Der erste Eindruck von WARP ist irreführend. Das Symbol im macOS-Menü, die Ein- und Ausschaltoberfläche, die „Verbunden“-Anzeige – alles sieht aus wie ein Unternehmens-VPN-Client aus einer anderen Zeit. Das zugrunde liegende Modell ist jedoch so unterschiedlich, dass die Betrachtung als direkter Ersatz für Cisco AnyConnect zu schlechten Designentscheidungen führt. WARP erstellt kein privates Netzwerk zwischen dem Gerät und dem Büro. Es leitet den Datenverkehr über den globalen Edge von Cloudflare weiter, und was es ermöglicht – Gerätestatus, DNS- und HTTP-Filterung, Zugriff auf private Netzwerke ohne öffentliche IPs – ist eine Folge der Architektur und nicht des herkömmlichen VPN-Betriebsmodus.
WARP-Betriebsmodi
WARP existiert in drei Konfigurationen mit unterschiedlichen Verhaltensweisen. Der Verbrauchermodus – die kostenlose App „1.1.1.1“ – wendet nur DNS über HTTPS an und leitet Abfragen über den Resolver von Cloudflare weiter, ohne einen Tunnel für den Datenverkehr zu erstellen. Der in der kostenlosen App aktivierte „WARP“-Modus geht noch weiter: Er leitet den gesamten Geräteverkehr über WireGuard durch den Cloudflare-Edge, mit einem VPN-ähnlichen Schutz, aber ohne organisatorische Bindung.
Der relevante Modus für Unternehmensumgebungen ist Zero Trust. Darin wird WARP über Cloudflare for Teams in der Organisation registriert, und der Unterschied ist erheblich: Der Administrator definiert Split-Tunneling-Richtlinien, Gerätestatusprüfungen, DNS- und HTTP-Filterung über das Gateway und kann den Zugriff auf Anwendungen, die durch Access geschützt sind, vom Status von WARP auf dem Gerät abhängig machen. Der Benutzer kann WARP nicht ohne Administratoreingriff deinstallieren oder die Registrierung aufheben – die Kontrolle obliegt der Organisation.
Wann WARP notwendig ist und wann nicht
Die häufigste Verwirrung bei Zero-Trust-Projekten ist die Annahme, dass alle Benutzer WARP benötigen. Bei Webanwendungen, auf die über den Browser zugegriffen wird und die durch Cloudflare Access geschützt sind, kommt WARP nicht ins Spiel. Der Authentifizierungsfluss erfolgt vollständig über den Browser – Umleitung zum IdP, Authentifizierung, Sitzungs-JWT – ohne dass WARP installiert oder aktiv sein muss.
WARP wird in drei Szenarien erforderlich: wenn der Zugriff auf Nicht-HTTP-Protokolle erfolgt, die über den Tunnel geroutet werden – SSH, RDP, Datenbankzugriff – und Cloudflare einen Client auf dem Gerät benötigt, um diesen Datenverkehr weiterzuleiten; wenn Zugriffsrichtlinien Gerätestatusprüfungen als Zugriffsbedingung beinhalten; und wenn der Zugriff auf private IP-Bereiche erfolgt, die im privaten Netzwerkmodus über Cloudflare Tunnel geroutet werden.
Diese Unterscheidung hat praktische Auswirkungen auf die Einführung: Wenn die Organisation hauptsächlich interne Webanwendungen verwendet und der SSH-Zugriff auf Server auf eine Untergruppe des Engineering-Teams beschränkt ist, kann WARP nur für diese Untergruppe bereitgestellt werden, wodurch der Umfang der Einführung über MDM verringert wird.
Gerätehaltung: Was WARP ermöglicht
Gerätehaltungsprüfungen sind eines der wichtigsten Unterscheidungsmerkmale von WARP. Wenn der Client installiert und bei der Organisation registriert ist, kann Cloudflare, bevor der Zugriff auf eine Anwendung zugelassen wird, prüfen, ob auf dem Gerät die Festplattenverschlüsselung aktiviert ist, ob die Betriebssystemversion das konfigurierte Minimum erfüllt, ob ein bestimmter Sicherheitsagent ausgeführt wird – CrowdStrike, Carbon Black, SentinelOne – und ob das Gerät einer verwalteten Domäne beigetreten ist.
