Cloudflare Zero Trust

Acesso seguro a serviços internos sem VPNs usando a plataforma Zero Trust da Cloudflare (Access, Tunnel, Gateway e WARP).

Quando Usar

• Substituir o acesso VPN a aplicações web internas, SSH ou RDP.
• Aplicar políticas de acesso cientes de identidade em ferramentas internas (dashboards, painéis de administração).
• Expor serviços on-premises ou de rede privada de forma segura para equipes remotas.
• Filtrar tráfego DNS para bloquear malware, phishing e shadow IT.
• Aplicar verificações de postura do dispositivo (dispositivos gerenciados, versão do sistema operacional, criptografia de disco).

Pré-requisitos

• Conta Cloudflare com plano Zero Trust (o nível gratuito suporta até 50 usuários).
• Um domínio na Cloudflare (para nomes de host de aplicações Access).
• Provedor de identidade configurado (Google Workspace, Okta, Azure AD/Entra ID, GitHub).
• CLI cloudflared instalada no servidor que hospeda os serviços internos.

# Install cloudflared
# macOS
brew install cloudflared

# Debian/Ubuntu
curl -fsSL https://pkg.cloudflare.com/cloudflare-main.gpg | sudo tee /usr/share/keyrings/cloudflare-main.gpg >/dev/null
echo "deb [signed-by=/usr/share/keyrings/cloudflare-main.gpg] https://pkg.cloudflare.com/cloudflared $(lsb_release -cs) main" | sudo tee /etc/apt/sources.list.d/cloudflared.list
sudo apt update && sudo apt install -y cloudflared

# Docker
docker pull cloudflare/cloudflared:latest

Configuração do Cloudflare Tunnel

Tunnels criam conexões de saída criptografadas da sua infraestrutura para a borda da Cloudflare, eliminando a necessidade de abrir portas de entrada.

Criar e Configurar um Tunnel

# Authenticate with Cloudflare
cloudflared tunnel login

# Create a named tunnel
cloudflared tunnel create internal-apps

# This creates credentials at ~/.cloudflared/<TUNNEL_ID>.json

# List tunnels
cloudflared tunnel list

# Route DNS to the tunnel (creates a CNAME record)
cloudflared tunnel route dns internal-apps grafana.example.com
cloudflared tunnel route dns internal-apps wiki.example.com
cloudflared tunnel route dns internal-apps ssh.example.com

Arquivo de Configuração do Tunnel

# ~/.cloudflared/config.yml
tunnel: <TUNNEL_ID>
credentials-file: /home/deploy/.cloudflared/<TUNNEL_ID>.json

ingress:
  # Grafana dashboard
  - hostname: grafana.example.com
    service: http://localhost:3000

  # Internal wiki
  - hostname: wiki.example.com
    service: http://localhost:8080
    originRequest:
      noTLSVerify: true

  # SSH access via browser
  - hostname: ssh.example.com
    service: ssh://localhost:22

  # Private network access (CIDR routing)
  - hostname: internal.example.com
    service: http://10.0.0.0/24

  # Catch-all — required as the last rule
  - service: http_status:404

Executar o Tunnel

# Run in foreground (for testing)
cloudflared tunnel run internal-apps

# Install as a systemd service
sudo cloudflared service install
sudo systemctl enable cloudflared
sudo systemctl start cloudflared

# Or run via Docker
docker run -d --name cloudflared \
  --restart unless-stopped \
  -v /home/deploy/.cloudflared:/etc/cloudflared \
  cloudflare/cloudflared:latest \
  tunnel run internal-apps

Docker Compose com Tunnel

# docker-compose.yml
version: "3.8"
services:
  cloudflared:
    image: cloudflare/cloudflared:latest
    restart: unless-stopped
    command: tunnel run
    environment:
      - TUNNEL_TOKEN=${TUNNEL_TOKEN}
    networks:
      - internal

  grafana:
    image: grafana/grafana:latest
    networks:
      - internal

  wiki:
    image: requarks/wiki:2
    networks:
      - internal

networks:
  internal:
    driver: bridge

Políticas de Acesso

As políticas de acesso controlam quem pode acessar aplicações atrás da Cloudflare.

Criar uma Aplicação de Acesso

# Via API — create a self-hosted application
curl -X POST "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/access/apps" \
  -H "Authorization: Bearer $CF_API_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "name": "Grafana",
    "domain": "grafana.example.com",
    "type": "self_hosted",
    "session_duration": "12h",
    "auto_redirect_to_identity": true,
    "allowed_idps": ["<IDP_UUID>"]
  }'

Tipos de Política e Exemplos

# Política de permissão — membros do grupo de engenharia
curl -X POST "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/access/apps/<APP_ID>/policies" \
  -H "Authorization: Bearer $CF_API_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "name": "Equipe de Engenharia",
    "decision": "allow",
    "include": [

…