WARPをインストールしてCloudflare Zero Trustをはじめる

酒井剛

2023.05.10

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

Cloudflare Zero Trustを始めようと思った時に、まずエージェントのインストールが基本となってきます。Cloudflare Zero TrustではWARPというPCとモバイルにインストールできるエージェントによって通信の保護が強化できます。

WARPの特徴を確認するとともに、設定手順を見ていきたいと思います。

WARPの特徴

デスクトップ・モバイルエージェント
- Windows、macOS、Linux、iOS、AndroidOS、ChromeOSにインストールすることができます。詳細なバージョンについてはこちらを確認してください。※Windows Serverにはインストールすることはできませんので注意してください。
WireGuard
- WARPをインストールした端末とCloudflareエッジまでは、次世代VPNと言われる高速なWireGuard（VPN）を使ってアクセスします。
- 参考：WireGuardドキュメント内のベンチマークテスト
- WireGuardはQUICと同じようにUDP上で動作するプロトコルになります。TCP上でセッションを確立するSSL-VPNやOpenVPNに比べて、特にローミングが頻繁に発生しやすいモバイル環境で、はるかに効率よくVPNを構築／再構築することが可能です。
世界最速 CloudflareのDNSリゾルバ1.1.1.1を利用

WARPをインストールする利点

前述のWARPの特徴を見てもらっても多くの利点を分かってもらえたと思うのですが、WARPをインストールすることでさらに以下のような利点があります。

場所に依存することなく、ゲートウェイポリシーを強制することができます
IdPなどと連携してアイデンティティベースのポリシーを強制することができます
WARPをインストールした端末がShadow IT Discoveryに関する可視性を提供します
デバイスポスチャーを通信のアクセス制御のための条件に加えることができます
ZTNAを構築する手段として、Cloudflare AccessのPrivate Networkを利用することができます

WARPの通信要件

WARPはアウトバウンド方向の通信を使います。アウトバウンドに関しては特に通信制御を設けていない場合が多いと思いますが、コーポレート内で通信制限を行っている場合は下記の要件を満たす必要があります。

WARPのインストール

WARP設定までの手順

これからWARPをインストールしていきますが、最初に全体的な設定手順の流れをみておきます。

Cloudflareアカウントの作成
Cloudflare Zero Trustのプラン選択とチームの設定
WARPインストール時のログイン手段の設定
ルート証明書のインストール
WARPインストール
WARPログイン

Cloudflareアカウントの作成

コンソールへのアクセス画面のSign Upからアカウントを作成することができます。

Cloudflare Zero Trustのチームの設定とプラン選択

最初にZero Trustの管理画面にアクセスすると、チーム名の設定とCloudflare Zero Trustのプラン選択をする必要があります。

チーム名は、Cloudflare内でユニークな値を設定する必要があり、他のアカウントのチーム名と同一のものは設定することができません。チーム名+.cloudflareaccess.comのようなドメインが割り当てられ、Cloudflare Accessで登録したアプリケーションへアクセスするためのポータルのURLに利用されます。1アカウントに1つのチームドメインが紐付きます。

プランを選択します。機能は制限されますが、基本的な機能のみの利用かつ50名以下の利用であればFreeプランで利用することが可能です。

WARPインストール時のログイン手段の設定

WARPはCloudflareアカウントを作らずとも無料でダウンロードして、無料で利用することができます（上記のアカウント作成とFreeプランのサブスクリプションをせずとも）。その場合、DNSフィルタリングやHTTPフィルタリング、IdP統合などの機能は提供されませんが、WARPとCloudflare間のトンネルが構築され、全ての通信がCloudflareに向けられるようになります。

WARPのみで使うのではなく、Cloudflare Zero Trustのサービスと使うにはWARPインストール時にレジストレーションを行う必要があります。このレジストレーションは認証とルールの組み合わせによって評価されます。それぞれ以下のようなものがあります。

認証

Eメールアドレス宛に送られるワンタイムパスワード認証
サードパーティIdP統合による認証

IdP統合設定に関してはこちらも参考ください。

ルール

ユーザーIDに特定のEメールを持つエンティティからのアクセスや、特定の国、特定のサービストークンを持つアクセスなどの条件をレジストレーションの評価に加えることができます。

設定できる条件についてはこちらでご確認ください。

ルート証明書のインストール

GatewayはHTTPSのような暗号化された通信の中身を検査してURLコンテンツに有害なものが含まれていないかや（TLS Decryption）、ダウンロードするファイルのアンチウィルススキャンを行うため、WARPをインストールするデバイスにルート証明書をインストールする必要があります。
ルート証明書は、WARPインストールと同時に自動でインストールする方法と手動でインストールする方法があります。
いずれかの方法でインストールしておく必要があります。環境に応じてですが自動にしておくと楽でいいですね。

WARPインストール

WARPはこちらからダウンロードしてインストールすることができます。

展開方法はマニュアルでのインストール、またはIntuneやJamfを使った展開方法についてもクラウドフレアのドキュメントに記載がありますので、環境に合わせて参考にしてください。

WARPログイン

WARPインストール後、タスクトレイなどからWARP設定画面を表示させ、設定ボタンのPreferencesからログインします。

Accountの「Login with Cloudflare Zero Trust」をクリックして、アカウント作成後に決めたチーム名を入力します。

設定していた認証方法に従って、認証を行います。

「WARP」の赤文字が「Zero Trust」の青文字に変わっていればレジストレーション成功です。スイッチをオンにするとWARPがCloudflareに向けてトンネルを張りますので、WARPのインストールは以上となります。
アクセスするリソースごとにアクセス制御をかけていくことでゼロトラスト環境へ一歩近づくことができます。