízení v sekci Verze klienta v postranní nabídce.
4. Porovnejte verzi svého zařízení s nejnovější verze Cloudflare One Client.

Pochopte architekturu, instalační cesty a režimy Cloudflare One Client, abyste dokázali přesněji diagnostikovat problémy.

Cloudflare One Client se skládá z:

• Grafické uživatelské rozhraní (GUI): Ovládací panel, který koncovým uživatelům umožňuje zobrazit u klienta stav a provádět akce, jako je zapnutí nebo vypnutí Cloudflare One Client.
• Daemon WARP (nebo služba): Klíčová komponenta na pozadí odpovědná za navazování zabezpečených tunelů (pomocí WireGuard nebo MASQUE) a za veškerou funkčnost klienta na vašem zařízení.

Viz architektura klienta pro další informace o tom, jak Cloudflare One Client komunikuje s operačním systémem zařízení při směrování provozu.

GUI a démon (nebo služba) mají různé názvy a jsou uloženy na následujících místech:

Spolu s GUI a démonem klienta Cloudflare One, warp-cli a warp-diag jsou také nainstalováno na počítači a přidán do proměnné PATH systému, aby byl dostupný z libovolné relace terminálu.

warp-diag je diagnostický nástroj pro příkazový řádek, který shromažďuje protokoly, podrobnosti o konfiguraci a data o připojení z Cloudflare One Client, aby pomohl při řešení problémů.

warp-cli je rozhraní příkazové řádky (CLI) pro správu a konfiguraci Cloudflare One Client, které uživatelům umožňuje programově se připojovat, odpojovat a upravovat nastavení.

Cloudflare One Client pracuje v několika režimech, z nichž každý nabízí jiné možnosti zpracování provozu:

Každý režim klienta nabízí jinou sadu funkcí Zero Trust.

Diagnostické protokoly můžete shromažďovat dvěma způsoby: Cloudflare dashboard nebo warp-diag rozhraní příkazového řádku (CLI).

Diagnostické protokoly klienta můžete shromáždit vzdáleně z Cloudflare dashboardu pomocí vzdálených záznamů (remote captures) funkce Digital Experience Monitoring (DEX).

Aby mohla vzdálená zachycení proběhnout, musí být zařízení aktivně připojena k internetu.

Chcete-li zachytit data ze vzdáleného zařízení:

1. V Cloudflare One ↗, přejděte na DEX > Vzdálená zachycení.
2. Vyberte až 10 zařízení, na kterých chcete spustit zachytávání. Zařízení musí být registrováno ve vaší organizaci Zero Trust.
3. Nakonfigurujte typy zachycení, která se mají spouštět.

   • Zachytávání paketů (PCAP): Provádí zachytávání paketů pro provoz mimo tunel WARP (výchozí síťové rozhraní) a provoz uvnitř tunelu WARP (virtuální rozhraní).

   • Diagnostické protokoly zařízení: Vygeneruje Diagnostický protokol Cloudflare One Client za posledních 96 hodin. Chcete-li zahrnout test směrování pro všechny IP adresy a domény ve své Konfigurace Split Tunnel, vyberte Otestujte všechny trasy.

     Musíte vybrat Device Diagnostic Logs. Volitelně můžete spustit i PCAP a problém zopakovat v okně, kdy PCAP běží, což poskytne další informace o síti. Tato diagnostika se týká pouze protokolů diagnostiky klienta. Pokud PCAP nepoužíváte, zopakujte problém těsně před spuštěním diagnostiky.
4. Vyberte Spuštění diagnostiky.

DEX nyní odešle požadavky na zachycení na nakonfigurovaná zařízení. Pokud je Cloudflare One Client odpojen, zachycení vyprší po 10 minutách.

Chcete-li zobrazit seznam zachycení, přejděte na Insights > Digital Experience > Diagnostika. Stav sloupec zobrazuje jednu z těchto možností:

• Úspěch: Zachycení je dokončené a připravené ke stažení. Částečně úspěšná zachycení se přesto nahrají do Cloudflare. Může se například stát, že soubor PCAP se úspěšně vytvoří na primárním síťovém rozhraní, ale na rozhraní tunelu WARP se to nepodaří. Můžete zkontrolovat výsledky PCAP určit, které soubory PCAP byly úspěšné a které se nezdařily.
• Spuštěno: Zachycení na zařízení právě probíhá.
• Čeká na nahrání: Zachycení je dokončené, ale ještě není připravené ke stažení.
• Selhalo: Platnost zachycení vypršela, nebo došlo k chybě. Chcete-li zachycení zopakovat, zkontrolujte verzi Cloudflare One Client a stav konektivity, poté spusťte nové zachycení.

