Cloudflare con Devolutions Gateway

Comportamiento importante de Cloudflare Tunnel: el nombre de host público de un túnel con nombre de Cloudflare sirve HTTP/HTTPS/WebSocket en el edge de Cloudflare en el puerto 443. No expone TCP sin procesar como hostname:port en la red pública de Internet. Para las sesiones nativas de relay TCP de RDM, cada cliente debe ejecutar cloudflared access tcp, que crea un listener local como localhost:8181.

1. Inicie sesión en el panel de Cloudflare.
2. Vaya a la sección Zero Trust en el Cloudflare Dashboard. Esto puede solicitarle que elija un plan; el plan gratuito de Zero Trust funcionará.

El plan gratuito de Cloudflare se puede usar para instalar y ejecutar túneles de Cloudflare. Sin embargo, en el plan gratuito, el dominio público debe usar DNS de configuración completa, con Cloudflare como servidor de nombres autoritativo.

1. Vaya a Redes – Túneles y Mesh y haga clic en Crear un túnel.

1. Seleccione Cloudflared y haga clic en Siguiente.

1. Introduzca un nombre y haga clic en Guardar túnel.

1. Elija el sistema operativo y la arquitectura adecuados.
2. Descargue el instalador mediante el enlace proporcionado.

1. Copie la cadena de configuración.
2. Ejecute el instalador de Cloudflare.
3. En la sección Instalar y ejecutar un conector de la ventana de instalación de Cloudflare, copie el comando.
4. Abra el servidor con el daemon del túnel de Cloudflare instalado y, a continuación, abra el Símbolo del sistema como administrador.
5. Pegue la cadena de configuración copiada en el paso 8 y pulse Enter.

Es aconsejable verificar que el Estado se muestre como Conectado. Si el túnel se gestiona mediante token o de forma remota, utiliza la configuración de ingress y TLS definida en el panel de Cloudflare. Si, en cambio, ejecuta cloudflared con un config.yml local que define su propio bloque ingress:, la configuración del panel, incluida No TLS Verify, se ignora.

1. Haga clic en Siguiente.

1. Introduzca un subdominio único.
2. Elija HTTPS como Tipo. Cuando use un certificado autofirmado o un certificado de una CA interna para Devolutions Gateway, active la opción No TLS Verify en Configuración adicional de la aplicación – TLS.

Use localhost:7171 como URL si se utilizó la configuración predeterminada del gateway.

Mantenga desactivada la conexión HTTP2 para el ingress HTTPS. Devolutions Gateway usa WebSocket, y HTTP/2 hacia el origen puede romper las actualizaciones de WebSocket.

1. Haga clic en Completar configuración.
2. Haga clic en el Nombre del túnel recién creado.

1. Haga clic en Rutas de aplicaciones publicadas y luego en Añadir una ruta de aplicación publicada.

1. Introduzca un subdominio único (distinto del paso 14).
2. Elija TCP como Tipo. Introduzca localhost:8181 si usa el puerto predeterminado.

Cloudflare no termina TLS en la ruta TCP, y no existe ninguna configuración de TLS Verify para TCP. La validación de TLS se realiza de extremo a extremo entre el cliente RDM y Devolutions Gateway a través del puente local cloudflared access tcp.

Cuando termine, debería haber dos nombres de host públicos.

Recuperar la clave de aprovisionamiento

El fichero de clave pública de DVLS debe ser accesible para el servidor que aloja Devolutions Gateway, que está detrás del túnel de Cloudflare.

1. Inicie sesión en la instancia de Devolutions Server o Devolutions Cloud como usuario con acceso a la configuración de Devolutions Gateway.
2. Vaya a Administración — Devolutions Gateway.
3. Haga clic en el botón Más y seleccione Descargar clave pública.

Instalar Devolutions Gateway con Cloudflare

1. Abra una conexión con el servidor que aloja Devolutions Gateway y descargue el instalador.
2. Ejecute el instalador.
3. Haga clic en Siguiente.

1. Una vez seleccionada la ruta de instalación deseada, haga clic en el botón Siguiente.

1. Haga clic en Siguiente.

1. Haga clic en Siguiente en la ventana Listeners.

Es aconsejable dejar los listeners predeterminados, ya que probablemente se correspondan con la configuración del túnel de Cloudflare.

1. Introduzca el URI externo por el que se podrá acceder al gateway.
2. Haga clic en Siguiente.

1. Especifique la ruta a los certificados TLS o a la ubicación del almacén de certificados del sistema.

El certificado del gateway debe incluir todos los nombres que un cliente TLS valida. En el modelo de puente TCP de Cloudflare, el cliente se conecta a localhost:<port>, por lo que localhost debe estar en el SAN del certificado, junto con el FQDN interno del gateway. Los nombres de host públicos del túnel de Cloudflare normalmente no necesitan estar en el certificado del gateway.

1. Haga clic en Siguiente.

1. Especifique la ruta a la clave pública recuperada previamente de Devolutions Server o Devolutions Cloud.

Este fichero de clave debe ser accesible para la cuenta NetworkService bajo la que se ejecuta Devolutions Gateway.

1. Haga clic en Siguiente.

1. Haga clic en Instalar.

Iniciar el cliente Cloudflared en el host de Remote Desktop Manager

El cliente Cloudflared debe descargarse e iniciarse para tunelizar correctamente la conexión. Este cliente creará una conexión saliente de túnel de Cloudflare desde cualquier cliente local de Remote Desktop Manager hacia el túnel de Cloudflare que se conecta a Devolutions Gateway.

