如何利用 Cloudflare Zero Trust 构建零信任安全：图文教程 – wiki基地

作者： /

构建企业安全新基石：Cloudflare Zero Trust 零信任安全体系深度教程

在当今复杂的网络环境中，传统的基于网络边界的安全模型已难以应对日益增长的威胁。随着远程办公、移动设备普及以及云应用的广泛使用，企业数据和应用不再局限于内部网络，传统防火墙和 VPN 的“城堡与护 moat”模式正逐渐失效。此时，“零信任”（Zero Trust）安全模型应运而生，其核心理念是“永不信任，始终验证”（Never Trust, Always Verify）。

Cloudflare Zero Trust 作为 Cloudflare 全球网络之上的一套全面的安全解决方案，正是实现零信任理念的强大工具。它将身份、设备、网络和应用等多个维度纳入统一的安全策略管理，无论用户身处何处、使用何种设备、访问何种应用，都需要经过严格的身份验证和授权检查。

本文将为您提供一个详细的图文教程（通过文字描述模拟图文界面），手把手教您如何利用 Cloudflare Zero Trust 构建一个现代化的零信任安全体系。我们将涵盖从基础设置到核心组件的配置，帮助您理解并实践零信任的安全转型。

第一章：零信任模型概述与 Cloudflare Zero Trust 的核心优势

1.1 什么是零信任？

零信任是一种战略性的安全方法，其核心原则是：默认情况下，不信任任何用户、设备或网络流量，即使它们已经位于“内部网络”中。所有访问请求都必须经过身份验证、授权和持续的安全检查。

零信任模型通常围绕以下几个关键要素构建：

  • 身份验证与授权： 验证用户和设备的身份，并根据最小权限原则授予精确的访问权限。
  • 设备信任： 评估设备的安全性状态（如操作系统版本、补毒软件、磁盘加密等）。
  • 细粒度访问控制： 基于用户身份、设备状态、应用类型、上下文信息（时间、地点等）实施动态的、策略驱动的访问控制。
  • 持续监控与验证： 对所有访问活动进行持续的监控、日志记录和分析，及时发现异常行为。
  • 微分段： 将网络和应用划分为更小的、隔离的部分，限制横向移动。

1.2 Cloudflare Zero Trust 的优势

Cloudflare Zero Trust 利用其遍布全球的数据中心网络，提供了以下独特优势来实现零信任：

  • 全球高性能网络： 所有流量通过 Cloudflare 全球网络，提供快速、可靠的访问体验，同时进行安全检查。
  • 统一平台： 集成了身份验证、应用访问控制、网络过滤、DLP、浏览器隔离、设备管理等多种安全功能于一个平台。
  • 无需传统 VPN： 通过基于身份的应用访问和加密隧道替代笨重的传统 VPN，简化用户体验和管理。
  • 扩展性强： 轻松扩展以支持不断增长的用户、设备和应用数量。
  • 简化的策略管理： 通过一个统一的仪表盘管理所有安全策略。
  • 丰富的集成能力： 无缝集成主流身份提供商（IdP）和其他安全工具。

Cloudflare Zero Trust 的核心组件包括：

  • Cloudflare Access： 用于保护应用（Web、SSH、RDP、SaaS）的访问，基于用户身份和策略进行认证和授权。
  • Cloudflare Gateway： 用于检查和过滤用户设备的网络流量（DNS、HTTP/S），提供恶意软件防护、内容过滤和数据防泄露（DLP）。
  • Cloudflare WARP： 部署在用户设备上的客户端代理，将设备流量安全地引导至 Cloudflare 全球网络进行策略检查和应用访问。
  • Identity Providers (IdP) Integration： 与 Okta, Azure AD, Google Workspace 等身份源集成，实现统一身份验证。
  • Device Posture Checks： 检查设备的健康状况和合规性。

接下来，我们将一步步开始构建您的 Cloudflare Zero Trust 环境。

第二章：Cloudflare Zero Trust 账户设置与基础配置

2.1 激活 Cloudflare Zero Trust 仪表盘

首先，您需要一个 Cloudflare 账户。如果您还没有，请访问 cloudflare.com 注册。Cloudflare 提供免费的 Zero Trust 计划，对于小团队或测试环境来说是一个很好的起点。

