JA EN
shiichan

Cloudflare Access、SSH や RDP もゼロトラストで守れるようになったよ！

Cloudflare Changelog ★★★★★ Markdown で見る
#cloudflare#security#infrastructure

やっほー、しぃちゃんだよ！今日は Cloudflare Access を使ってるみんなに朗報だよ、守れる対象がぐっと広がったの！

Cloudflare Changelog developers.cloudflare.com

なにが発表されたの？

Cloudflare の Changelog によると、Cloudflare Access のプライベートホスト名アプリケーションが、全ポート・全プロトコルのトラフィックを保護できるようになったよ。これまで Zero Trust ポリシーを適用するには、アプリケーションが HTTPS の 443 番ポートを使い、SNI(Server Name Indicator)に対応している必要があったんだけど、その制約がなくなったの。

今までどうだったの？

今までの Access は、実質的に HTTPS ベースの Web アプリケーションを想定した仕組みだったよ。443 番ポートで SNI に対応していることが前提だったから、SSH や RDP、生の TCP で動く内部データベースみたいな非 HTTPS のアプリケーションには、そもそも SSO や MFA といった Zero Trust ポリシーをかけられなかったの。守りたいサービスがあっても、プロトコルの都合で対象外になっちゃうのがもどかしいポイントだったんだよね。

これで何が変わるの？

Cloudflare の off-ramp 経由で到達できるアプリケーションであれば、ポートやプロトコルを問わず次のような重要なセキュリティコントロールを適用できるようになったよ。

  • シングルサインオン(SSO)
  • 多要素認証(MFA)
  • デバイスポスチャチェック
  • 可変のセッション長

これによって、SSH・RDP・内部データベースといった非 HTTPS のアプリケーションにまで、Zero Trust セキュリティを広げられるようになったの。しかもこの機能はもう一般提供(GA)されていて、全プランで使えるよ。

深く潜ってみよう

原文で紹介されている例がわかりやすいよ。ssh.testapp.local というポート 22 で動く SSH アプリケーションを、Access のセルフホストアプリケーションとして登録できるの。

そのうえで、次のようなポリシーを組めるようになるよ。

  • 組織内のエンジニアだけを対象にする
  • SSO・MFA のチェックをパスしていることを条件にする
  • 会社支給の端末(コーポレートデバイス)を使っていることを条件にする

この 3 つの条件を満たしたエンジニアだけが、ssh.testapp.local の 22 番ポートに接続できる、という設定が実現できるってことだね。ポイントは「Cloudflare の off-ramp 経由で到達できること」で、そこさえ満たしていれば、HTTPS 以外のアプリケーションでも同じように守れるようになったの。

まとめ

  • Cloudflare Access のプライベートホスト名アプリケーションが、全ポート・全プロトコルに対応
  • 今までは HTTPS の 443 番ポート・SNI 対応が必須で、SSH や RDP などは対象外だった
  • SSO・MFA・デバイスポスチャ・可変セッション長といった Zero Trust コントロールを、非 HTTPS アプリケーションにも適用可能に
  • 例: ssh.testapp.local のポート 22 に、SSO/MFA と会社端末チェックを条件にしたポリシーを設定できる
  • 全プランで一般提供(GA)開始

社内の SSH サーバーや RDP、生のポートで動く内部データベースをゼロトラストで守りたかったみんなに、まさに刺さるアップデートだよ！

関連記事