El siguiente código debe ejecutarse en una ventana de terminal mientras el túnel deba permanecer abierto, y cada vez que se vaya a acceder a un gateway detrás de un túnel de Cloudflare. El ejecutable del cliente es cloudflared.exe (aunque puede que necesite renombrar la versión descargada). Use aquí el mismo puerto local que el Puerto de escucha TCP configurado en Devolutions Server o Hub Business.

Aquí lo demostramos usando el puerto 8182. Si nunca planea ejecutar RDM en el mismo servidor que el servicio Gateway, podría usar 8181; de lo contrario, obtendría un conflicto de puertos. Una forma de evitarlo es usar un puerto diferente, como se muestra aquí.

cloudflared.exe access tcp --hostname gateway-client-tcp.mydomain.com --url localhost:8182

El software cliente se conecta a localhost:8182, no a gateway-client-tcp.mydomain.com:8181. Como el cliente TLS valida el certificado del gateway contra localhost, el certificado del gateway debe incluir localhost en su SAN. Si no lo hace, el registro del gateway puede mostrar received fatal alert: CertificateUnknown.

Para evitar ejecutar el código cada vez, cree un servicio:

1. Inicie una sesión de PowerShell con privilegios elevados.
2. Introduzca este código para crear un nuevo servicio de PowerShell:

   New-Service -Name "Cloudflared Egress" -BinaryPathName '"C:\Tools\cloudflared.exe" access tcp --hostname gateway-client-tcp.mydomain.com --url localhost:8182' -StartupType Automatic
   Start-Service -Name "Cloudflared Egress"

3. Inicie el servicio.

El túnel ahora se ejecuta de forma permanente en el lado del cliente.

Configurar Devolutions Server

1. Inicie sesión en una instancia de Devolutions Server como usuario con acceso a la configuración de Devolutions Gateway.
2. Vaya a Administración — Devolutions Gateway.
3. Haga clic en el botón Añadir (+) y elija Gateway.

1. Introduzca los detalles recuperados previamente de Cloudflare usados para configurar Devolutions Gateway.

Puede ser necesario preceder el dominio del túnel de Cloudflare con https://. La Detección automática solo funcionará si el nombre de host HTTPS es accesible a través de Cloudflare.

Establezca la URL del Gateway en el nombre de host del túnel HTTPS, por ejemplo, https://gateway.mydomain.com. Establezca el Nombre de host TCP en localhost, no en el nombre de host público del túnel TCP. Establezca el Puerto de escucha TCP en el mismo puerto local usado por el puente del cliente, por ejemplo 8182.

Asegúrese de no usar el puerto TCP al final de la URL del Gateway. La URL del Gateway usa el nombre de host HTTPS de Cloudflare en el 443; el puerto TCP se configura por separado como el Puerto de escucha TCP.

1. Haga clic en Guardar.

1. Haga clic en el botón de puntos suspensivos (Más) junto al gateway recién configurado y seleccione Publicar lista de revocación.
2. Si la opción Publicar la configuración del Gateway está disponible, debería realizarse antes de Publicar lista de revocación.

Configurar Devolutions Cloud

1. Inicie sesión en una instancia de Devolutions Cloud como usuario con acceso a la configuración de Devolutions Gateway.
2. Vaya a Administración — Devolutions Gateway.
3. Haga clic en el botón Añadir (+).
4. Introduzca los detalles recuperados previamente de Cloudflare usados para configurar Devolutions Gateway.

Puede ser necesario preceder el dominio del túnel de Cloudflare con https://. La Detección automática solo funcionará si el nombre de host HTTPS es accesible a través de Cloudflare.

Establezca la URL del Gateway en el nombre de host del túnel HTTPS, por ejemplo, https://gateway.mydomain.com. Establezca el Nombre de host TCP en localhost, no en el nombre de host público del túnel TCP. Establezca el Puerto de escucha TCP en el mismo puerto local usado por el puente del cliente, por ejemplo 8182.

1. Recorra cualquier combinación de las pestañas Bóvedas, Grupos, o Usuarios para decidir cómo se distribuirán las licencias.
2. Haga clic en Añadir.
3. Haga clic en el botón de puntos suspensivos (Más) junto al gateway recién configurado y seleccione Publicar la configuración del Gateway.

Notas de resolución de problemas

• received fatal alert: CertificateUnknown En el registro del gateway, esto normalmente significa que un cliente TLS rechazó el certificado del gateway debido a una discrepancia de SAN/nombre. En esta configuración, a menudo significa que el Nombre de host TCP es localhost pero falta localhost en el SAN del certificado del gateway.
• Un diagnóstico rojo de configuración del nombre de host de escucha TCP normalmente indica que DVLS no puede alcanzar TCP sin procesar en el nombre de host configurado. Si apunta al FQDN público del túnel, cámbielo a localhost y asegúrese de que el puente local cloudflared access tcp esté en ejecución.
• Certificate could not be verified con campos en blanco, seguido de Cannot read properties of null (reading 'thumbprint'), suele significar que la detección del gateway no devolvió ningún certificado porque el túnel o el gateway no eran accesibles. Solucione primero la accesibilidad.
• El error 1033 de Cloudflare significa que Cloudflare no puede resolver el túnel. Confirme que el daemon cloudflared de origen está en ejecución y que el estado del túnel es Conectado.