  1. 登录您的 Cloudflare 账户。
  2. 在账户首页，找到并点击左侧导航栏的 “Zero Trust” 选项。
  3. 如果这是您第一次访问，系统可能会引导您激活 Zero Trust 仪表盘。点击相应的按钮进行激活。

  4. 激活后，您会进入 Cloudflare Zero Trust 的独立仪表盘，界面风格与 Cloudflare 主仪表盘略有不同。

  5. 图示模拟： 登录后，左侧导航栏会有 Zones, Analytics, DNS 等选项，下方或右侧区域会显示一个醒目的 “Zero Trust” 入口或按钮，点击进入。第一次进入 Zero Trust 可能会有一个欢迎页面和激活按钮。

2.2 了解 Zero Trust 仪表盘界面

Zero Trust 仪表盘是您管理所有零信任策略和配置的中心。

主要的导航项通常包括：

  • Overview (概览): 显示当前系统的健康状态、活跃用户、流量概览等。
  • Access: 配置应用访问策略。
  • Gateway: 配置网络流量过滤策略（DNS, HTTP）。
  • Logs: 查看详细的流量日志和审计日志。
  • Settings: 进行全局设置，包括身份提供商、WARP 客户端配置、设备策略、网络设置等。

  • My Team: 管理用户和服务令牌。

  • 图示模拟： Zero Trust 仪表盘左侧是主要导航栏，上面列出 Overview, Access, Gateway, Logs, Settings 等选项。中心区域显示选定模块的详细信息或配置界面。

2.3 添加并验证您的域名（如果保护 Web 应用）

如果您计划使用 Cloudflare Access 保护您自己的 Web 应用（而不是 SaaS 应用），您需要将该应用所在的域名添加到 Cloudflare 并进行验证（如果尚未添加）。

  1. 回到 Cloudflare 主仪表盘 (dash.cloudflare.com)。
  2. 点击 “Add a Site” 按钮，输入您的域名，选择合适的计划（Free 计划通常包含基本的 Zero Trust 功能）。
  3. 按照指示更新您的域名注册商处的 DNS 服务器记录，指向 Cloudflare 提供的 DNS 服务器。域名验证完成后，域名状态会变为 Active。

  4. 确保您的 Web 应用的 DNS 记录（通常是 A 记录或 CNAME 记录）已在 Cloudflare DNS 设置中配置正确，并且橙色云朵（代理状态）已开启（如果需要通过 Cloudflare CDN/WAF 等代理）。

  5. 图示模拟： Cloudflare 主仪表盘，Add a Site 按钮位于页面顶部或侧边。添加域名后，会有引导页面显示需要更新的 DNS 服务器名称。DNS 记录管理页面显示 A, CNAME, MX 等记录列表，旁边有橙色或灰色云朵图标。

第三章：配置核心组件 – Cloudflare Access

Cloudflare Access 是零信任模型的基石之一，它负责根据身份和策略控制用户对应用的访问。

3.1 理解 Access 工作原理

当用户尝试访问受 Cloudflare Access 保护的应用时：

  1. 用户请求到达 Cloudflare 全球网络。
  2. Cloudflare 检测到该应用受 Access 保护。
  3. 如果用户尚未认证，Cloudflare 将用户重定向到预配置的身份提供商登录页面。
  4. 用户成功登录后，身份提供商将用户身份信息（如邮箱、群组、安全断言等）返回给 Cloudflare。
  5. Cloudflare Access 根据预定义的策略，结合用户身份、设备状态、IP 地址等信息，判断用户是否被允许访问该应用。
  6. 如果允许，用户请求将被转发到后端应用；如果拒绝，用户将收到拒绝页面。

3.2 添加您的第一个应用并配置 Access 策略

我们将演示如何保护一个自托管的 Web 应用。

  1. 回到 Cloudflare Zero Trust 仪表盘。
  2. 在左侧导航栏中，选择 “Access” -> “Applications”。

  3. 点击 “Add an application” 按钮。

  4. 图示模拟： Access 菜单下的 Applications 页面，中央区域显示当前已添加的应用列表（初始为空），右上角或中央有 “Add an application” 的蓝色按钮。

  5. 在弹出的应用类型选择界面，选择 “Self-hosted” (自托管)。

  6. 图示模拟： 一个弹出框，显示不同类型的应用图标和名称：SaaS, Self-hosted, VCL/API, SSH, RDP。点击 Self-hosted 图标。

