← Cloudflare One / cloudflare-one / team-and-resources / devices / cloudflare-one-client / configure

Управляемые сети

Cloudflare One Client (ранее WARP) позволяет выборочно применять определённые профили устройств и настройки клиента на устройстве при подключении устройства к известному расположению сети, например к офису. Чтобы определить, к какой сети подключено устройство, Cloudflare One Client подключается к конечной точке TLS, которую вы разместили в этой сети, и проверяет её сертификат. Если сертификат совпадает, устройство считается находящимся в управляемой сети и получает соответствующий профиль устройства (если такой настроен для этой сети).

На этой странице вы узнаете, как:

• Создайте конечную точку TLS в своей доверенной сети.
• Настройте конечную точку TLS в Zero Trust для создания управляемой сети.
• Примените соответствующий профиль устройства, когда Cloudflare One Client обнаруживает, что оно находится в вашей управляемой сети.

• Cloudflare One Client выполняет поиск управляемых сетей при изменении маршрута по умолчанию операционной системы, изменении SSID активного подключения Wi-Fi или изменении DNS-серверов интерфейса по умолчанию. Чтобы минимизировать влияние на производительность, используйте одну и ту же конечную точку TLS для нескольких местоположений, если только для каждого из них не требуется отдельный профиль настроек.
• Убедитесь, что устройство может одновременно иметь доступ только к одной управляемой сети. Если настроено и доступно несколько управляемых сетей, определить, какой профиль настроек получит устройство, будет невозможно.

Когда вы настраиваете управляемую сеть, Cloudflare One Client использует конечную точку TLS, чтобы определить, находится ли устройство в этой сети.

Время применения правильного профиля устройства зависит от того, насколько быстро отвечает конечная точка TLS.

Если для конечной точки TLS истекает время ожидания через 5 секунд, Cloudflare One Client определяет, что устройство не находится в управляемой сети, и применяет профиль устройства по умолчанию. Cloudflare One Client повторяет попытку обнаружения только в случае ошибки, отличной от тайм-аута. При тайм-ауте происходит переход к профилю устройства по умолчанию без дальнейших повторных попыток.

Конечная точка TLS представляет собой узел в вашей сети, который предоставляет сертификат TLS. Она действует как маяк местоположения сети: когда устройство подключается к сети, Cloudflare One Client на этом устройстве обнаруживает конечную точку TLS и проверяет сертификат TLS по отпечатку SHA-256 (если он указан) либо по локальному хранилищу сертификатов, чтобы убедиться, что сертификат подписан публичным центром сертификации.

Сертификат TLS может размещаться на любом устройстве вашей сети. Однако конечная точка должна быть недоступна пользователям за пределами данного сетевого расположения. Cloudflare One Client автоматически исключает конечную точку управляемой сети из всех профилей устройств, чтобы пользователи не могли подключиться к ней через Cloudflare Tunnel. Мы рекомендуем выбрать узел, который физически находится в офисе и к которому удаленным пользователям не нужен доступ, например принтер.

Если в вашей сети ещё нет конечной точки TLS, вы можете настроить её следующим образом:

1. Создайте TLS-сертификат:

   openssl req -x509 -newkey rsa:4096 -sha256 -days 3650 -nodes -keyout key.pem -out cert.pem -subj "/CN=example.com" -addext "subjectAltName=DNS:example.com"

   Команда выведет сертификат в формате PEM и его закрытый ключ. Храните эти файлы в надежном месте.

2. Настройте HTTPS-сервер в своей сети для использования этого сертификата и ключа. В примере ниже показано, как раздавать TLS-сертификат из контейнера nginx в Docker:

   a. Создайте файл конфигурации nginx с именем nginx.conf:

   nginx.conf

   events {
   worker_connections  1024;
   }
   
   http {
   		server {
   			listen              443 ssl;
   			ssl_certificate     /certs/cert.pem;
   			ssl_certificate_key /certs/key.pem;
   			location / {
   						return 200;
   			}
   		}
   }

   При необходимости замените /certs/cert.pem и /certs/key.pem с расположением сертификата и ключа.

   b. Добавьте образ nginx в файл Docker Compose:

   docker-compose.yml

   services:
   	nginx:
   		image: nginx:latest
   		ports:
   			- 3333:443
   		volumes:
   			- ./nginx.conf:/etc/nginx/nginx.conf:ro
   			- ./certs:/certs:ro

   При необходимости замените ./nginx.conf и ./certs с расположением файла конфигурации nginx и сертификата.

   c. Запустите сервер:

   docker compose up -d

3. Чтобы проверить, что TLS-сервер работает, выполните команду curl с устройства конечного пользователя:

   curl --verbose --insecure https://<private-server-IP>:3333/

   Нужно передать --insecure опцию, поскольку мы используем самоподписанный сертификат. Если устройство подключено к сети, запрос должен вернуть 200 код состояния.

Cloudflare One Client устанавливает TLS-соединение с использованием Rustls ↗. Убедитесь, что ваша конечная точка TLS принимает одно из наборы шифров, поддерживаемые Rustls ↗.

Отпечаток SHA-256 требуется только если ваша конечная точка TLS использует самоподписанный сертификат.

openssl x509 -noout -fingerprint -sha256 -inform pem -in cert.pem | tr -d :

SHA256 Fingerprint=DD4F4806C57A5BBAF1AA5B080F0541DA75DB468D0A1FE731310149500CCD8662

openssl s_client -connect <private-server-IP>:443 < /dev/null 2> /dev/null | openssl x509 -noout -fingerprint -sha256 | tr -d :

SHA256 Fingerprint=DD4F4806C57A5BBAF1AA5B080F0541DA75DB468D0A1FE731310149500CCD8662

Cloudflare One Client автоматически исключит конечную точку TLS из всех профилей устройств, если она указана как приватный IP-адрес. Это исключение не позволяет удалённым пользователям обращаться к этой конечной точке через туннель WARP на любом порту. Если конечная точка TLS указана в виде имени хоста, а не приватного IP-адреса, Cloudflare One Client не будет исключать её автоматически.

resource "cloudflare_zero_trust_device_custom_profile" "office" {
	account_id            = var.cloudflare_account_id
	name                  = "Office"
	description           = "Devices connected to the office network"
	precedence            = 1
	service_mode_v2       = {mode = "warp"}

	match = trimspace(replace(<<-EOT
		network == "${cloudflare_zero_trust_device_managed_networks.office.name}"
	EOT
	, "\n", " "))
}

Управляемые сети теперь включены. Каждый раз, когда устройство в вашей организации подключается к сети (например, при выходе устройства из спящего режима или смене сети Wi-Fi), Cloudflare One Client определяет местоположение сети и применяет соответствующий профиль настроек.

Чтобы проверить, определяет ли Cloudflare One Client местоположение сети:

1. Подключите Cloudflare One Client.
2. Отключитесь от сети и подключитесь к ней снова.
3. Откройте терминал и выполните warp-cli debug alternate-network.

• Профили устройств: Как создавать профили устройств, применяемые через управляемые сети, и управлять ими.
• Настройки клиента устройства: Определяет, как ведёт себя Cloudflare One Client и что могут делать пользователи.
• Руководство по устранению неполадок Cloudflare One Client: Устраняйте распространённые неполадки Cloudflare One Client.