Wir präsentieren: WARP für Desktops und Cloudflare for Teams

Cloudflare wurde vor zehn Jahren ins Leben gerufen, um Websites und Webapplikationen vor Angriffen zu schützen und für Besucher schneller zu machen. Cloudflare-Kunden brachten ihre Websites und Webapplikationen auf unser Netzwerk, und ihre Besucher freuten sich über die höhere Geschwindigkeit. Doch diese Geschwindigkeit galt nicht für Websites und Webapplikationen außerhalb des Cloudflare-Netzwerks.

Seit einigen Jahren entwickeln wir Produkte, die zu einem schnelleren und sichereren Internet für alle beitragen können, nicht nur für die Besucher von Websites, die sich bereits in unserem Netzwerk befinden. Wir setzten beim ersten Schritt des Besuchs einer beliebigen Website an, der DNS-Abfrage, und brachten den schnellsten öffentlichen DNS-Resolver der Welt heraus: 1.1.1.1. Jeder Internetnutzer konnte jetzt die Verbindungsgeschwindigkeit zu jeder beliebigen Website verbessern, indem er einfach seinen Resolver umstellte.

Während wir das Internet für Nutzer schneller machten, konzentrierten wir uns auch darauf, ihre Daten zu schützen. Wir haben 1.1.1.1 entwickelt, um die „letzte Meile“ der Verbindungen zu beschleunigen – die Strecke vom Nutzer bis zu unserem Edge oder anderen Zielen im Internet. Im Gegensatz zu anderen Anbietern haben wir unseren Dienst nicht entwickelt, um Werbung zu verkaufen.

Letztes Jahr gingen wir einen Schritt weiter. Mit der Einführung von Cloudflare WARP haben wir die gesamte Verbindung von einem Gerät aus sowohl schneller als auch sicherer gemacht. Per Knopfdruck konnten Anwender ihr Mobilgerät über einen WireGuard-Tunnel durch ein Cloudflare-Rechenzentrum in ihrer Nähe mit dem gesamten Internet verbinden. Der Traffic zu Websites hinter Cloudflare wurde noch schneller und Nutzer konnten auch den Rest des Internets sicherer und mit höheren Geschwindigkeiten nutzen.

Anfang dieses Jahres haben wir diese Vorteile mit der Beta-Version auch für Desktops zugänglich gemacht. Heute können wir bekanntgeben, dass WARP für Desktops allgemein verfügbar ist. Jetzt ist das gesamte Internet sicherer und privater, unabhängig davon, wie Sie sich verbinden.

Dank WARP wurde das Internet für alle Nutzer überall schneller und ihre Daten wurden sicherer. Doch als Unternehmen in großem Maßstab Remote-Arbeit einführten, taten sich die Sicherheitsteams schwer damit, die Sicherheitskontrollen, die sie im Büro eingerichtet hatten, auf ihre Remote-Mitarbeiter auszuweiten. Heute stellen wir alles, was für unsere WARP-Nutzer selbstverständlich geworden ist, auch Sicherheitsteams zur Verfügung. Das Release enthält auch neue Features für unser Cloudflare-Gateway-Produkt.

Mit der Cloudflare-WARP-Anwendung können Unternehmens-Desktops mit Cloudflare Gateway verbunden werden und damit von erweiterter Webfilterung profitieren. Die Gateway-Features nutzen die gleichen Performance- und Sicherheitsvorteile wie die zugrundeliegende WARP-Technologie, jetzt auch mit Sicherheitsfilterung für die Verbindung.

Damit ist es für Unternehmen ganz einfach, ihre Nutzer zu schützen, wo auch immer sie sich befinden, ohne den Netzwerk-Traffic erst über eine zentralisierte Sicherheitsgrenze zurückleiten zu müssen. Stattdessen können Unternehmen die WARP-Clientanwendung so konfigurieren, dass der Traffic von Remote-Nutzern sicher und privat über ein Cloudflare-Rechenzentrum in ihrer Nähe gesendet wird. Gateway-Administratoren wenden Richtlinien auf ausgehenden Internet-Traffic an, der über den Client geleitet wird. So schützen Unternehmen die Nutzer vor Bedrohungen aus dem Internet und verhindern gleichzeitig, dass Unternehmensdaten ihr Unternehmen verlassen.

Mit WARP wollten wir Leuten, die nicht einmal wissen, was „VPN“ bedeutet, auf einfache Weise vergleichbaren Schutz bieten. Für diejenigen von uns, die sich schon mit traditionellen Firmen-VPNs herumschlagen mussten, brauchten wir etwas Besseres. So entstand unsere eigene WireGuard-Implementierung namens BoringTun.

Mit BoringTun verschlüsselt die WARP-Anwendung den gesamten Traffic von Ihrem Gerät und sendet ihn direkt zur Cloudflare-Edge. So wird gewährleistet, dass niemand ausspähen kann, was Sie tun. Wenn die Website, die Sie besuchen, bereits Cloudflare-Kunde ist, wird der Inhalt sofort auf Ihr Gerät gesendet. Bei WARP+ suchen wir den kürzesten Weg durch unser globales Netzwerk von Rechenzentren mit Argo Smart Routing.