  7. 配置您的应用详细信息：

    • Application Name: 为您的应用取一个名字，例如 “Internal Wiki”。
    • Session Duration: 设置用户会话有效期，例如 24 小时。
    • Subdomain: 如果您希望通过 Cloudflare 的子域名访问该应用（例如 internal-wiki.yourcompany.cloudflareaccess.com），在此填写。这适用于后端应用不对互联网直接暴露的情况。如果您希望通过您自己的域名访问（例如 wiki.yourcompany.com），请留空此项，但确保您的域名已在 Cloudflare 中激活并代理。
    • Domain: 填写您应用使用的完整域名，例如 wiki.yourcompany.com。
    • Application type: 保持 Web。

  8. 图示模拟： 应用配置表单，包含 Name, Session Duration, Subdomain, Domain 等输入框和下拉选项。Domain 处需要输入您的应用域名。

  9. 配置 Access Policies (访问策略)：这是定义谁可以访问以及在什么条件下可以访问的核心步骤。

    • 点击 “Configure policies” 下的 “Add a Policy” 按钮。
    • Policy Name: 为策略命名，例如 “Allow Internal Users”。

    • Action: 选择策略动作。常见的有：

      • Allow: 允许访问。
      • Block: 阻止访问。
      • Bypass: 跳过 Access 认证直接访问（通常用于公共页面）。
      • Service Auth: 允许服务到服务的访问（使用服务令牌）。
      • Deteriorate: 降低访问权限（例如，阻止上传）。
      • Isolate: 通过 Cloudflare Browser Isolation 访问。
        选择 “Allow”。

    • Rules (规则): 定义哪些用户或设备符合此策略。一个策略可以包含一个或多个规则组，规则组内部是 AND 关系（所有条件都满足），不同规则组之间是 OR 关系（满足任意一组规则）。每个规则组包含：

      • Include (包含): 必须满足的条件。
      • Require (要求): 必须满足的额外条件。
      • Exclude (排除): 必须 不 满足的条件。

    • 点击 “Add a rule”。在 Include 部分，添加一个条件。选择 “Emails”，Operator (操作符) 选择 “in”，输入您的企业邮箱域名，例如 “@yourcompany.com”。这将允许所有使用您企业邮箱登录的用户。

    • 您还可以添加其他条件，例如：

      • Groups: 基于您的 IdP 中的用户组（例如 “IT Department”）。
      • IP Ranges: 限制只有来自特定 IP 段的用户可以访问（不推荐作为唯一的控制手段，因为它违背零信任理念，但可以作为辅助）。
      • Countries: 限制或允许来自特定国家的用户。
      • Device Posture: 要求设备满足特定的安全姿态（稍后配置）。
      • Identity Provider: 限制使用特定的 IdP 登录。

    • 在 Require 部分，您可以添加必须同时满足的额外条件。例如，您可以 Require “Device Posture” is “Compliant” (要求设备姿态合规)。

    • 在 Exclude 部分，您可以排除特定用户或条件。例如，Exclude “Emails” is “equal to” “[email protected]”。

    • 策略优先级： 策略按列表顺序从上到下评估。一旦匹配到一条策略，评估停止。因此，更具体的策略（例如 Block 特定用户）应该放在更宽泛的策略（例如 Allow 整个部门）之上。您可以通过拖拽来调整策略顺序。

  10. 图示模拟： 策略配置界面，顶部是策略名称和 Action 下拉框。下方是 Include, Require, Exclude 区域，每个区域下方有 “Add a rule” 按钮。点击后弹出条件选择器，列出 Emails, Groups, IPs, Device Posture 等选项。右侧有策略列表，可以通过拖拽调整顺序。

  11. 配置 Authentication (身份验证)：选择允许用户使用哪些身份提供商登录。点击 “Add login method”，选择您已经或计划集成的 IdP（例如 Google Workspace, Azure AD, Okta）。稍后将在 Settings 中配置 IdP 详情。

  12. 图示模拟： Authentication 区域，显示已添加的登录方法列表，有 “Add login method” 按钮，点击后弹出支持的 IdP 列表。

