Cloudflare One
한도, 설정, API 필드, 카테고리 ID 또는 정확한 UI 경로를 인용하기 전에 Cloudflare One 문서, Cloudflare 문서 MCP 서버 또는 Cloudflare API 스키마에서 최신 정보를 검색하세요.
워크플로우
- 요청을 분류합니다: 아키텍처, 구성, 문제 해결, 마이그레이션 또는 검토.
- 컨텍스트를 수집합니다: 계정 ID, 사용자/사이트/앱, ID 공급자, SCIM/그룹 동기화, 장치 관리, 트래픽 경로, 규정 준수 제약 조건 및 롤아웃 영향 범위.
- 관련 제품(Access, Gateway, WARP/장치 클라이언트, Tunnel/Mesh, Cloudflare WAN, DLP, CASB, 장치 상태 또는 ID)에 필요한 최신 문서만 검색합니다.
- 계정 접근이 가능한 경우, 변경을 제안하거나 적용하기 전에 기존 리소스(Access 앱/정책/그룹/IdP, Gateway 규칙/리스트/카테고리, 장치 프로필/상태 확인, 터널/경로, DNS/해석기 설정, 위치/사이트)를 검사합니다.
- 필수 조건, 검증 및 롤백 계획과 함께 변경 세트를 제안합니다. 위험한 변경의 경우, 사용자가 명시적으로 달리 요청하지 않는 한, 비활성화하거나 파일럿 그룹/사이트로 범위를 제한하여 단계적으로 적용합니다.
평가 프롬프트
구성으로 바로 건너뛰지 않도록 다음 프롬프트를 사용하세요. 사용자 작업과 관련된 프롬프트만 질문합니다.
아키텍처 및 현재 상태
- 사이트 및 사용자: 사무실, 지사, 데이터 센터, VPC, 원격 사용자, 계약자, 사용자 수 및 현재 연결 모델.
- 애플리케이션 및 대상: SaaS, 공용 앱, 프라이빗 앱, API, 인프라 대상, 프로토콜, 포트, 호스트 이름 및 IP 범위.
- 연결: VPN, MPLS, SD-WAN, 직접 인터넷 연결, 중앙 집중식 백홀, 사이트 간 필요 사항 및 프라이빗 DNS 아키텍처.
- 보안 스택: 현재 SWG, NGFW, VPN/ZTNA, DLP, CASB, 이메일 보안, 로깅 및 규정 준수 요구 사항.
- ID: IdP, SCIM/그룹 동기화, 그룹 명명, 다중 IdP 요구 사항, 서비스 계정 및 계약자/파트너 접근.
- 롤아웃: 파일럿 사용자/사이트, 영향 범위, 롤백 경로, 지원 담당자 및 성공 기준.
Access 및 SaaS 연동
- 앱 형태: 웹 앱, API, SSH/RDP/VNC, 데이터베이스, SaaS 앱, 공용 호스트 이름, 프라이빗 IP 또는 프라이빗 호스트 이름. 선택하기 전에 Access 애플리케이션 유형 문서를 검색하세요.
- 접근 모델: 클라이언트리스 브라우저 접근, 장치 클라이언트를 통한 프라이빗 네트워킹, 피어 투 피어 연결, 서비스 토큰 또는 상호 TLS를 통한 서비스 연결, 또는 SaaS SSO 연동.
- 정책 요구 사항: 사용자 그룹, 장치 상태, 세션 지속 시간, mTLS, 서비스 토큰 및 앱 런처 가시성. 선택기 또는 평가 순서를 구성하기 전에 Access 정책 문서를 검색하세요.
- SaaS 세부 정보: SAML 대 OIDC 지원, ACS/리디렉션 URL, 엔터티 ID/클라이언트 ID, 필수 속성 및 테넌트 제어 요구 사항.
터널 및 프라이빗 네트워킹
- 사이트 및 세그먼트: 연결이 필요한 데이터 센터, VPC, 사무실 또는 네트워크 세그먼트.
- 고가용성: 개발/테스트는 단일 커넥터, 프로덕션은 다중 커넥터 또는 고급 다중 터널/사이트 이중화.
- 런타임: cloudflared 또는 WARP Connector/Mesh가 실행될 대상: VM, 컨테이너, Kubernetes, 베어메탈 또는 기타 대상.
- 이그레스: 커넥터가 필수 아웃바운드 포트/프로토콜을 통해 Cloudflare에 연결할 수 있는지 여부. 정확한 엔드포인트를 지정하기 전에 터널 연결 사전 확인 문서를 검색하세요.
- 오리진 연결성: 커넥터가 모든 프라이빗 오리진을 확인하고 연결할 수 있는지 여부.
