タグ「Cloudflare Gateway・TLS Inspection」の検索結果が3件
タグ：Cloudflare Gateway・TLS Inspection タグ条件を解除
Cloudflare Zero Trust / 管理者向け
masaruyokoi 更新
Cloudflare Zero Trust で TLS Inspection を設定されており、アプリケーションにTLS証明書を追加できないなどの事情があり、TLS Inspection環境ではアプリケーションの利用ができないことがあります。このような場合には通信対象ホストのTLS Inspectionの除外の方法もご検討ください。確認事項設定を行う際には、これらのことをご確認ください。TLS Inspectionの除外を必要とするアプリケーション。例えばDockerやpythonで書かれたコード、特定のデスクトップアプリなどが挙げられます。アプリケーションにTLS証明書を追加する方法をご確認ください。証明書を追加する方法がある場合には、CloudflareからダウンロードできるTLS証明書をアプリに設定してください。通信先のホスト名または、Cloudflare Application library でのアプリケーション名。管理画面での設定方法Cloudflare Zero Trustの管理画面の、「Traffic Policies」-「Firewall Policies」に、ポリシーの種類=HTTP と Action=Do Not Inspect を登録することで、TLS Inspection を行わないポリシーを設定します。新しいポリシーを設定する際には「Add a policy」ボタンを押してポリシーの追加をしてください。 TLS Inspectionを設定する際には、設定ページでこのような選択をしてください。Conditions の traffic type では HTTP を選択。Action and settingsでは「Do Not Inspect」を選択Traffic machiesでは、「Application」や「Host」「Domain」などを選択。ポリシーの設定では、TLS Inspectionを行わない対象のサーバの指定方法がいくつかあります。Application を利用する方法。 Cloudflare が Application Library としてアプリケーション一覧と対応するホストをまとめています。またアプリケーションの種類に「Do Not Inspect」というカテゴリがあり、これがTLS Inspectionを行わない対象を選択する際に便利なアイテムになっています。ホスト名またはドメイン名を指定する方法。Application Libraryに登録がないものや、細かく制御したい場合にはホスト名やドメイン名を指定してください。あとはこのルールに名前をつけて「Create Policy」をクリックして保存してください。TLS Inspection除外を行った際のご注意TLS Inspectionの除外を行った際には、これらの機能が動作しませんのでご注意ください。Shadow IT検知DashboardでのSaaS利用履歴が表示されなかったり、禁止時にはBlockされなかったりします。DLPでの検知ができなくなります。HTTPS通信の内容を見たMalware検知なども機能しなくなります。
Cloudflare Zero Trust / 管理者向け
masaruyokoi 更新
サービス開始当初から Cloudflare WARP の TLS Inspection (SSL可視化) などで利用するルート証明書は、Cloudflare Zero Trust の全アカウントで共通のものでしたが、2024年10月頃よりアカウントごとに作成したものに切り替えられるようになりました。また、全アカウントで共通だったTLS証明書は2025年2月2日に失効します。このページでは、新しい証明書の作成方法と、証明書のMDMでの配布方法をご案内いたします。証明書の作成方法[Settings] > [Resources] の中 [Certificates] にある [Manage] のボタンを押します。新しい証明書を作るには [Generate Certificate] をクリックします。作成するTLS証明書の有効期間 (Expiration) を設定します。デフォルトでは5年が推奨されています。Windows以外 (Mac、iPhone、iPad、Android) でMDMを使われている場合は、MDMで証明書の配布をすることをおすすめします。作成したTLS証明書の pem または crt をダウンロードしてください。TLS証明書の配布配布先のPCがWindowsの場合は、Cloudflare WARPによって証明書の配布が行えます。 配布先がMacの場合は、Cloudflare WARPによって証明書の配布は行えますが、配布した証明書を「常に信頼する」ことはCloudflare WARPでは行えないため、MDMによる証明書配布をおすすめします。WARP による配布 (Windows向け)Cloudflare WARPによる証明書配布を行うには、Cloudflare Zero Trust の設定画面の [Settings] > [WARP] > [Global settings] 内の [Install CA to system certificate store] のチェックボックスをOnにしてください。 