  13. 点击页面底部的 “Save application” 按钮保存您的配置。

3.3 配置 SaaS 应用访问

对于流行的 SaaS 应用（如 Office 365, Slack, Workday 等），Cloudflare Access 提供更简便的集成方式。

  1. 重复步骤 3.2 中的 1-3，但在应用类型选择界面选择 “SaaS”。
  2. 选择您想要保护的 SaaS 应用（Cloudflare 提供了许多预设模板）。
  3. 按照指引配置 SaaS 应用与 Cloudflare Access 的集成（通常需要在 SaaS 应用的管理后台进行一些配置，例如配置 SAML 或 OIDC）。Cloudflare 提供了详细的文档链接来指导您完成特定 SaaS 应用的集成步骤。
  4. 配置 Access Policies，与自托管应用类似，定义谁可以访问该 SaaS 应用。

  5. 保存应用配置。

  6. 图示模拟： 选择 SaaS 类型后，会显示一个热门 SaaS 应用列表，可以选择一个模板。配置界面会显示集成步骤和需要填写的 SAML/OIDC 信息。

至此，您已经学会了如何使用 Cloudflare Access 保护您的应用，并基于身份和策略控制访问。

第四章：配置核心组件 – Cloudflare Gateway

Cloudflare Gateway 负责保护用户在访问互联网或内部资源时的网络流量安全。它通过 DNS 和 HTTP 策略对流量进行检查、过滤和控制。

4.1 理解 Gateway 工作原理

Cloudflare Gateway 的工作依赖于用户设备的流量被引导至 Cloudflare 全球网络。这通常通过部署 WARP 客户端实现。

当用户设备安装并连接 WARP 后：

  1. 设备的所有（或部分，取决于配置）网络流量被加密并发送到最近的 Cloudflare 数据中心。
  2. Gateway 根据预定义的策略检查 DNS 查询和 HTTP/S 请求。
  3. 如果流量违反任何策略（例如访问了恶意网站、下载了禁止的文件类型），Gateway 会阻止该流量。
  4. 如果流量允许，Gateway 将其安全地转发到目的地。
  5. 所有流量活动都会被记录，用于审计和分析。

4.2 配置 DNS 策略

DNS 策略用于根据域名或域名分类阻止或允许 DNS 查询。

  1. 在 Cloudflare Zero Trust 仪表盘左侧导航栏中，选择 “Gateway” -> “Policies” -> “DNS”。

  2. 点击 “Add a policy” 按钮。

  3. 图示模拟： Gateway -> Policies -> DNS 页面，显示当前 DNS 策略列表（初始为空），右上方或中央有 “Add a policy” 按钮。

  4. 配置 DNS 策略详情：

    • Policy name: 为策略命名，例如 “Block Malware Sites”。

    • Action: 选择策略动作。

      • Block: 阻止 DNS 查询。
      • Allow: 允许 DNS 查询（即使在其他策略中被阻止，高优先级的 Allow 会生效）。
      • Override: 将 DNS 查询重定向到另一个 IP 地址（用于内部资源）。
      • Log Only: 只记录，不阻止。
        选择 “Block”。

    • Criteria (条件): 定义哪些 DNS 请求符合此策略。

      • Domain: 匹配特定的域名或通配符域名（例如 *.badsite.com）。
      • Domain Category: 匹配 Cloudflare 提供的预分类域名列表（例如 Malware, Phishing, Adult Content, Streaming Media）。这是一个非常方便的功能。选择 “Domain Category”，操作符选择 “in”，在下拉列表中选择 “Malware” 和 “Phishing”。
      • DNS Type: 匹配 A, AAAA, CNAME 等 DNS 记录类型。
      • IP Address: 匹配 DNS 查询返回的 IP 地址。

    • Selectors (选择器): 定义此策略应用于哪些用户、设备或位置。

      • Users: 基于用户身份（邮件、组）。
      • Groups: 基于 IdP 中的用户组。
      • Devices: 基于设备标识或设备策略。
      • Locations: 基于用户的地理位置。
        选择 “Users”，操作符选择 “in”，输入 “Everyone” (代表所有通过 WARP 连接的用户)。或者选择特定的用户组。

  5. 图示模拟： DNS 策略配置表单，包含 Policy name, Action 下拉框。Criteria 和 Selectors 部分有 “Add a rule” 按钮，点击后弹出条件和选择器列表，例如 Domain, Domain Category, Users, Devices 等。