Kombiniert mit den Vorteilen von 1.1.1.1 (dem weltweit schnellsten öffentlichen DNS-Resolver) bleibt Ihr Traffic mit WARP sicher, privat und schnell. Da fast alles, was Sie im Internet tun, mit einer DNS-Anfrage beginnt, sind fast alle Ihre Internetaktivitäten schneller, wenn alle Ihre Geräte den schnellsten DNS-Server nutzen. Geschwindigkeit ist jedoch nicht alles. Auch wenn die Verbindung zwischen Ihrer Anwendung und einer Website verschlüsselt ist, galt das bisher nicht für DNS-Lookups für diese Website. Dadurch konnte jeder, sogar Ihr Internetprovider, potentiell ausspähen, was Sie im Internet machen (und diese Informationen verkaufen).

Cloudflare wird Ihre persönlichen Daten niemals ausspionieren oder verkaufen. Wenn Sie DNS-over-HTTPS oder DNS-over-TLS für unseren 1.1.1.1-Resolver verwenden, wird Ihre DNS-Anfrage über einen sicheren Kanal gesendet. Das bedeutet: Wenn Sie den 1.1.1.1-Resolver verwenden, wird – zusätzlich zu unseren Datenschutzgarantien – ein Lauscher auch Ihre DNS-Anfragen nicht sehen können. Sie müssen uns aber nicht blind vertrauen. Anfang dieses Jahres haben wir die Ergebnisse einer Datenschutzprüfung durch eine dritte Partei publiziert. Wir werden uns diesen Prüfungen auch weiterhin unterziehen und wünschen uns, dass auch andere Anbieter unserem Beispiel folgen.

Wir haben uns gegenüber unseren Gateway-Kunden zu Datenschutz und Vertraulichkeit verpflichtet. Wir werden Ihre persönlichen Daten niemals an Dritte verkaufen. Während Ihr Administrator die Möglichkeit hat, den Traffic Ihres Unternehmens zu überprüfen und Regeln (wie lange die Daten aufbewahrt werden) oder spezifische Richtlinien (wohin die Daten gelangen können) zu erstellen, wird Cloudflare Ihre persönlichen Daten niemals verkaufen oder Ihre persönlichen Daten für gezielte Werbung auswerten. Ihr Datenschutz und die Kontrolle über die Daten Ihres Unternehmens liegen in Ihren Händen.

Traditionell haben Unternehmen den Zugriff auf Unternehmensressourcen mit VPN-Lösungen überwacht und Geräte mit VPN-Filterregeln geschützt. Doch als das Trafficvolumen über die lokalen Server des Unternehmens zunahm und Unternehmen VPN-Server verwalten und skalieren mussten, wurden diese Verbindungen schnell zu einer Fehlerquelle (und zu einem Einfallstor für Eindringlinge). Die Endnutzer waren auch nicht zufrieden. VPN-Server waren zu Spitzenzeiten in der Regel überlastet, der Client war sperrig und Performance spielte bei der Entwicklung selten eine Rolle. Und sobald ein böswilliger Akteur sich Zugang verschaffte, konnte er auf alles zugreifen.

VPN-Architektur‌‌

Im Januar 2020 haben wir Cloudflare for Teams als Ersatz für dieses Modell eingeführt. Cloudflare for Teams basiert auf zwei Kernprodukten: Cloudflare Access, eine Zero-Trust-Lösung, mit der Unternehmen interne (und jetzt auch SaaS-) Anwendungen mit der Cloudflare-Edge verbinden und Sicherheitsregeln aufstellen, um den sicheren Zugriff darauf zu gewährleisten. VPNs waren nicht mehr der zentrale Einstiegspunkt in das Unternehmen, Nutzer können von überall aus arbeiten und trotzdem Zugriff erhalten. Bei den ersten Features von Cloudflare Gateway ging es darum, Nutzer mit einem DNS-Resolver und einer Richtlinien-Engine auf Enterprise-Niveau vor Bedrohungen im Internet zu schützen.

Mit der Stärke und Leistungsfähigkeit der WARP-Clients, von der heute Millionen von Anwendern auf der ganzen Welt profitieren, eröffnen sich für Sicherheitsteams sagenhafte neue Anwendungsfälle:

• Verschlüsselung des gesamten Nutzer-Traffics: Unabhängig vom Standort Ihrer Nutzer wird der gesamte Traffic von ihren Geräten mit WARP verschlüsselt und privat an den nächstgelegenen WARP-Endpunkt gesendet. Dadurch sind Ihre Nutzer und Ihre Unternehmen vor Schnüfflern geschützt. Wenn Sie bisher neben Access immer noch ein herkömmliches VPN zum Verschlüsseln des Nutzer-Traffics verwenden, ist dies nun nicht mehr erforderlich.

