Implantando o Cloudflare Access para Zero Trust

Quando Usar

• Ao substituir infraestrutura de VPN por acesso a aplicativos ciente de identidade usando Cloudflare One
• Ao expor aplicativos internos auto-hospedados através do Cloudflare Tunnel sem abrir portas de entrada
• Ao implementar ZTNA para uma força de trabalho distribuída acessando aplicativos web, SSH e serviços RDP
• Ao precisar de uma solução de zero trust econômica com recursos integrados de DLP, CASB e SWG
• Ao proteger o acesso de contratados e terceiros a aplicativos específicos sem acesso total à rede

Não use para aplicativos que exigem conexões UDP persistentes não suportadas pelo Cloudflare Tunnel, para ambientes que exigem controle de acesso totalmente on-premises ou air-gapped, ou quando requisitos regulatórios proíbem o roteamento de tráfego através de infraestrutura de nuvem de terceiros.

Pré-requisitos

• Conta Cloudflare com assinatura Zero Trust (Grátis para até 50 usuários, planos pagos para equipes maiores)
• Nome de domínio gerenciado pelo DNS do Cloudflare (ou capacidade de adicionar registros CNAME)
• Servidor Linux, Windows ou macOS para executar o daemon do túnel cloudflared
• Provedor de identidade: Okta, Microsoft Entra ID, Google Workspace, GitHub ou qualquer provedor SAML/OIDC
• Cliente Cloudflare WARP para registro em nível de dispositivo (opcional, mas recomendado)

Fluxo de Trabalho

Etapa 1: Criar um Cloudflare Tunnel para Aplicativos Internos

Instale o cloudflared e crie um túnel persistente para expor serviços internos.

# Install cloudflared on Ubuntu/Debian
curl -L https://github.com/cloudflare/cloudflared/releases/latest/download/cloudflared-linux-amd64.deb \
  -o cloudflared.deb
sudo dpkg -i cloudflared.deb

# Authenticate cloudflared with your Cloudflare account
cloudflared tunnel login

# Create a named tunnel
cloudflared tunnel create internal-apps
# Output: Created tunnel internal-apps with id xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx

# Configure tunnel routes to internal applications
cat > ~/.cloudflared/config.yml << 'EOF'
tunnel: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
credentials-file: /home/admin/.cloudflared/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx.json

ingress:
  - hostname: wiki.company.com
    service: http://localhost:8080
  - hostname: git.company.com
    service: http://10.1.1.50:3000
  - hostname: grafana.company.com
    service: http://10.1.1.60:3000
  - hostname: ssh.company.com
    service: ssh://localhost:22
  - hostname: rdp.company.com
    service: rdp://10.1.1.100:3389
  # Catch-all rule (required)
  - service: http_status:404
EOF

# Route DNS to the tunnel
cloudflared tunnel route dns internal-apps wiki.company.com
cloudflared tunnel route dns internal-apps git.company.com
cloudflared tunnel route dns internal-apps grafana.company.com

# Run tunnel as a systemd service
sudo cloudflared service install
sudo systemctl enable cloudflared
sudo systemctl start cloudflared

# Verify tunnel status
cloudflared tunnel info internal-apps

Etapa 2: Configurar Integração do Provedor de Identidade

Configure a autenticação com o provedor de identidade da sua organização.

# Using Cloudflare API to configure Okta as IdP
curl -X PUT "https://api.cloudflare.com/client/v4/accounts/{account_id}/access/identity_providers" \
  -H "Authorization: Bearer ${CF_API_TOKEN}" \
  -H "Content-Type: application/json" \
  --data '{
    "name": "Corporate Okta",
    "type": "okta",
    "config": {
      "client_id": "OKTA_CLIENT_ID",
      "client_secret": "OKTA_CLIENT_SECRET",
      "okta_account": "company.okta.com",
      "api_token": "OKTA_API_TOKEN",
      "claims": ["email", "groups", "name"],
      "email_claim_name": "email"
    }
  }'

# Configure Microsoft Entra ID as additional IdP
curl -X POST "https://api.cloudflare.com/client/v4/accounts/{account_id}/access/identity_providers" \
  -H "Authorization: Bearer ${CF_API_TOKEN}" \
  -H "Content-Type: application/json" \
  --data '{
    "name": "Microsoft Entra ID",
    "type": "azureAD",
    "config": {
      "client_id": "AZURE_APP_CLIENT_ID",
      "client_secret": "AZURE_APP_CLIENT_SECRET",
      "directory_id": "AZURE_TENANT_ID",
      "support_groups": true,
      "claims": ["email", "groups", "name"]
    }
  }'

Etapa 3: Criar Aplicativos e Políticas de Acesso

Defina aplicativos de Acesso com políticas cientes de identidade para cada serviço interno.

# Criar aplicativo de Acesso para wiki interno
curl -X POST "https://api.cloudflare.com/client/v4/accounts/{account_id}/access/apps" \
  -H "Authorization: Bearer ${CF_API_TOKEN}" \

…