  6. 点击 “Create policy” 保存。

  7. 创建更多策略：您可以创建更多 DNS 策略来满足不同的需求，例如：

    • 阻止特定用户组访问社交媒体类别。
    • 允许特定设备（如服务器）访问内部 DNS 服务器。
    • 根据设备策略允许或阻止某些域。

  8. 图示模拟： DNS 策略列表页面，显示已创建的策略，包含名称、动作、条件、选择器。可以通过拖拽调整策略顺序。策略从上到下评估。

4.3 配置 HTTP 策略

HTTP 策略提供了比 DNS 策略更细粒度的控制，可以检查完整的 URL、文件类型、HTTP 方法等。

  1. 在 Cloudflare Zero Trust 仪表盘左侧导航栏中，选择 “Gateway” -> “Policies” -> “HTTP”。

  2. 点击 “Add a policy” 按钮。

  3. 图示模拟： Gateway -> Policies -> HTTP 页面，显示当前 HTTP 策略列表（初始为空），右上方或中央有 “Add a policy” 按钮。

  4. 配置 HTTP 策略详情：

    • Policy name: 为策略命名，例如 “Block File Downloads from Suspicious Sites”。

    • Action: 选择策略动作。

      • Block: 阻止 HTTP 请求。
      • Allow: 允许 HTTP 请求。
      • Isolate: 通过 Cloudflare Browser Isolation 打开网页。
      • Deteriorate: 阻止某些操作（例如，文件上传/下载）。
      • Log Only: 只记录。
        选择 “Deteriorate” 或 “Block”。

    • Criteria (条件):

      • Hostname: 匹配请求的主机名。
      • URL: 匹配完整的 URL。
      • URL Category: 基于 Cloudflare 的 URL 分类（比 DNS 分类更精细）。
      • File Type: 匹配下载或上传的文件类型（例如 .exe, .zip）。
      • HTTP Method: 匹配 GET, POST, PUT 等方法。
      • Protocols: 匹配 HTTP, HTTPS。
      • DLP Profile: 匹配配置的 DLP 规则（稍后简述）。
      • Malware Scanner: 检测是否有恶意软件。
      • CASB (Cloud Access Security Broker): 匹配 CASB 策略（例如，阻止上传到未经授权的云存储）。

    • Selector (选择器): 与 DNS 策略类似，定义策略应用对象（用户、组、设备等）。

    • 示例策略:

      • 阻止访问恶意网站： Action: Block, Criteria: Malware Scanner is enabled AND Result is Malware Detected.
      • 阻止下载可执行文件： Action: Deteriorate (Block downloads), Criteria: File Type in “.exe”, “.zip”, “.msi”. Selector: Users in “Everyone”.
      • 将风险网站隔离打开： Action: Isolate, Criteria: URL Category in “Suspicious”, “Gambling”, “Social Media” (for specific users). Selector: Users in “Finance Department”.

  5. 图示模拟： HTTP 策略配置表单，包含 Policy name, Action 下拉框。Criteria 和 Selectors 部分有丰富的条件选项，如 Hostname, URL, File Type, URL Category 等。

  6. 点击 “Create policy” 保存。

  7. 同样，HTTP 策略也按顺序评估，优先级高的放在前面。

4.4 配置网络策略（Network Policies）

网络策略允许您基于 IP 地址、端口、协议等更底层的网络信息进行过滤。这对于控制对私有 IP 空间或特定服务的访问非常有用。

  1. 在 Cloudflare Zero Trust 仪表盘左侧导航栏中，选择 “Gateway” -> “Policies” -> “Network”。
  2. 点击 “Add a policy” 按钮。
  3. 配置策略详情：Policy name, Action (Block, Allow, Log Only)。
  4. Criteria (条件): Destination IP, Destination Port, Protocol (TCP, UDP, ICMP), Source IP 等。
  5. Selectors (选择器): Users, Groups, Devices, Locations。

  6. 示例策略： 阻止所有用户访问公司内部网络的特定 IP 段（除非通过 Access 或其他授权方式）。

  7. 图示模拟： Network 策略配置表单，条件选项侧重于网络层信息如 IP, Port, Protocol。

第五章：部署 WARP 客户端与配置设备策略

Cloudflare WARP 客户端是 Zero Trust 策略应用到用户设备上的关键载体。设备策略则允许您根据设备的健康状况来调整访问权限。

5.1 部署 WARP 客户端

  1. 在 Cloudflare Zero Trust 仪表盘左侧导航栏中，选择 “Settings” -> “WARP Client”。
  2. 在 “Download” 标签页，找到适用于您的操作系统（Windows, macOS, Linux, iOS, Android）的 WARP 客户端下载链接。
  3. 将这些链接分发给您的用户，或通过您的 MDM (Mobile Device Management) 系统静默部署。

