← Все продукты

Zero Trust Access (ZTNA)

Cloudflare Access ставит перед вашими внутренними приложениями слой проверки пользователей на границе сети: каждый запрос аутентифицируется и авторизуется по политике. Это замена традиционному VPN с его доступом к сети по принципу «всё или ничего».

Обзор

У классической модели VPN есть структурный изъян: подключившийся пользователь (или злоумышленник с его украденными учётными данными) оказывается внутри сети и может дотянуться до куда большего, чем то единственное приложение, которое ему было нужно. VPN-концентраторы к тому же становятся узким местом по производительности и частой целью атак: критические уязвимости VPN эксплуатируются в течение считанных дней после раскрытия.

Zero Trust Network Access (ZTNA) переворачивает модель: расположение в сети не даёт доверия никому. Cloudflare Access проверяет каждый запрос к внутреннему приложению по политикам, которые учитывают пользователя, устройство и контекст, и открывает доступ только к этому приложению. Сами приложения не выставляются в интернет: они подключаются к Cloudflare исходящим соединением через лёгкий туннель.

Ключевые возможности

• Политики доступа на уровне приложения: пользователь, группа, страна, состояние устройства, способ многофакторной аутентификации
• Интеграция с вашими провайдерами идентификации (Microsoft Entra ID, Google Workspace, Okta, любой SAML/OIDC), при необходимости с несколькими одновременно
• Cloudflare Tunnel подключает приложения исходящим соединением: никаких входящих портов на файрволе и публичных IP
• Поддержка веб-приложений, SSH, RDP, VNC и произвольных TCP/UDP-сервисов (в браузере или через клиент WARP)
• Сервисные токены и mutual TLS для автоматизированного, «нечеловеческого» доступа (CI/CD, мониторинг, межсервисное взаимодействие)
• Проверки состояния устройства (шифрование диска, версия ОС, агент защиты конечных точек) как входные данные политики
• Бесклиентский доступ через браузер для подрядчиков и партнёров без установки какого-либо ПО
• Полный журнал аудита каждой аутентификации и каждого запроса с выгрузкой в ваш SIEM

Как это работает

Вы подключаете внутреннее приложение к Cloudflare, запуская рядом с ним cloudflared (Cloudflare Tunnel). Это небольшой демон, открывающий исходящее шифрованное соединение к границе сети. Приложение получает имя хоста на вашем домене, но это имя резолвится в Cloudflare, а не в вашу инфраструктуру, и на вашем файрволе не нужно ни одного входящего правила.

Когда пользователь открывает приложение, Cloudflare перенаправляет его на вход через ваш провайдер идентификации, проверяет запрос по вашей политике (кто это, в какой он группе, откуда подключается, проходит ли его устройство проверки состояния) и только после этого пропускает трафик через туннель. Сессия привязана к короткоживущему подписанному токену, который проверяется при каждом запросе.

Поскольку политика применяется в 300+ точках на границе сети, а не в одном VPN-концентраторе, доступ через Access обычно работает быстрее, чем через VPN, который он заменяет. При этом нет никакого устройства, которое нужно патчить, масштабировать и резервировать.

Тарифные планы и лицензирование

Access входит в платформу Cloudflare One / Zero Trust и тарифицируется по пользователям, а не по зонам. Бесплатный уровень покрывает до 50 пользователей с основной функциональностью; этого хватает для полноценного пилота в рабочей среде. Платные планы Zero Trust добавляют больше пользователей, более длительное хранение логов и расширенные функции; контракты Enterprise добавляют SLA и пакетные опции.

Внедрение с Integrity

Integrity, сертифицированный партнёр Cloudflare, поставляет этот продукт вместе с бесплатным пилотом: вы увидите результат на собственном трафике до того, как возьмёте на себя какие-либо обязательства.

Готовы начать? Свяжитесь с нами, чтобы договориться о бесплатном пилоте.

Частые вопросы

Дополнительные материалы

• Документация Cloudflare Access