MDM として Jamf Pro を利用した配布 (Mac向け)Cloudflare Zero Trust のCertificates から .crt 形式で証明書をダウンロードしてください。この証明書の拡張子を .crt から .cer に変更してください。コマンドでしたら下記のように実行してください。 mv certificate.crt certificate.cer Jamf で新しいConfiguration Profile (構成プロファイル) を作成してください。Configuration ProfileのOptionsの Certificatesに、先程の cer ファイルをUploadしてください。Scopeなどを設定して保存してください。既存のConfiguration Profileを編集して新しい証明書を追加すると、MDMの配布では既存のConfiguration Profileを削除してから新しい証明書が構成されます。既存の内容がMacから一旦消されるためご注意ください。そのため、今回の手順では新しいCertificateのために既存とは別の新しいConfiguration Profileを作成する手順をご案内しています。証明書の配布が済んだことを、構成プロファイルの配布済み台数などを元にしてご確認ください。新しい証明書の有効化証明書の配布が完了したら、新しい証明書を有効にしてください。Cloudflare Zero Trustの管理ページの [Settings] > [Resources] の中 [Certificates] にある、[Manage] のボタンをクリックします。新しく作った証明書の右側の3点ボタンをクリックします。ポップアップメニューの [Activate] ボタンをクリックし、数分待ちます。この証明書の利用開始のために、証明書の [Detail] を表示します。Detailの中の [Confirm and turn on certificate] をクリックします。
Cloudflare Zero Trust / 管理者向け
shao 更新
証明書認証 (mTLS: mutual TLS) は、銀行や信用金庫などの法人向けオンラインバンキングで多く利用されています。Cloudflare Zero Trust の WARP モードでこれらのサイトに接続するためには、以下の手順で対象の通信を WARP から除外してください。この手順は Cloudflare Zero Trust の管理者が実施します。一般にご利用いただいている方は、下記手順について情報システム部門にご相談ください。事前確認Cloudflare WARP の動作モードを [Gateway with DoH] モードに変更した場合は、正しく証明書認証ができることを確認してください。確認後は [Gateway with WARP] モードに戻してください。Gateway with DoH モードでも動作しない場合は、ネットワークや接続先サービス側に原因があると思われます。ネットワークの管理者や接続先サービスのサポート窓口にご相談ください。手順Cloudflare Zero Trust の管理画面を開きます。[Settings] > [WARP Client] と進みます。Device Settings にある、対象のプロファイル (通常は "Default") の右側メニューを開き、 [Configure] を選択します。Split Tunnels の設定が "Exclude IPs and domains" になっていることを確認して [Manage] をクリックします。Selector に "Domain" を指定し、"Value" に証明書認証を利用したい接続先のドメインを入力します。Description (メモ) は任意に設定してください。サブドメインはワイルドカード (*.example.com) が使えます。主な金融機関のドメインは後述しております。左上の [← Back to Profile] をクリックして前の画面に戻り、[Save profile] で設定を保存します。複数のプロファイルに適用したい場合は、手順3〜6を繰り返します。設定完了後、反映まで最大15分程度かかります。しばらくしましたら証明書認証ができるかを確認してください。主な金融機関のドメイン下記のドメインは ZUNDA による調査です。詳しくはご利用の金融機関までお問い合わせください。三菱UFJ銀行 (BizSTATION)*.bk.mufg.jp*.bizstn.mufg.jp三井住友銀行 (Value Door, Webバンク21)*.smbc.co.jpみずほ銀行 (e-ビジネスサイト, みずほビジネスWEB)*.ib.mizuhobank.co.jp*.ebusiness.ib.mizuhobank.co.jp*.b-web.mizuhobank.co.jpりそな銀行 (りそなビジネスダイレクト)*.b-direct.resonabank.co.jp*.cc.b-direct.resonabank.co.jp地銀、信用金庫などAnserBizSOL 導入行bizsol.anser.ne.jp*.bizsol.anser.ne.jpFINEMAX 導入行*.finemax.netしんきん情報システムセンター*.shinkin-ib.jpその他の金融機関の場合は、法人インターネットバンキング (EB) のログイン画面等に表示される URL を参考に設定してください。