  4. 用户下载并安装 WARP 客户端。安装完成后，客户端会提示用户登录。

  5. 图示模拟： Settings -> WARP Client 页面，显示不同操作系统的下载按钮或链接。下方有部署选项和用户设备列表。

  6. 用户登录时，通常需要输入一个 团队名称（在 WARP Client 设置页面的 Overview 中可以看到您的团队名称）。登录方式可以是：

    • 通过浏览器重定向到您配置的 Identity Provider 进行认证。
    • 使用一次性密码 (One-time PIN) 发送到企业邮箱。
    • 使用服务令牌 (Service Token) 进行设备注册（适用于无法进行用户登录的服务器等）。

  7. 图示模拟： WARP 客户端安装完成后弹出的登录界面，需要输入 Team name，然后选择登录方式（Login with Cloudflare Zero Trust, Use a one-time PIN 等）。选择 Zero Trust 登录后会打开浏览器跳转到 IdP 登录页。

  8. 成功登录后，WARP 客户端将连接到 Cloudflare 网络，并开始将设备流量引导至 Cloudflare 进行策略检查。客户端界面会显示连接状态，用户可以手动开启或关闭连接。

5.2 配置 WARP 客户端模式

在 Settings -> WARP Client -> Modes & Policies 标签页，您可以配置 WARP 的工作模式：

  • Gateway with WARP: 所有流量通过 Cloudflare Gateway 检查，并通过 WARP 隧道加密传输（默认推荐）。
  • Gateway with WARP (excluding DoH/DoT): 类似，但排除 DoH/DoT 流量。
  • Proxy (HTTP): 使用 HTTP 代理模式（不常用）。
  • Gateway (DoH/DoT only): 只强制 DNS over HTTPS/TLS。
  • Proxy (DoH/DoT only): 使用 DNS 代理模式。
  • Off: 关闭 WARP。

您还可以配置 “Split Tunnels” (分流隧道)，定义哪些流量 不 经过 WARP 隧道（例如访问本地局域网、特定内网 IP 段）。这是非常有用的功能，可以避免将内部流量发送到 Cloudflare，提高效率。

  • 图示模拟： Modes & Policies 页面，显示不同的模式选项。Split Tunnels 配置区域，可以添加需要排除的 IP 地址、CIDR 段、域名等。

5.3 配置设备策略 (Device Posture)

设备策略允许您基于设备的安全性状态创建规则，并在 Access 和 Gateway 策略中引用这些规则。

  1. 在 Cloudflare Zero Trust 仪表盘左侧导航栏中，选择 “Settings” -> “WARP Client” -> “Device Posture”。

  2. 点击 “Add New” 按钮。

  3. 图示模拟： Device Posture 页面，显示已配置的设备策略列表（初始为空），右上方或中央有 “Add New” 按钮。

  4. 选择您想检查的设备信号：

    • Operating System Version: 检查操作系统是否为最新版本或在特定版本范围内。
    • Disk Encryption: 检查磁盘是否已加密（如 BitLocker, FileVault）。
    • Firewall: 检查设备防火墙是否开启。
    • Antivirus: 检查是否有正在运行的杀毒软件。
    • Service: 检查特定服务是否正在运行。
    • File Path: 检查特定文件或文件夹是否存在。
    • Registry Key (Windows): 检查 Windows 注册表键值。
    • OS Version (Build Number): 检查更具体的操作系统构建版本。
    • Domain Joined (Windows): 检查设备是否加入了特定的 Active Directory 域。
    • Unique Client ID: 检查设备是否有特定的 WARP 客户端 ID。

  5. 图示模拟： 添加新设备策略时弹出的信号类型列表，选择其中一个。

  6. 配置所选信号的详细规则。例如，如果您选择 Disk Encryption，您需要选择操作系统类型（Windows, macOS），然后选择条件（Enabled / Disabled）。

  7. 图示模拟： 配置所选信号的界面，例如选择 Disk Encryption 后，显示 OS Type 下拉框和 Condition (Enabled/Disabled) 选项。