- 라우팅: 필요한 CIDR/호스트 이름, 중복 IP 공간, 가상 네트워크, 분할 터널 및 프라이빗 DNS/해석기 정책 요구 사항.
- 관리 모델: 로컬 구성을 사용해야 하는 명확한 이유가 없는 한, 새로운 배포에는 원격 관리/토큰 기반 터널을 선호합니다.
Gateway, TLS 및 DLP
- 트래픽 제어: DNS 카테고리, HTTP URL/경로 검사, L4 포트/프로토콜, 이그레스 IP 요구 사항, 사용자 정의 리스트 및 허용/차단 예외. 현재 선택기 및 적용 순서에 대한 Gateway 트래픽 정책 문서를 검색하세요.
- ID: Gateway 정책에 사용자 또는 그룹 선택기가 필요한지 여부 및 사용자가 WARP/IdP 컨텍스트를 통해 인증되는지 여부. 그룹이 관련된 경우 Gateway ID 선택기 및 SCIM 프로비저닝을 확인하세요.
- TLS 검사: 루트 CA 배포 경로, 인증서 고정 애플리케이션, 규정 준수 예외 및 FIPS 요구 사항. 활성화하기 전에 TLS 복호화 문서를 검색하세요.
- DLP: 민감한 데이터 유형, 검사할 채널, TLS 검사 준비 상태, DLP 프로필, 페이로드 로깅 요구 사항 및 오탐지 허용 오차. 시행을 생성하기 전에 DLP 문서를 검색하세요.
CASB, 장치 상태 및 위험
- CASB: SaaS 공급업체, 관리자 액세스 수준, 스캔 정책, 조직 규모, 수정 담당자 및 인라인 보호도 필요한지 여부. 수정을 권장하기 전에 CASB 결과 문서를 검색하세요.
- 장치 상태: 필요한 검사, 타사 EDR/MDM 통합, 등록 규칙, 장치 프로필 및 분할 터널 정렬.
- 위험 점수: 관련 행동 신호, VPN 또는 서비스 계정과 같은 오탐지 출처 및 위험이 조사용인지 시행용인지 여부. 정책에서 위험을 사용하기 전에 사용자 위험 점수 문서를 검색하세요.
Cloudflare WAN / 사이트 연결
- 사이트 토폴로지, 온램프 유형, 경로 소유권, 터널 이중화, 정적 vs BGP 관리 경로, 네트워크 방화벽 요구 사항 및 어플라이언스/프로필 소유권. 사이트 연결 변경을 제안하기 전에 Cloudflare WAN 및 Cloudflare 네트워크 방화벽 문서를 검색하세요.
안전장치
- Access는 애플리케이션 권한 부여를 제어하고 Gateway는 트래픽 검사/필터링을 제어합니다. 요구 사항이 ID 인식 앱 액세스와 네트워크/웹 보안을 모두 포괄하는 경우 둘 다 사용하세요.
- 새로운 Access 배포의 경우, 재사용 가능한 정책 API(
/access/policies)를 통해 정책을 생성하고 애플리케이션에 연결하세요. 현재 API 문서에서 앱 범위 정책을 명시적으로 요구하지 않는 한, 애플리케이션 생성/업데이트 요청에 인라인policies를 보내지 마세요. reusable: false로 보고된 앱 범위 정책은 레거시로 처리하세요. 문서화된make_reusable엔드포인트로 기존 정책을 마이그레이션하거나 재사용 가능한 정책으로 교체하세요. 새로운 레거시 정책을 만들지 마세요. 레거시 개인 네트워크 애플리케이션 유형과 레거시 정책을 구분하세요.- 공용 호스트 이름 Access 앱은 클라이언트리스일 수 있습니다. 프라이빗 대상 앱에는 WARP/장치 클라이언트 또는 다른 네트워크 온램프와 경로 및 DNS 확인이 필요합니다. 프라이빗 대상을 구성하기 전에 자체 호스팅 프라이빗 앱 문서를 검색하세요.
- Cloudflare Tunnel은 프라이빗 네트워크에서 Cloudflare로 가는 오프램프입니다. Cloudflare WAN 및 Mesh는 다른 오프램프이며 온램프 역할도 할 수 있습니다.
- 그룹 기반 정책은 IdP 그룹 클레임 또는 SCIM에 의존합니다. 그룹 동기화가 없는 경우 그룹 선택기를 임의로 만들지 마세요.
- 프라이빗 호스트 이름에는 명시적인 DNS 라우팅/해석이 필요합니다. Access 앱만 만드는 것으로는 충분하지 않습니다. 해석기 정책을 사용하고 프라이빗 호스트 이름 연결을 검토하세요.
- 암호화된 웹 트래픽에 대한 HTTP 검사 및 DLP에는 TLS 검사와 계획된 미검사 예외가 필요합니다.
