La prima impressione di WARP è fuorviante. L'icona nel menu macOS, l'interfaccia di accensione e spegnimento, l'indicatore "connesso": sembra tutto un client VPN aziendale di un'altra epoca. Ma il modello sottostante è sufficientemente diverso che trattarlo come un sostituto diretto di Cisco AnyConnect porta a decisioni di progettazione inadeguate. WARP non crea una rete privata tra il dispositivo e l'ufficio. Instrada il traffico attraverso il perimetro globale di Cloudflare e ciò che consente (possura del dispositivo, filtraggio DNS e HTTP, accesso a reti private senza IP pubblici) è una conseguenza dell'architettura, non della tradizionale modalità operativa VPN.
Modalità operative WARP
WARP esiste in tre configurazioni con comportamenti distinti. La modalità consumatore, l'app gratuita "1.1.1.1", applica solo DNS su HTTPS, instradando le query attraverso il risolutore di Cloudflare senza creare un tunnel per il traffico dati. La modalità "WARP" attivata nell'app gratuita va oltre: instrada tutto il traffico del dispositivo tramite WireGuard attraverso l'edge Cloudflare, con una protezione simile a una VPN, ma senza vincoli organizzativi.
La modalità rilevante per gli ambienti aziendali è Zero Trust. In esso, WARP viene registrato nell'organizzazione tramite Cloudflare for Teams e la differenza è sostanziale: l'amministratore definisce le politiche di split tunneling, i controlli di postura del dispositivo, il filtraggio DNS e HTTP attraverso il Gateway e può condizionare l'accesso alle applicazioni protette da Access allo stato di WARP sul dispositivo. L'utente non può disinstallare o annullare la registrazione di WARP senza l'azione dell'amministratore: il controllo è organizzativo.
Quando il WARP è necessario e quando no
La confusione più comune nei progetti Zero Trust è presupporre che tutti gli utenti abbiano bisogno di WARP. Per le applicazioni web a cui si accede tramite il browser e protette da Cloudflare Access, WARP non entra in gioco. Il flusso di autenticazione avviene completamente attraverso il browser (reindirizzamento all'IdP, autenticazione, sessione JWT) senza che WARP debba essere installato o attivo.
WARP diventa necessario in tre scenari: quando l'accesso avviene su protocolli non HTTP instradati attraverso il tunnel — SSH, RDP, accesso al database — e Cloudflare necessita di un client sul dispositivo per instradare questo traffico; quando le policy di accesso includono controlli di postura del dispositivo come condizione di accesso; e quando l'accesso avviene su intervalli IP privati instradati attraverso il tunnel Cloudflare in modalità di rete privata.
Questa distinzione ha implicazioni pratiche per l'implementazione: se l'organizzazione utilizza principalmente applicazioni Web interne e l'accesso SSH ai server è limitato a un sottoinsieme del team di ingegneri, WARP può essere distribuito solo a quel sottoinsieme, riducendo l'ambito dell'implementazione tramite MDM.
Postura del dispositivo: cosa consente WARP
I controlli della postura del dispositivo sono uno dei più importanti elementi di differenziazione di WARP. Con il client installato e registrato presso l'organizzazione, Cloudflare può verificare, prima di consentire l'accesso a un'applicazione, se il dispositivo ha la crittografia del disco abilitata, se la versione del sistema operativo soddisfa il minimo configurato, se è in esecuzione un agente di sicurezza specifico (CrowdStrike, Carbon Black, SentinelOne) e se il dispositivo è unito a un dominio gestito.
Questi controlli sono integrati direttamente nelle policy di accesso. Una policy di accesso per l'ambiente di produzione potrebbe richiedere: l'appartenenza dell'utente al gruppo tecnico, l'autenticazione con MFA, il dispositivo con CrowdStrike attivo e il sistema operativo aggiornato. Se una qualsiasi condizione fallisce, l'accesso viene negato e il registro di controllo registra quale condizione non è riuscita, non solo l'accesso negato. Con la VPN l’unica porta è l’autenticazione; Una volta all'interno, lo stato del dispositivo non viene più controllato.
Tunneling diviso: include ed esclude
Il tunneling diviso in WARP funziona in due modalità con semantica opposta. La modalità di esclusione, l'impostazione predefinita in molte configurazioni iniziali, definisce ciò che non passa attraverso WARP: tutto tranne i percorsi elencati passa attraverso Cloudflare. La modalità di inclusione definisce cosa passa: solo i percorsi elencati, il resto passa direttamente tramite Internet del dispositivo.
La modalità Includi è la più sicura per gli ambienti aziendali. Solo il traffico verso i domini e gli intervalli IP dell'organizzazione passa attraverso WARP; Il traffico verso i servizi esterni avviene direttamente, senza ulteriore latenza. L'utente ha prestazioni migliori per l'uso generale; l'organizzazione mantiene il controllo sul traffico aziendale. La modalità di esclusione è inizialmente più semplice da configurare, ma ogni nuovo servizio esterno che deve essere escluso richiede l'aggiornamento dell'elenco, che nel tempo diventa debito operativo.
Le prestazioni WARP in genere superano le tradizionali VPN basate su IPsec per gli utenti geograficamente distribuiti. WireGuard ha un minore sovraccarico di handshake e il traffico viene instradato verso la edge location Cloudflare più vicina, non verso l'hub VPN nel data center del cliente, che può trovarsi a centinaia di millisecondi di distanza per i collaboratori remoti.
Distribuzione su larga scala e comportamento disconnesso
WARP supporta la distribuzione gestita tramite MDM: Jamf Pro, Intune, Mosyle. L'organizzazione distribuisce il profilo di configurazione che registra automaticamente WARP sull'account aziendale senza l'intervento manuale dell'utente. Per 100 dispositivi con MDM consolidato, l'implementazione richiede in genere meno di una settimana di lavoro effettivo: la maggior parte del tempo riguarda test e comunicazioni, non configurazione tecnica.
Il comportamento quando WARP è disconnesso richiede una pianificazione esplicita. Se una policy di accesso condiziona l'accesso a WARP attivo, l'utente con WARP disconnesso, a causa di un errore di rete, della reinstallazione del sistema operativo o dell'uscita da MDM, perde l'accesso alle applicazioni che dipendono da questa condizione. Il team responsabile deve documentare il percorso di riparazione: come l'utente si riconnette, cosa fare se il dispositivo viene eliminato dall'organizzazione, come operare in caso di emergenza in cui l'accesso è critico e WARP non è disponibile.
La decisione sull'ambito WARP
L'implementazione di WARP a tutti gli utenti, con split tunnel in modalità di inclusione, trasforma Cloudflare Gateway in un filtro DNS e HTTP per tutto il traffico aziendale: una protezione aggiuntiva contro malware, phishing ed esfiltrazione che va oltre il controllo dell'accesso alle applicazioni interne. Il Gateway può bloccare categorie di siti web, ispezionare il traffico HTTPS in linea e generare registri di tutta l'attività di navigazione, con implicazioni sulla privacy che devono essere comunicate esplicitamente al team.
WARP limitato al sottoinsieme che necessita di accesso non HTTP è tecnicamente sufficiente per Zero Trust. WARP a livello di organizzazione aggiunge di per sé funzionalità di filtraggio della rete, ma richiede policy di utilizzo accettabili documentate e una comunicazione chiara su ciò che viene monitorato.