  8. 您可以添加多个信号来创建一个更全面的设备健康检查策略。例如，创建一个名为 “Corporate Device Compliance” 的策略，要求：

    • Disk Encryption is Enabled
    • Firewall is Enabled
    • Antivirus is Running
    • OS Version is greater than or equal to [Minimum required version]

  9. 保存策略。

  10. 在 Access/Gateway 策略中使用设备策略： 回到 Access -> Applications 或 Gateway -> Policies (DNS/HTTP/Network)。在策略规则的 Require 部分，添加一个条件，选择 “Device Posture”，操作符选择 “is”，然后选择您刚刚创建的设备策略名称（例如 “Corporate Device Compliance”）。这样，只有设备满足这些安全要求时，用户才能获得访问权限。

  11. 图示模拟： Access 或 Gateway 策略配置界面，在 Require 或 Include 部分添加一个 Rule，选择 Device Posture 作为条件，然后从下拉列表中选择已配置的设备策略名称。

第六章：集成身份提供商 (IdP)

将 Cloudflare Zero Trust 与您的企业身份提供商集成，是实现基于身份的零信任策略的基础。

  1. 在 Cloudflare Zero Trust 仪表盘左侧导航栏中，选择 “Settings” -> “Authentication”。

  2. 点击 “Add new” 按钮。

  3. 图示模拟： Authentication 页面，显示已配置的 IdP 列表（初始可能只有 One-time PIN），右上方或中央有 “Add new” 按钮。

  4. 选择您的身份提供商类型（例如 Azure AD, Okta, Google Workspace, SAML, OIDC 等）。

  5. 图示模拟： 弹出的支持 IdP 列表，选择您的 IdP。

  6. 按照屏幕上的指示完成集成配置。这通常包括：

    • 在您的 IdP 管理后台创建一个应用程序集成。
    • 从 Cloudflare 获取 ACS URL (Assertion Consumer Service URL) 或 Redirect URL。
    • 在您的 IdP 中配置这些 URL。
    • 从您的 IdP 中获取 Client ID, Client Secret (OIDC) 或 IdP Metadata (SAML)。
    • 将这些信息输入到 Cloudflare 的配置界面中。
    • 配置用户属性映射，确保 Cloudflare 可以获取用户的邮箱、群组等信息。

  7. 图示模拟： 特定 IdP 的配置页面，显示需要从 Cloudflare 复制的信息（如 Redirect URL），以及需要从 IdP 粘贴到 Cloudflare 的信息（如 Client ID, Client Secret, Metadata URL）。提供详细的配置步骤说明和文档链接。

  8. 保存配置并测试连接。

  9. 在 Access -> Applications 的 Authentication 部分启用您刚刚添加的 IdP，使其成为一个可用的登录选项。

第七章：监控、日志与高级功能概览

7.1 查看日志与分析

详细的日志是零信任模型持续监控和改进策略的关键。

  1. 在 Cloudflare Zero Trust 仪表盘左侧导航栏中，选择 “Logs”。
  2. 您可以选择查看 “Access Logs”, “Gateway Audit Logs”, “Gateway Network Logs”, “Gateway HTTP Logs”, “Gateway DNS Logs” 等。

  3. 利用过滤、搜索和时间范围选择功能来查找特定的事件或分析流量模式。

    • Access Logs: 查看用户访问哪些应用、是否允许/阻止、使用的身份、设备信息等。
    • Gateway Logs: 查看 DNS 查询、HTTP 请求、被阻止的恶意软件或类别、文件下载等信息。

  4. 图示模拟： Logs 页面，左侧是不同日志类型的选择，右侧显示日志列表，顶部有搜索框、过滤器和时间范围选择器。点击某条日志可以查看详情。

  5. 在 “Analytics” 部分，您可以查看流量趋势、策略命中情况、热门应用、热门目的地等可视化数据。

  6. 图示模拟： Analytics 页面，显示各种图表和统计数据，如按时间线的流量、按类别的被阻止请求、按用户的活动等。

7.2 数据防泄露 (DLP) 概览

Cloudflare Gateway 提供基础的 DLP 功能，可以检查通过 HTTP/S 流量传输的数据是否包含敏感信息（如信用卡号、社会安全码、自定义正则表达式匹配的内容）。

  1. 在 Cloudflare Zero Trust 仪表盘左侧导航栏中，选择 “Gateway” -> “Policies” -> “HTTP”。
  2. 在 HTTP 策略的 Criteria 中，您可以添加 “DLP Profile” 条件。

