cloudflare zerotrustメモ

許可していないプライベートIPに接続できる

最初アプリケーションで登録していたが、登録していないホストにssh出来ることに気づいた。
ファイアウォールポリシーの一番下に全拒否を追加すれば良いが、管理が複雑になるのでプライベートネットワークはファイアウォールポリシーで管理に統一することにした

private hostはファイアウォールポリシーのネットワークで設定するのが楽そう。
アプリケーションで登録すると許可していないサーバーへの接続も出来てしまうので。

プライベートNW向けのリクエストをすべて弾くポリシー(Default Deny)を一番下に置くことで明示的に許可していないリクエストははじくことができる。

プライベートホストに対するDNSレコードを設定したい

ファイアウォールポリシーのDNSでoverrideしたポリシーを作成すれば良い。

セレクター: Host is ドメイン名
アクション: Override, ホスト名: IPアドレス

// TODO
azure ADで課金せずにグループをプロビジョニングしたい。
試行錯誤中。api叩けば出来そう