1. V Cloudflare One ↗, přejděte na DEX > Vzdálená zachycení.
2. Najděte úspěšné zachycení.
3. Vyberte nabídku tří teček a vyberte Stáhnout.

Tím se do vašeho počítače stáhne soubor ZIP s názvem <capture-id>.zip. DEX bude ukládat data ze zachycení podle našich zásada uchovávání protokolů.

Jakmile máte diagnostické soubory, přejděte do Zkontrolovat klíčové soubory pokračovat v řešení problémů.

Diagnostické protokoly klienta shromážděte na svém desktopu pomocí warp-diag CLI.

Chcete-li zobrazit protokoly klienta na počítačích:

Jakmile máte diagnostické soubory, přejděte do Zkontrolovat klíčové soubory pokračovat v řešení problémů.

Diagnostické protokoly klienta zaznamenávají výslednou konfiguraci a stav Cloudflare One Client na zařízení poté, co se uplatní všechny zásady MDM a další nastavení softwaru. Kontrola těchto protokolů vám může pomoci odhalit nesprávná nastavení nebo neočekávané chování.

Otevřete warp-status.txt soubor a zkontrolujte stav připojení Cloudflare One Client, když warp-diag byla shromážděna. Připojený Cloudflare One Client se zobrazí jako:

Ok(Connected)

Pokud má Cloudflare One Client potíže, chyba se zobrazí v jeho grafickém rozhraní na zařízení. Použijte Chyby klienta dokumentaci a zjistěte svou chybu, její příčinu a řešení.

Po zkontrolování stavu klienta zkontrolujte nastavení Cloudflare One Client na zařízení, abyste ověřili, že byla použita očekávaná konfigurace. Otevřete warp-settings.txt soubor a zkontrolujte nastavení Cloudflare One Client. Ověříte tak profil zařízení aplikovaný na dané zařízení a konfiguraci rozděleného tunelu.

Najděte diagnostické protokoly klienta na ploše a otevřete warp-settings.txt soubor. Projděte si následující příklad warp-settings.txt soubor a popisy jeho obsahu níže.

Merged configuration:
(derived)   Always On: true
(network policy)    Switch Locked: false # If false, does not allow the user to turn off the WARP toggle and disconnect the WARP client
(network policy)    Mode: WarpWithDnsOverHttps # The device's WARP mode, this mode is WARP with Gateway mode
(network policy)    WARP tunnel protocol: WireGuard
(default)   Disabled for Wifi: false
(default)   Disabled for Ethernet: false
(reg defaults)  Resolve via: 1xx0x1011xx000000000f0x00000x11.cloudflare-gateway.com @ [1xx.1xx.1x.1, 1x01:1x00:1x00::1xx1] # The SNI Cloudflare will use and the IP address for DNS-over-HTTPS (DoH) requests
(user set)  qlog logging: Enabled
(default)   Onboarding: true # If true, the user sees an onboarding prompt when they first install the WARP client
(network policy)    Exclude mode, with hosts/ips: # Split tunnel configuration
  1xx.1xx.1xx.1xx/25 (zoom)
...
  cname.user.net

(network policy)    Fallback domains: # Local domain fallback configuration
  intranet
...
  test
(not set)   Daemon Teams Auth: false
(network policy)    Disable Auto Fallback: false
(network policy)    Captive Portal: 180
(network policy)    Support URL: my-organizations-support-portal.com # Your organization's support portal or IT help desk
(user set)  Organization: Organization-Name
(network policy)    Allow Mode Switch: true  # The user is allowed to switch between WARP modes
(network policy)    Allow Updates: false # WARP client will not perform update checks
(network policy)    Allowed to Leave Org: true
(api defaults)  Known apple connectivity check IPs: xx.xxx.0.0/16;
(network policy)    LAN Access Settings: Allowed until reconnect on a /24 subnet # The maximum size of network that will be allowed when Access Lan is clicked.
(network policy)    Profile ID: 000000x1-00x1-1xx0-1xx1-11101x1axx11

Zkontrolujte význam polí v warp-settings.txt relevantní pro řešení potíží.

Odkazuje na aktuální stav přepínače připojení v GUI. V ukázkovém souboru je přepínač zapnutý.