• WARP+: Cloudflare bietet Kunden, die sich zusätzliche Geschwindigkeitsvorteile wünschen, den Premiumdienst WARP+ an. WARP+ ist jetzt in Teams enthalten. Jeder Teams-Kunde, der die Teams-Client-Anwendungen bereitstellt, erhält automatisch die Premium-Geschwindigkeitsvorteile von WARP+.

• Gateway für Remote-Mitarbeiter: Bisher mussten Sie bei Gateway die IP-Adressen aller Ihrer Nutzer im Auge behalten und Richtlinien pro Standort erstellen. Dies erschwerte die Durchsetzung von Richtlinien oder den Schutz vor Malware, wenn ein Nutzer sein Gerät an einen anderen Standort brachte. Wenn der Client installiert ist, können diese Richtlinien überall durchgesetzt werden.

• L7-Firewall und nutzerbasierte Richtlinien: Mit dem heute veröffentlichten Cloudflare-Gateway SWG und Secure DNS kann Ihre Organisation die Geräteauthentifizierung für Ihr Teams-Konto erzwingen, sodass Sie benutzerspezifische Richtlinien erstellen und den gesamten Traffic durch die Firewall führen können.

• Geräte- und Nutzerprüfung: Neben Nutzer- und Geräterichtlinien können Administratoren auch bestimmten Nutzer- und Geräte-Traffic prüfen. In Verbindung mit logpush ermöglicht dies Ihrem Unternehmen im Falle eines Verstoßes oder einer Prüfung eine detaillierte Nachverfolgung.

Wir wissen, wie schwer es sein kann, eine neue Software in einer Organisation einzuführen. Deshalb haben wir hart daran gearbeitet, die Bereitstellung unserer Produkte so einfach wie möglich zu machen. Um loszulegen, rufen Sie einfach unsere Anmeldeseite auf und erstellen ein Konto. Wenn Sie bereits ein aktives Konto besitzen, können Sie diesen Schritt überspringen und gleich zum Dashboard für Cloudflare for Teams gehen, wo Sie direkt in unseren Onboarding-Vorgang geführt werden. Nachdem Sie sich angemeldet und Ihr Team konfiguriert haben, richten Sie eine Gateway-Richtlinie ein und wählen dann eine der drei untenstehenden Möglichkeiten zur Installation der Clients, um diese Richtlinie durchzusetzen:

In kleinen Unternehmen ohne IT-Abteilung geht die Installation am schnellsten, wenn Sie die Nutzer auffordern, den Client selbst herunterzuladen und die erforderlichen Einstellungen einzugeben.

Einem Unternehmen manuell beitreten

Unsere Desktop-Installationsprogramme unterstützen schnelle Installation per Skript. Bei Windows geht das einfach mit dieser Befehlszeile:

Cloudflare_WARP_Release-x64.msi /quiet ORGANIZATION="<insert your org>" SERVICE_MODE="warp" ENABLE="true" GATEWAY_UNIQUE_ID="<insert your gateway DoH domain>" SUPPORT_URL=”<mailto or http of your support person>"

Unternehmen mit MDM-Tools wie Intune oder JAMF können WARP in einem einzigen Arbeitsgang für den gesamten Gerätepark bereitstellen. Genauso wie Sie alle anderen Geräteeinstellungen vorkonfigurieren, kann auch WARP so eingestellt werden, dass sich die Endnutzer nach der Bereitstellung des Cloudflare-WARP-Clients lediglich mit einem Klick darauf über den Identitätsanbieter Ihres Teams anmelden müssen.

Microsoft-Intune-Konfiguration

Eine vollständige Liste der Installationsoptionen, Pflichtfelder und Schritt-für-Schritt-Anleitungen für alle Plattformen finden Sie der Dokumentation zum WARP-Client.

Wir wollen sowohl für unsere WARP-Privatnutzer als auch für Kunden von Cloudflare for Teams noch weitere Features entwickeln. Hier ein kleiner Vorgeschmack auf einige Features, auf die wir uns am meisten freuen (und die wir an dieser Stelle verraten dürfen):

• Neue Partner-Integrationen mit CrowdStrike und VMware Carbon Black (Tanium heute verfügbar) ermöglichen es Ihnen, noch umfassendere Cloudflare-Access-Richtlinien zu erstellen, die den Gerätezustand prüfen, bevor sie Nutzern die Verbindung zu Anwendungen ermöglichen.

• Durch die Unterstützung von Split Tunnel können Sie oder Ihr Unternehmen Anwendungen, Standorte oder IP-Adressen angeben, die von WARP ausgeschlossen werden sollen. Dadurch können Inhalte wie Spiele, Streamingdienste oder beliebige gewünschte Anwendungen auch außerhalb der Verbindung ausgeführt werden.

Wir freuen uns, diese Anwendungen endlich mit unseren Kunden teilen zu können. Unser besonderer Dank gilt unseren Cloudflare-MVPs, den mehr als 100.000 Beta-Nutzern der Desktop-Version und den Millionen von Nutzern der mobilen WARP-App, die dazu beigetragen haben, WARP zu dem zu machen, was es heute ist.

Sie können die Anwendungen unter https://one.one.one.one gleich herunterladen.‌‌