Diese Prüfungen sind direkt in Access-Richtlinien integriert. Eine Zugriffsrichtlinie für die Produktionsumgebung erfordert möglicherweise: Benutzer gehört zur Engineering-Gruppe, Authentifizierung mit MFA, Gerät mit aktivem CrowdStrike und aktualisiertem Betriebssystem. Wenn eine Bedingung fehlschlägt, wird der Zugriff verweigert – und das Prüfprotokoll zeichnet auf, welche Bedingung fehlgeschlagen ist, nicht nur, dass der Zugriff verweigert wurde. Bei VPN ist die Authentifizierung das einzige Tor. Im Inneren wird der Gerätestatus nicht mehr überprüft.
Split-Tunneling: einschließen vs. ausschließen
Split-Tunneling in WARP funktioniert in zwei Modi mit entgegengesetzter Semantik. Der Ausschlussmodus – der Standardwert in vielen Erstkonfigurationen – definiert, was nicht über WARP geht: Alles außer den aufgelisteten Routen geht über Cloudflare. Der Include-Modus definiert, was durchgeht: nur die aufgelisteten Routen, der Rest geht direkt über das Internet des Geräts.
Der Einschlussmodus ist für Unternehmensumgebungen am sichersten. Nur der Datenverkehr zu den Domänen und IP-Bereichen der Organisation wird über WARP geleitet. Der Datenverkehr zu externen Diensten wird ohne zusätzliche Latenz direkt weitergeleitet. Der Benutzer verfügt über eine bessere Leistung für den allgemeinen Gebrauch; Die Organisation behält die Kontrolle über den Unternehmensverkehr. Der Ausschlussmodus ist anfangs einfacher zu konfigurieren, aber jeder neue externe Dienst, der ausgeschlossen werden muss, erfordert eine Aktualisierung der Liste – was mit der Zeit zu Betriebskosten führt.
Die WARP-Leistung übertrifft in der Regel herkömmliche IPsec-basierte VPNs für geografisch verteilte Benutzer. WireGuard hat einen geringeren Handshake-Overhead und der Datenverkehr wird zum nächstgelegenen Cloudflare-Edge-Standort weitergeleitet – nicht zum VPN-Hub im Rechenzentrum des Kunden, der für Remote-Mitarbeiter Hunderte von Millisekunden entfernt sein kann.
Bereitstellung im großen Maßstab und unverbundenes Verhalten
WARP unterstützt die verwaltete Bereitstellung über MDM – Jamf Pro, Intune, Mosyle. Die Organisation verteilt das Konfigurationsprofil, das WARP automatisch im Unternehmenskonto registriert, ohne dass ein manueller Benutzereingriff erforderlich ist. Bei 100 Geräten mit konsolidiertem MDM dauert die Einführung in der Regel weniger als eine Woche tatsächlicher Arbeit – die meiste Zeit wird für Tests und Kommunikation aufgewendet, nicht für die technische Konfiguration.
Das Verhalten bei getrennter WARP-Verbindung erfordert eine explizite Planung. Wenn eine Zugriffsrichtlinie den Zugriff auf aktives WARP bedingt, verliert der Benutzer mit getrennter WARP-Verbindung – aufgrund eines Netzwerkfehlers, einer Neuinstallation des Betriebssystems oder eines Beendens von MDM – den Zugriff auf Anwendungen, die von dieser Bedingung abhängen. Das verantwortliche Team muss den Abhilfepfad dokumentieren: wie der Benutzer die Verbindung wiederherstellt, was zu tun ist, wenn das Gerät aus der Organisation gelöscht wird, wie in Notfällen vorzugehen ist, in denen der Zugriff kritisch ist und WARP nicht verfügbar ist.
Die WARP-Umfangsentscheidung
Durch die Bereitstellung von WARP für alle Benutzer mit Split-Tunnel im Einschlussmodus wird Cloudflare Gateway zu einem DNS- und HTTP-Filter für den gesamten Unternehmensverkehr – zusätzlicher Schutz vor Malware, Phishing und Exfiltration, der über die Kontrolle des Zugriffs auf interne Anwendungen hinausgeht. Das Gateway kann Kategorien von Websites blockieren, den HTTPS-Verkehr inline überprüfen und Protokolle aller Browsing-Aktivitäten erstellen – mit Auswirkungen auf den Datenschutz, die dem Team explizit mitgeteilt werden müssen.
WARP, das auf die Teilmenge beschränkt ist, die Nicht-HTTP-Zugriff benötigt, ist für Zero Trust technisch ausreichend. Organisationsweites WARP bietet eigenständige Netzwerkfilterfunktionen – erfordert jedoch dokumentierte akzeptable Nutzungsrichtlinien und eine klare Kommunikation darüber, was überwacht wird.