Always On: true

Odkazuje na Přepínač uzamčení zařízení klienta což uživateli umožňuje použít přepínač připojení klienta a klienta odpojit. V ukázkovém souboru je hodnota false to znamená, že se uživatel může připojit nebo odpojit podle vlastního uvážení.

Switch Locked: false

Když Přepínač uzamčení zařízení klienta je povolen (true), uživatelé budou potřebovat override kód správce dočasně odpojit Cloudflare One Client na svém zařízení.

Odkazuje na režim klienta zařízení používá. V ukázkovém souboru je režim klienta WarpWithDnsOverHttps což je režim Traffic and DNS. Viz srovnávací tabulka režimů klienta tak, aby odpovídalo vašemu warp-settings.txt hodnotu souboru názvem režimu.

Mode: WarpWithDnsOverHttps

Odkazuje na vaše split tunel nastavení. V ukázkovém souboru běží Cloudflare One Client v režimu Exclude, což znamená, že tunelem WARP bude procházet veškerý provoz kromě provozu směřujícího na tyto hostitele a IP adresy. Hostitel cname.user.net a IP 1xx.1xx.1xx.1xx/25 jsou obě vyloučeny z tunelu WARP.

Exclude mode, with hosts/ips:
  1xx.1xx.1xx.1xx/25 (zoom)
...
  cname.user.net

Odkazuje na vaše Local Domain Fallback nastavení. V ukázkovém souboru Cloudflare One Client uvádí intranet jako doménu, která nebude odeslána ke zpracování do Gateway a místo toho bude odeslána přímo na nakonfigurované záložní servery.

(network policy)    Fallback domains:
  intranet
...

Odkazuje na Přepínač režimu nastavení. V ukázkovém souboru je přepínač režimu zapnutý (true) což znamená, že uživatel má možnost přepínat mezi Traffic and DNS mode režim a Gateway s DNS-over-HTTPS (DoH) režimu.

Allow Mode Switch: true

Odkazuje na Povolit aktualizace nastavení. V ukázkovém souboru je nastavení allow updates nastaveno na false to znamená, že uživatel nebude dostávat oznámení o aktualizaci, jakmile bude k dispozici nová verze Cloudflare One Client, a nebude moci klienta aktualizovat bez schválení administrátorem.

Allow Updates: false

Smí opustit organizaci

Odkazuje na Povolit zařízení opustit organizaci nastavení. V ukázkovém souboru je hodnota nastavena na true to znamená, že se uživatel může odhlásit z vaší organizace Zero Trust.

Allowed to Leave Org: true

Nastavení přístupu LAN

Odkazuje na Umožňuje uživatelům povolit vyloučení místní sítě nastavení. Po zapnutí umožňuje uživatelům dočasně přistupovat k místním zařízením (například tiskárnám) tím, že z tunelu WARP vyloučí zjištěnou místní podsíť. Tento příklad znamená, že přístup je povolen až do dalšího připojení klienta, a to pouze pro podsítě do velikosti /24.

LAN Access Settings: Allowed until reconnect on a /24 subnet

ID profilu

Odkazuje na Profil zařízení používá zařízení. V tomto příkladu je ID 000000x1-00x1-1xx0-1xx1-11101x1axx11.

Profile ID: 000000x1-00x1-1xx0-1xx1-11101x1axx11

Chcete-li ověřit, že je Cloudflare One Client nakonfigurován a funguje správně, zkontrolujte následující:

1. Je nesprávné ID profilu uplatněná na zařízení?
2. Je nesprávná konfigurace split tunelu aktivní na zařízení?

ID profilu je jedinečný identifikátor přiřazený každému profil zařízení v dashboardu Cloudflare, které slouží k určení, jaká konfigurační nastavení se na zařízení použijí.

Chcete-li zkontrolovat, zda je použitý profil zařízení skutečně zamýšleným profilem zařízení:

1. V Cloudflare dashboard ↗, přejděte na Zero Trust > Tým a zdroje > Zařízení > Profily zařízení > Obecné profily.
2. Najděte a vyberte profil zařízení určený pro dané zařízení.
3. V části Podrobnosti profilu, porovnejte zobrazené ID profilu hodnotou Profile ID v warp-settings.txt .

Pokud má vaše organizace na dashboardu Cloudflare definováno více profilů zařízení, může být zařízení přiřazeno k neočekávanému profilu z těchto důvodů:

• Jak priorita profilu je nakonfigurován.
• Spravovaná síť problémy (pokud používáte spravovanou síť.)
• Skupina uživatelů neshoda.
• Nedostatek pravidla přesné shody.

