← Network Flow / network-flow / tutorials

Šifrování dat o síťovém toku

Data network flow odesílaná z routeru do Cloudflare můžete zašifrovat pomocí směrování ↗ svůj provoz síťových toků přes zařízení se spuštěným Cloudflare One Client. Šifrovaný provoz síťových toků se poté ze zařízení Cloudflare One Client přeposílá na koncové body Network Flow společnosti Cloudflare.

Další informace o klientovi Cloudflare One a jeho instalaci v systémech Linux, macOS nebo Windows najdete v Dokumentace Cloudflare One Client.

Řiďte se pokyny v Network Flow (dříve Magic Network Monitoring) API a nakonfigurujte svá zařízení.

warp_devices pole na úrovni účtu představuje seznam zařízení WARP, přes která můžete odesílat šifrované toky. Každé zařízení WARP musí mít:

• UUID klienta Cloudflare One. UUID můžete získat v uživatelském rozhraní nebo pomocí následujícího příkazu:

  warp-cli registration show

• Název.
• A router_ip která patří k jedné z nakonfigurovaných IP adres vašich routerů.

Například:

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/mnm/config" \
	--request PATCH \
	--header "X-Auth-Email: $CLOUDFLARE_EMAIL" \
	--header "X-Auth-Key: $CLOUDFLARE_API_KEY" \
	--json '{
		"warp_devices": [
				{
						"id": "<YOUR_WARP_DEVICE_UNIQUE_IDENTIFIER>",
						"name": "<NAME_OF_WARP_DEVICE>",
						"router_ip": "YOUR_ROUTER_IP"
				}
		]
	}'

V závislosti na tom, kam jste Cloudflare One Client nainstalovali, může být nutné nakonfigurovat i další zařízení v podsíti, aby přes něj směrovala provoz. Pokud máte přístup ke svému routeru a běží na něm verze nebo operační systém podporovaný Cloudflare One Client, Cloudflare doporučuje Možnost 1. Totéž platí, pokud používáte softwarový exportér flow dat (například softflowd) namísto fyzického routeru ke shromažďování a exportu toků.

Pokud jste nainstalovali Cloudflare One Client na svůj router nebo na kolektor (počítač, virtuální stroj nebo server, který shromažďuje informace o tocích), není potřeba žádná další konfigurace. Veškerý provoz používá router jako výchozí bránu. Nastavte export toků tak, aby odesílal data na IP adresu 162.159.65.1 a port 2055 pro NetFlow, nebo 162.159.65.1 a port 6343 pro sFlow.

Pokud máte přístup k routeru, ale Cloudflare One Client jste nainstalovali na jiném zařízení, můžete router nakonfigurovat tak, aby exportoval provoz toků na zařízení se spuštěným Cloudflare One Client. Postupujte takto:

1. Nastavte na routeru jako cíl exportu IP adresu daného počítače.
2. Nastavte exportní port na routeru tak, aby odpovídal naslouchacímu portu na počítači s Cloudflare One Client.
3. Přesměrujte provoz, který přichází na počítač se spuštěným Cloudflare One Client, na následující cílové IP adresy a porty Cloudflare:
   • Pro NetFlow: IP adresa 162.159.65.1 a port 2055.
   • Pro sFlow: IP 162.159.65.1 a port 6343.
     Například pokud WARP běží na zařízení ve vaší síti s IP adresou 10.10.10.10, a nakonfigurovali jste ho tak, aby přijímal provoz na portu 2055 nebo 6343, musíte nakonfigurovat router s podporou exportu flow dat tak, aby odesílal data na 10.10.10.10 a port 2055 nebo 6343.

Na zařízení se spuštěným Cloudflare One Client můžete tento provoz přesměrovat do Cloudflare pomocí proxy nebo jiného nástroje pro přesměrování podle vašeho výběru. Mezi možnosti patří:

• Použití socat, naslouchejte na požadovaném portu pro provoz UDP. Poté tento provoz přesměrujte (proxy) na cílovou adresu a port Network Flow.
  • socat UDP-LISTEN:2055,reuseaddr,fork UDP:162.159.65.1:2055
  • socat UDP-LISTEN:6343,reuseaddr,fork UDP:162.159.65.1:6343
• Při použití jiného proxy nebo nástroje pro přesměrování portů, například netcat, uredir nebo iptables.

Pokud nechcete, aby veškerý provoz na vašem zařízení procházel přes Cloudflare One Client, nakonfigurovat rozdělené tunely nebo režim proxy a buď povolte provoz Network Flow pouze směrem k 162.159.65.1 nebo vyloučit vše ostatní.