← Network Flow / network-flow / tutorials

Шифрование данных сетевых потоков

Вы можете зашифровать данные о трафике, отправляемые с маршрутизатора в Cloudflare, с помощью маршрутизация ↗ ваш трафик сетевых потоков через устройство, на котором запущен Cloudflare One Client. Затем зашифрованный трафик сетевых потоков передается с устройства Cloudflare One Client на конечные точки сетевых потоков Cloudflare.

Подробнее о клиенте Cloudflare One и его установке в Linux, macOS или Windows см. в Документация Cloudflare One Client.

Следуйте инструкциям в Network Flow (formerly Magic Network Monitoring) API для настройки ваших устройств.

warp_devices массив на уровне аккаунта представляет собой список устройств WARP, через которые можно отправлять зашифрованные потоки. У каждого устройства WARP должны быть указаны:

• UUID клиента Cloudflare One. Получить UUID можно в интерфейсе или с помощью следующей команды:

  warp-cli registration show

• Имя.
• A router_ip который принадлежит одному из настроенных IP-адресов маршрутизатора.

Например:

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/mnm/config" \
	--request PATCH \
	--header "X-Auth-Email: $CLOUDFLARE_EMAIL" \
	--header "X-Auth-Key: $CLOUDFLARE_API_KEY" \
	--json '{
		"warp_devices": [
				{
						"id": "<YOUR_WARP_DEVICE_UNIQUE_IDENTIFIER>",
						"name": "<NAME_OF_WARP_DEVICE>",
						"router_ip": "YOUR_ROUTER_IP"
				}
		]
	}'

В зависимости от того, где установлен Cloudflare One Client, может потребоваться настроить другие устройства подсети для маршрутизации трафика через Cloudflare One Client. Если у вас есть доступ к маршрутизатору и он работает под версией/ОС, поддерживаемой Cloudflare One Client, Cloudflare рекомендует Вариант 1. Это также относится к случаям, когда вы используете программный экспортер потоков (например, softflowd) вместо физического маршрутизатора для сбора и экспорта потоков.

Если вы установили Cloudflare One Client на маршрутизаторе или на устройстве-коллекторе (компьютере, виртуальной машине или сервере, который собирает данные о трафике), дополнительная настройка не требуется. Весь трафик использует маршрутизатор в качестве шлюза по умолчанию. Настройте экспорт flow-данных на отправку данных по IP-адресу 162.159.65.1 и порт 2055 для NetFlow или 162.159.65.1 и порт 6343 для sFlow.

Если у вас есть доступ к маршрутизатору, но Cloudflare One Client установлен на другом устройстве, вы можете настроить маршрутизатор для экспорта flow-трафика на устройство, где запущен Cloudflare One Client. Для этого:

1. Укажите IP-адрес устройства в качестве адреса назначения экспорта на маршрутизаторе.
2. Настройте порт экспорта на маршрутизаторе так, чтобы он совпадал с портом прослушивания на устройстве с Cloudflare One Client.
3. Перенаправьте трафик, поступающий на устройство с запущенным Cloudflare One Client, на следующие IP-адреса и порты назначения Cloudflare:
   • Для NetFlow: IP-адрес 162.159.65.1 и порт 2055.
   • Для sFlow: IP 162.159.65.1 и порт 6343.
     Например, если WARP запущен на устройстве в вашей сети с IP-адресом 10.10.10.10, и вы настроили его для приема трафика на порту 2055 или 6343, необходимо настроить маршрутизатор с поддержкой экспорта потоков для отправки данных на 10.10.10.10 и порт 2055 или 6343.

На устройстве, где запущен Cloudflare One Client, вы можете перенаправить этот трафик в Cloudflare с помощью прокси или другого инструмента перенаправления на ваш выбор. Варианты включают:

• Использование socat, прослушивайте нужный порт для UDP-трафика. Затем перенаправьте этот трафик на адрес и порт назначения Network Flow.
  • socat UDP-LISTEN:2055,reuseaddr,fork UDP:162.159.65.1:2055
  • socat UDP-LISTEN:6343,reuseaddr,fork UDP:162.159.65.1:6343
• При использовании любого другого прокси или инструмента переадресации портов, например netcat, uredir или iptables.

Если вы не хотите, чтобы весь трафик с вашего устройства направлялся через Cloudflare One Client, настроить split tunnels или режим прокси чтобы разрешить трафик Network Flow только к 162.159.65.1 или исключить все остальное.