Cloudflare One Client vyhodnocuje profily zařízení dynamicky na základě hierarchie. Když se zařízení připojí, klient zkontroluje profily shora dolů v pořadí, v jakém se zobrazují v dashboardu. Klient se řídí principem první shody: jakmile zařízení odpovídá některému profilu, klient ukončí vyhodnocování a žádný další profil už rozhodnutí nemůže přepsat.

Výchozí profil je vždy na konci seznamu. Použije se pouze tehdy, pokud zařízení nesplňuje kritéria žádného profilu uvedeného výše. Pokud jako výchozí nastavíte jiný vlastní profil, veškerá nastavení se zkopírují do Výchozí profil.

Správci mohou vytvořit více profilů a uplatnit tak různá nastavení podle konkrétních kritérií, jako je identita uživatele, poloha nebo operační systém. Pochopení tohoto vyhodnocování shora dolů je klíčové pro to, aby se na zařízení uplatnily správné zásady.

A spravovaná síť je síťová lokalita, kterou definujete pomocí TLS endpointu, například fyzická kancelář. Cloudflare One Client podle tohoto TLS endpointu určuje svou polohu a použije odpovídající profil zařízení.

Pokud je spravovaná síť nesprávně nakonfigurována nebo je TLS endpoint nedostupný, zařízení se může přepnout na nezamýšlený profil.

Při řešení problémů s managed network u Cloudflare One Client:

1. Ověřte, že je endpoint dostupný.

   Cloudflare One Client se připojuje k TLS endpointu, aby identifikoval síť. Pokud je endpoint nedostupný nebo nefunkční, Cloudflare One Client síť nerozpozná a použije nesprávný profil.

   Chcete-li otestovat konektivitu a získat otisk SHA-256 vzdáleného serveru:

   openssl s_client -connect <private-server-IP>:443 < /dev/null 2> /dev/null | openssl x509 -noout -fingerprint -sha256 | tr -d :

   Výstup bude vypadat přibližně takto:

   SHA256 Fingerprint=DD4F4806C57A5BBAF1AA5B080F0541DA75DB468D0A1FE731310149500CCD8662

   Pokud je endpoint nedostupný, obdržíte Could not find certificate from <stdin> odpověď.

   Pokud jste obdrželi vrácený otisk SHA-256:

   1. Přihlaste se do Cloudflare dashboard ↗ a přejděte na Zero Trust > Tým a zdroje > Zařízení > Profily zařízení.
   2. Přejděte na Spravované sítě > Úprava.
   3. Porovnejte hodnotu TLS Cert SHA-256 v dashboardu s otiskem vráceným v terminálu a ověřte, že se shodují.

2. Pro jednu lokalitu použijte jeden profil.

   Kvůli zjednodušení správy a předcházení chybám nevytvářejte pro stejnou lokalitu více profilů spravovaných sítí. Máte-li například v jedné pobočce více endpointů TLS, propojte je všechny s jediným profilem zařízení. Sníží se tak riziko, že zařízení kvůli chybě v konfiguraci odpovídá nezamýšlenému profilu.

Pokud má uživatel potíže s profilem zařízení, může to být tím, že není součástí správné uživatelské skupiny. To se může stát, pokud organizace nepoužívá SCIM pro automatické aktualizace poskytovatele identity (IdP).

Chcete-li zkontrolovat, zda uživatel patří do zamýšlené skupiny:

1. Přihlaste se do Cloudflare dashboard ↗ a přejděte na Zero Trust > Tým a zdroje > Zařízení > Vaše zařízení.
2. Vyberte uživatele.
3. V části User Registry Identity, vyberte jméno uživatele.
4. Get-identity endpoint uvádí všechny skupiny, do kterých uživatel patří.

Pokud byl uživatel nedávno přidán do skupiny, bude muset aktualizovat své členství ve skupině v Cloudflare Zero Trust. To lze provést přihlášením na endpoint reauthenticate.

Chcete-li ručně obnovit relaci Cloudflare Access a aktualizovat informace o skupině od poskytovatele identity (IdP), přejděte v prohlížeči na následující adresu URL a vyplňte své název týmu:

https://<your-team-name>.cloudflareaccess.com/cdn-cgi/access/refresh-identity

Opětovné ověření resetuje vaše doba trvání relace a načte nejnovější informace o skupinách z IdP organizace.