  3. 点击管理 DLP Profile，您可以创建新的 Profile，选择预设的检测器或定义自定义正则表达式来匹配敏感数据。

  4. 图示模拟： HTTP 策略配置界面中添加 DLP Profile 条件。DLP Profile 管理界面，可以创建新的 Profile，添加规则（选择预设检测器或输入正则表达式）。

  5. 在 HTTP 策略中引用 DLP Profile，并选择相应的 Action（例如 Block, Deteriorate – 阻止上传）。

7.3 私有网络连接 (Cloudflare Tunnel)

对于部署在内部网络或私有云环境、不对公网开放的应用，您可以使用 Cloudflare Tunnel 安全地将其连接到 Cloudflare 网络，从而通过 Access 策略进行保护，而无需传统的 VPN 或在防火墙上打开端口。

  1. 在 Zero Trust 仪表盘左侧导航栏中，选择 “Access” -> “Tunnels”。
  2. 点击 “Create a tunnel”。
  3. 按照向导在您的内部网络服务器上安装 cloudflared 代理程序。
  4. 配置 cloudflared 将特定内部 IP/端口的服务映射到 Cloudflare 上的一个域名。

  5. 然后在 Access -> Applications 中添加一个指向该域名的 Self-hosted 应用，并配置 Access 策略。

  6. 图示模拟： Tunnels 页面，显示当前隧道列表，有 “Create a tunnel” 按钮。创建向导页面会提供安装命令和配置步骤。

Cloudflare Tunnel 消除了在防火墙上暴露端口的风险，是访问私有资源的安全、高效方式。

7.4 浏览器隔离 (Browser Isolation)

Cloudflare Browser Isolation (RBI) 可以将用户浏览的风险网站会话在云端隔离执行，然后将渲染结果流式传输到用户浏览器。这可以有效防御来自网页的恶意软件和零日攻击。您可以在 Gateway HTTP 策略中配置对特定类别的网站使用 Isolate Action。

第八章：总结与最佳实践

恭喜您！您已经学习了 Cloudflare Zero Trust 的核心组件和配置方法，并初步构建了一个零信任安全体系。

8.1 零信任是一个持续的旅程

零信任不是一个可以一蹴而就的产品，而是一个需要持续演进的安全策略。随着您的业务、用户和应用变化，您需要不断审视和调整您的 Zero Trust 策略。

8.2 实施 Zero Trust 的最佳实践

  • 从小处着手： 不要试图一次性保护所有应用和所有用户。选择一个关键应用或一个用户群体作为试点，逐步推广。
  • 清晰定义策略： 在配置 Access 和 Gateway 策略之前，明确定义不同用户群体对不同资源的访问需求和安全要求。遵循最小权限原则。
  • 与 Identity Provider 紧密集成： IdP 是 Zero Trust 的核心，确保您的用户和群组信息在 IdP 中是准确和最新的。
  • 强制使用 WARP 客户端： 大多数 Gateway 策略和设备策略都依赖于 WARP 客户端。确保用户设备上的 WARP 是开启和连接的。可以使用 WARP 客户端的强制模式。
  • 利用设备策略： 将设备健康状况纳入策略判断，增加一层重要的安全维度。
  • 持续监控与审计： 定期查看 Cloudflare Zero Trust 的日志和分析报告，了解用户行为、发现异常情况、评估策略有效性。
  • 用户沟通与培训： 向用户解释为什么需要 Zero Trust，以及 WARP 客户端的作用。良好的沟通可以减少用户的抵触情绪。
  • 测试策略： 在部署新策略时，先在小范围内或测试用户上进行测试，确保不会意外阻止合法访问。
  • 考虑高级功能： 根据您的需求，探索 DLP, Browser Isolation, Cloudflare Tunnel 等高级功能，进一步提升安全性。

通过 Cloudflare Zero Trust，您可以摆脱对传统边界安全的依赖，建立一个无论用户、设备、应用在哪里都能提供一致、强大安全防护的新一代安全架构。这将极大地增强您的企业韧性，有效抵御现代网络威胁。

希望这篇详细的教程能帮助您开启或深化您的 Cloudflare Zero Trust 实践之旅！

发表评论

您的邮箱地址不会被公开。 必填项已用 * 标注

滚动至顶部