- Gateway DNS, 네트워크, HTTP 및 이그레스 정책은 서로 다른 평가 의미 체계를 가집니다. 우선 순위를 설명하기 전에 적용 순서 문서를 검색하세요.
- 광범위한 차단/허용/DLP/TLS 정책은 비활성화된 상태로 시작하여 특정 대상 사용자 또는 그룹으로 제한된 파일럿으로 시작하고, 사용자가 더 넓은 롤아웃을 승인할 때까지 기다리세요.
ID 및 액세스
- Access 그룹은 Cloudflare 개체입니다. IdP/SCIM 그룹은 ID 클레임입니다. Gateway 그룹 선택기는 Access 그룹이 아닌 동기화된 IdP 그룹을 사용합니다.
- 그룹 이름 및 SAML/OIDC 속성은 대소문자를 구분합니다. 그룹 기반 규칙을 만들기 전에 정확한 클레임 이름과 값을 확인하세요.
- SCIM 변경 사항 및 그룹 구성원은 동기화 및 재인증이 완료될 때까지 오래된 상태일 수 있습니다. IdP 상태뿐만 아니라 사용자의 마지막 인증된 ID로 문제를 해결하세요.
- Access 정책은 기본적으로 거부입니다. 경로가 있지만 허용 정책이 없는 프라이빗 앱은 여전히 액세스를 차단합니다.
- Access 정책 선택기는 IP 목록을 사용할 수 있으며 Gateway 도메인 또는 URL 목록은 사용할 수 없습니다.
- SaaS 연동은 SaaS 앱에 대한 인증을 처리합니다. SaaS 권한 부여 및 테넌트 제한은 일반적으로 SaaS 측 역할 및/또는 Gateway 테넌트 제어가 필요합니다.
- SSH/VNC/RDP용 브라우저 렌더링은 Access 기능입니다. 브라우저 격리는 일반 웹 콘텐츠를 원격으로 렌더링합니다. 이 둘을 혼동하지 마세요.
장치 클라이언트 배포
- Cloudflare One 장치 클라이언트는 사용자 장치의 온램프입니다. 두 가지 구성 요소가 이를 제어합니다: 등록 규칙(연결할 수 있는 사용자) 및 장치 프로필(등록 후 클라이언트 동작 방식).
- 등록 규칙은 장치 설정이 아닌
warp유형의 Access 애플리케이션입니다. 재사용 가능한 Access 정책을 허용합니다. 등록 디버깅은 장치가 아닌 Access에서 찾으세요. - 헤드리스 또는 자율 장치(서비스, 키오스크, Linux 호스트)의 경우 서비스 토큰 등록을 사용하세요. 비인간 장치는
non_identity@[team-domain].cloudflareaccess.com으로 인증되며 그룹 구성원이 없습니다. IdP 그룹을 대상으로 하는 장치 프로필은 일치하지 않습니다. 헤드리스 장치를 비인간 이메일, 장치에 대한 특정 규칙(OS 정보 등)으로 명시적으로 대상으로 지정하거나 기본 프로필에 속하도록 두세요. - 장치 프로필은 연결 모드, 분할 터널 구성, 사용자 권한(비활성화, 잠금 전환), 자동 재연결 및 캡티브 포털 동작을 제어합니다. 프로필은 우선 순위 순서에 따라 사용자 그룹 또는 장치 속성으로 일치됩니다. 첫 번째 일치가 적용되고 기본 프로필이 나머지를 처리합니다.
- 분할 터널 모드는 가장 영향력이 큰 단일 클라이언트 설정입니다. 배포 목표에 따라 모드를 선택하세요:
| 목표 | 모드 | 근거 |
|---|---|---|
| VPN 대체 전용(프라이빗 앱) | 포함 | 지정된 프라이빗 CIDR 및 호스트 이름만 클라이언트를 통해 라우팅합니다. 나머지는 모두 직접 연결됩니다. 영향 범위가 최소화됩니다. |
| SWG 전용(인터넷 보안) | 제외 | 모든 트래픽이 클라이언트를 통과합니다. 중단되는 항목(로컬 프린터, 인증서 고정 앱)만 제외합니다. |
| VPN 대체 + SWG | 제외 | 모든 트래픽이 클라이언트를 통과합니다. 가장 일반적인 엔터프라이즈 구성입니다. |
| 다른 VPN과 공존 | 포함 | 다른 VPN의 터널 인터페이스 및 DNS 제어와의 충돌을 방지합니다. |
| DNS 필터링 전용 | DNS 전용 모드 | DNS 쿼리만 Gateway로 전송됩니다. 트래픽 프록시는 없습니다. |
- 포함 대 제외는 프로필별로 적용되며 항목별로 적용되지 않습니다. 동일한 프로필에서 모드를 혼합할 수 없습니다. 배포 중간에 모드를 전환하려면 모든 항목을 재평가해야 합니다.