Chcete-li upravit pravidla shody profilu zařízení, budete muset profil zařízení upravit. Úprava profilu zařízení:

1. V Cloudflare dashboard ↗, přejděte na Zero Trust > Tým a zdroje > Zařízení > Profily zařízení > Obecné profily.

2. Najděte profil zařízení chcete aktualizovat, a vyberte Konfigurovat.

3. Použijte selektory a přidejte nebo upravte pravidla shody a upravte nastavení klienta zařízení pro tento profil podle potřeby.

4. Vyberte Uložit profil.

Šíření nově aktualizovaných nastavení do zařízení může trvat až 10 minut.

Split Tunnels lze nakonfigurovat tak, aby z provozu přes Cloudflare One Client (dříve WARP) vylučovaly, nebo do něj naopak zahrnovaly určité IP adresy či domény. Tato funkce se běžně používá ke spuštění Cloudflare One Client souběžně s VPN (v režimu Exclude), nebo k zajištění přístupu ke konkrétní privátní síti (v režimu Include).

Protože Split Tunnels určuje, na co má Gateway viditelnost na síťové úrovni, doporučujeme všechny změny nejprve otestovat, než je nasadíte koncovým uživatelům.

Nesprávně nakonfigurovaný split tunel může způsobit problémy s připojením.

Pokud například nastavíte režim na Exclude IPs and domains a omylem vyloučíte IP adresu, kterou aplikace potřebuje, může taková aplikace přestat správně fungovat. Podobně v režimu Include IPs and domains platí, že pokud zapomenete zahrnout potřebnou IP adresu nebo doménu, provoz obejde Cloudflare One Client a vy přijdete o přístup k funkcím zabezpečení Zero Trust.

Po stažení diagnostických protokolů klienta zkontrolujte, že vaše konfigurace funguje podle očekávání:

1. Otevřete warp-settings.txt soubor a vyhledejte Exclude mode, with hosts/ips: nebo Include mode, with hosts/ips:.

2. Přihlaste se do Cloudflare dashboard ↗ a přejděte na Zero Trust > Tým a zdroje > Zařízení > Profily zařízení > Obecné profily.

3. Najděte a vyberte profil zařízení určený pro dané zařízení.

4. Vyberte Úprava.

5. Najděte Split Tunnels a zapamatujte si vybraný režim > vyberte Správa.

6. Porovnejte IP adresy/hostitele nakonfigurované v Cloudflare dashboardu s IP adresami/hostiteli uvedenými v warp-settings.txt.

Pokud konfigurace rozděleného tunelu v dashboardu neodpovídá vaší warp-settings.txt konfiguraci souboru možná budete muset Cloudflare One Client donutit, aby aktualizovat jeho nastavení.

Pokud konfigurace split tunelu v warp-settings.txt neodpovídá dashboardu, můžete Cloudflare One Client vynutit, aby si vyžádal nejnovější nastavení.

Toho lze dosáhnout tak, že koncového uživatele požádáte, aby odpojit a znovu připojit klienta, nebo resetovat své šifrovací klíče.

Obě metody aktualizují klienta na nejnovější konfiguraci.

Možnost A: Odpojení a opětovné připojení klienta

Klient si při opětovném připojení načte nová nastavení.

Možnost B: Resetování šifrovacích klíčů

Chcete-li resetovat šifrovací klíče na počítači koncového uživatele:

Resetování šifrovacích klíčů vynutí, aby klient znovu navázal tunel a načetl nejnovější konfiguraci.

Aby bylo řešení problémů co nejrychlejší, uveďte v žádosti o podporu co nejpodrobnější informace. Čím více souvislostí poskytnete, tím rychleji lze problém identifikovat a vyřešit.

Aby bylo zajištěno efektivní přeložení, když kontaktování podpory, uveďte ve svém ticketu co nejvíce relevantních podrobností:

• Kontext: Stručně popište scénář nebo případ použití (například kde uživatel byl a o co se pokoušel).

• Kroky pro reprodukci: Popište kroky, kterými jste problém během řešení potíží reprodukovali.

• Časová razítka: buďte konkrétní a uveďte přesný čas a časové pásmo, kdy problém nastal.

• Pokusy o řešení potíží: popište kroky nebo změny, které jste už k vyřešení problému vyzkoušeli.

• Protokoly diagnostiky klienta: Přiložte diagnostiku klienta, kterou jste stáhli z dashboardu nebo přes CLI.

Další informace najdete v úplné dokumentaci Cloudflare One Client.