Zero Trust Access (ZTNA)
Cloudflare Access staví vaše interní aplikace za vrstvu na hraně sítě, která zná identitu uživatele, a každý požadavek autentizuje a autorizuje podle politiky. Nahrazuje tak tradiční VPN i její přístup k síti typu všechno, nebo nic.
Přehled
Klasický model VPN má strukturální vadu: jakmile se uživatel (nebo útočník s jeho ukradenými přihlašovacími údaji) připojí, je uvnitř sítě a dosáhne na mnohem víc než jen na tu jednu aplikaci, kterou potřeboval. VPN koncentrátory jsou navíc výkonnostním úzkým hrdlem a oblíbeným cílem útoků. Kritické zranitelnosti VPN se zneužívají během několika dní od zveřejnění.
Zero Trust Network Access (ZTNA) tento model obrací: nikomu se nevěří jen na základě polohy v síti. Cloudflare Access kontroluje každý požadavek na interní aplikaci podle politik identity, zařízení a kontextu a přístup uděluje jen k této jedné aplikaci. Samotné aplikace nejsou vystavené do internetu, ke Cloudflare se připojují odchozím směrem přes odlehčený tunel.
Klíčové funkce
- Přístupové politiky pro jednotlivé aplikace podle identity, skupiny, země, stavu zařízení a metody vícefaktorového ověření
- Integrace s vašimi stávajícími poskytovateli identity (Microsoft Entra ID, Google Workspace, Okta, obecné SAML/OIDC), v případě potřeby i s několika najednou
- Cloudflare Tunnel připojuje aplikace odchozím směrem, takže nepotřebujete příchozí porty na firewallu ani veřejné IP adresy
- Podpora webových aplikací, SSH, RDP, VNC i libovolných TCP/UDP služeb (renderovaných v prohlížeči nebo přes klienta WARP)
- Service tokeny a mutual TLS pro strojový přístup (CI/CD, monitoring, service-to-service)
- Kontroly stavu zařízení (šifrování disku, verze OS, agent endpoint security) jako vstupy politik
- Bezklientský přístup přes prohlížeč pro externisty a partnery, bez instalace softwaru
- Úplné auditní logy každé autentizace a požadavku, exportovatelné do vašeho SIEM
Jak to funguje
Interní aplikaci připojíte ke Cloudflare tak, že vedle ní spustíte cloudflared (Cloudflare Tunnel), malého démona, který otevře odchozí šifrované spojení k hraně sítě. Aplikace dostane hostname ve vaší doméně, který se ale překládá na Cloudflare, ne na vaši infrastrukturu. Váš firewall proto nepotřebuje žádná příchozí pravidla.
Když uživatel aplikaci navštíví, Cloudflare jej přesměruje k přihlášení u vašeho poskytovatele identity, vyhodnotí vaši politiku (kdo to je, v jaké je skupině, kde se nachází, zda jeho zařízení projde kontrolami stavu) a teprve poté provoz předá tunelem dál. Relace je vázaná na krátkodobý podepsaný token, který se ověřuje při každém požadavku.
Vynucování probíhá ve více než 300 edge lokalitách místo jednoho VPN koncentrátoru, takže přístup bývá rychlejší než přes VPN, kterou nahrazuje. Odpadá i appliance, kterou by bylo potřeba záplatovat, škálovat a řešit pro ni failover.
Tarify a licencování
Access je součástí platformy Cloudflare One / Zero Trust a cena se odvíjí od počtu uživatelů, ne od zón. Bezplatná úroveň pokrývá až 50 uživatelů se základními funkcemi. Placené Zero Trust plány přidávají vyšší počty uživatelů, delší uchovávání logů a pokročilé funkce, smlouvy Enterprise navíc SLA a možnosti balíčků.
Nasazení s Integrity
Integrity je certifikovaný partner Cloudflare a tento produkt dodává včetně bezplatného pilotního provozu. Výsledky tak uvidíte na vlastním provozu dřív, než se k čemukoli zavážete.
Chcete začít? Kontaktujte nás a domluvíme bezplatný pilotní provoz.
Časté dotazy
Musí si uživatelé něco instalovat?
U webových aplikací ne, stačí prohlížeč. To se hodí hlavně pro externisty. Klient WARP je potřeba jen pro jiné než webové protokoly (libovolné TCP/UDP) nebo když chcete ze spravovaných zařízení získávat signály o jejich stavu.
Můžeme si během přechodu ponechat VPN?
Ano, a je to rozumné. Access se nasazuje aplikaci po aplikaci, takže VPN obvykle zůstává v provozu, dokud se aplikace postupně nepřestěhují, a vypíná se až na konci.
A co starší aplikace, které neumějí SSO?
To je jeden z hlavních případů užití: Access přidá vrstvu SSO a MFA před aplikaci, která o ní vůbec nemusí vědět. I stará intranetová aplikace s basic auth tak dostane moderní vynucování identity na hraně sítě.
