Cloudflare Tunnel
Il Cloudflare Tunnel consente un accesso remoto sicuro ai servizi locali tramite Internet, senza la necessità di configurare il port forwarding o di avere un indirizzo IP pubblico. La connessione viene stabilita dal sistema locale a Cloudflare. In questo modo è possibile rendere sicuramente raggiungibili anche le reti dietro CG-NAT o connessioni Internet restrittive.
Note: Cloudflare Tunnel è disponibile solo da Core 2 o versioni successive.
Nota: Antcas Control supporta la connessione tramite un proprio Tunnel e può fornire la visualizzazione anche senza configurazione pubblica.
Prerequisiti
Per l'utilizzo è necessario un account Cloudflare con un dominio gestito. La gestione avviene automaticamente tramite l'API di Cloudflare. Il token API utilizzato richiede le autorizzazioni appropriate. Vedere più avanti nella sezione Configurazione.
Se il server si trova dietro un firewall restrittivo, è necessario assicurarsi che le connessioni in uscita verso Cloudflare siano possibili. In particolare, deve essere consentito l'accesso alla porta 7844. Ulteriori informazioni sono disponibili al seguente link:
https://developers.cloudflare.com/cloudflare-one/networks/connectors/cloudflare-tunnel/troubleshoot-tunnels/connectivity-prechecks/
Funzionamento
Il Cloudflare Tunnel stabilisce una connessione in uscita e crittografata con Cloudflare. Gli utenti esterni accedono successivamente alla visualizzazione o ad altre applicazioni tramite il dominio configurato. La connessione viene gestita attraverso l'infrastruttura di Cloudflare, senza la necessità di aprire porte in ingresso sul router.
La porta dell'applicazione viene assegnata all'interfaccia di rete locale virtuale e pubblicata in modo sicuro tramite il tunnel.
Configurazione
Sono disponibili diverse opzioni di configurazione. I capitoli seguenti spiegano la procedura per le varie configurazioni e casi d'uso.
Configurazione Gestita Localmente
In questa configurazione, la configurazione del tunnel viene salvata in Antcas Control e successivamente sincronizzata con la cloud. Il vantaggio di questa variante è che il tunnel può essere configurato e gestito facilmente. Tuttavia, è importante notare che tutti gli utenti con i permessi per configurare il server possono anche apportare modifiche alla configurazione del tunnel nella cloud.
Crea un nuovo token API nel profilo utente del tuo account Cloudflare. Questo richiede le seguenti autorizzazioni:
| Tipo | Oggetto | Autorizzazione |
|---|---|---|
| Account | Cloudflare Tunnel | Modifica |
| Zona | DNS | Modifica |
Nota: Una zona DNS deve essere almeno assegnata all'account affinché l'account possa essere identificato.
Successivamente, viene aggiunto un nuovo Cloudflare Tunnel nella
Infrastruttura sotto
Server
Rete
VPN e Tunnel. Ogni tunnel crea un'interfaccia di rete virtuale come ad esempio
cf-tunnel0. Si consiglia di completare prima la configurazione del tunnel e poi configurare le applicazioni.
Attenzione: Se viene selezionato un tunnel esistente, l'autenticazione del tunnel potrebbe essere sovrascritta per stabilire una connessione. Antcas Control supporta un tunnel con una connessione simultanea a Cloudflare.
Per la configurazione automatica è necessario un token API di Cloudflare. Con questo, Antcas Control può recuperare, creare e gestire automaticamente le voci DNS e le configurazioni del tunnel necessarie. La descrizione su come creare un token API si trova nell'aiuto di Cloudflare sotto:
https://developers.cloudflare.com/fundamentals/api/get-started/create-token/
Dopo aver validato il token API, è possibile selezionare l'account e il tunnel. È possibile creare un nuovo tunnel, che riceverà quindi il nome del server più il nome dell'interfaccia. Ad esempio Edificio Ufficio - cf-tunnel0.
Nota: La configurazione del tunnel avviene completamente automaticamente tramite API. Assicurati che il server possa stabilire una connessione con Cloudflare durante la configurazione.
Una volta creato il tunnel, è necessario assegnare tutte le visualizzazioni che dovrebbero ricevere l'accesso tramite il tunnel all'interfaccia di rete. Quindi queste possono essere aggiunte come Applicazioni al tunnel. Le
Applicazioni si trovano un livello più in alto rispetto al configurato
Tunnel.
Seleziona nella configurazione il dominio e assegna un nome per il sottodominio. Successivamente, seleziona l'endpoint.
Nota: Se il nome è già stato utilizzato per un altro tunnel, non verrà assegnato e la connessione sarà stabilita come prima. Se il nome viene modificato, Antcas Control elimina il sottodominio, se l'ID del tunnel era gestito da Antcas.
Configurazione Zero Trust
Un'alternativa alla configurazione gestita localmente è la configurazione Zero Trust. In questo caso, la configurazione avviene nella console di Cloudflare e viene successivamente sincronizzata con Antcas Control. Il vantaggio di questa variante è che non è possibile accedere alla configurazione di Cloudflare tramite Antcas Control.
Per questa configurazione, non è necessario assegnare necessariamente una porta all'interfaccia. Come endpoint può essere utilizzato qualsiasi indirizzo nella rete. In questo modo, ad esempio, la porta dell'interfaccia principale o anche un altro servizio nella rete possono essere resi pubblici. A differenza della configurazione standard, tuttavia, localhost non può essere utilizzato come endpoint.
Se la connessione avviene in chiaro, è necessario impostare l'opzione noTLSVerify su TRUE nella console di Cloudflare. Tuttavia, una connessione non crittografata a un servizio al di fuori del server non è consigliata per motivi di sicurezza.
Per la configurazione viene aggiunto un nuovo Cloudflare Tunnel nella
Infrastruttura sotto
Server
Rete
VPN e Tunnel. Ogni tunnel crea un'interfaccia di rete virtuale come ad esempio
cf-tunnel0. Per la configurazione è necessario solo il token del tunnel Zero Trust. Questo può essere copiato direttamente dalla console di Cloudflare e incollato. Se il testo inserito contiene anche il comando di installazione completo, questo viene automaticamente rimosso in modo che venga salvato solo il token.