- 분할 터널 항목은 터널 경로와 양방향으로 정렬되어야 합니다. 일치하는 터널 경로 없이 포함 목록에 있는 CIDR은 블랙홀을 유발합니다. 일치하는 장치 프로필 항목 없이 터널 경로가 있으면 트래픽이 터널로 들어가지 않습니다.
- MDM 매개변수(
mdm.xml/ 관리 환경 설정)는 파일에 지정된 모든 설정에 대해 대시보드에서 구성된 프로필 설정을 재정의합니다. 대시보드 변경 사항이 관리 장치에 영향을 미치지 않는 것처럼 보이면 MDM 구성을 확인하세요. 플랫폼별 파일 위치 및 매개변수는 MDM 배포 문서를 검색하세요. - 다른 VPN 클라이언트 또는 에이전트가 장치에서 DNS를 제어하는 경우, 장치 클라이언트의 DNS 차단이 충돌합니다. 공존 시나리오에서는 "트래픽 전용" 모드를 사용하여 라우팅 테이블 및 DNS 충돌을 방지하세요.
- 캡티브 포털 감지는 포털(호텔 WiFi, 공항)을 감지하면 클라이언트를 일시적으로 연결 해제합니다. 이는 최종 사용자 마찰의 일반적인 원인이므로 신중하게 관리해야 합니다.
프라이빗 네트워킹
- 분할 터널 모드는 모든 경로 결정의 의미를 변경합니다: 제외 모드는 제외 목록에서 제거할 때 트래픽을 Cloudflare로 보내고, 포함 모드는 포함 목록에 추가할 때만 트래픽을 보냅니다.
- 가상 네트워크는 IP 서브넷이 중복되고 호스트 이름 기반 라우팅이 사용되지 않는 경우에 주로 사용해야 합니다. 다른 사용자 연결 동작을 제어하는 데 사용할 수 있지만 보안 정책을 통해 관리하는 것이 좋습니다.
- 정상 터널은 cloudflared가 Cloudflare에 연결할 수 있음을 증명할 뿐입니다. 터널에는 적절한 액세스 정책 및 경로가 있어야 합니다. 자세한 내용은 터널 문제 해결을 참조하세요.
- WARP Connector는 WARP 클라이언트와 다른 배포 방법을 사용하는 네트워크 온램프 옵션입니다. 자세한 내용은 WARP Connector 문서를 검색하세요.
문제 해결
- 문제 해결을 시작하기 전에 사용자에게 정확히 무엇이 작동하지 않는지, 작동해야 하는 방식, 문제가 발생한 시기 및 최근 변경 사항을 물어보세요.
- Access 문제 해결의 경우,
/access/logs/access_requests또는/audit_logs엔드포인트를 통해 Access 요청 로그를 확인하세요. HTTP 상태 코드 및 거부 이유는 정책 평가 문제를 나타냅니다. - Gateway 문제 해결의 경우, Gateway 활동 로그 또는
/accounts/{account_id}/gateway/logs엔드포인트를 확인하세요. DNS, 네트워크, HTTP 정책은 평가 순서가 다릅니다. - 터널 문제 해결의 경우, cloudflared 로그와 터널 상태 엔드포인트를 확인하세요. 일반적인 문제로는 방화벽 규칙, DNS 확인 실패, 인증서 만료 및 경로 누락이 있습니다.
- WARP 클라이언트 문제 해결의 경우, WARP 상태 및 연결 상태를 확인하세요. 일반적인 문제로는 잘못된 분할 터널 구성, DNS 충돌 및 캡티브 포털이 있습니다.
마이그레이션
- Zscaler, Netskope, Palo Alto Networks, Symantec, McAfee, Cisco 및 기타 공급업체에서 마이그레이션을 위한 전용 지침은 cloudflare-one-migrations를 참조하세요.
- 마이그레이션을 시작하기 전에 현재 상태, 대상 상태 및 전환 계획을 문서화하세요.
- 마이그레이션에는 일반적으로 다음이 포함됩니다: IdP 구성, Access 정책, Gateway 규칙, 장치 클라이언트 배포, 터널 생성 및 프라이빗 네트워크 경로.
- 병렬 실행 및 점진적 전환을 계획하여 위험을 최소화하세요.
추가 리소스
지원 플랫폼
이 스킬은 다음 AI 에이전트와 함께 사용하도록 설계되었습니다:
- Claude Code
- Cursor
- Codex
- Windsurf
- Cline
- Aider
- GitHub Copilot