Cloudflare Zero Trust 是什么？从组织创建到客户端接入的完整指南

更新于 2026-11-05 · hgfastapp.lol

简答：Cloudflare Zero Trust 是一套按用户身份、设备状态和访问请求控制资源的网络安全方案。最快上手路径是：创建 Cloudflare 账户与 Zero Trust 组织，确定 team name，配置登录方式和设备注册规则，再根据目标选择 Access、Tunnel、Gateway 或 Cloudflare One Client。只保护一个内部网站时优先看 Access；需要连接私有网段时配置 Tunnel 与客户端；只做 DNS 过滤时可使用 DNS-only 模式。

定义：Cloudflare Zero Trust 是通过身份、设备与网络策略控制用户访问应用、私有网络和互联网流量的 Cloudflare One 安全能力集合。

先按目标选择组件：不要一开始把所有功能都打开

如果你只是想让指定用户访问一个内部网站，先配置 Access；如果目标是让远程设备访问办公室或云主机中的私有网段，需要将 Cloudflare Tunnel 与 Cloudflare One Client 组合使用；如果重点是域名过滤、恶意网站拦截或办公网络策略，则查看 Gateway；如果只希望解析请求经过安全 DNS，可先使用客户端的 DNS-only mode。Cloudflare 官方的入门文档也把内部应用、私有网络、DNS 过滤和安全 Web 流量列为不同的起步场景，详见Cloudflare One Get started。

你的目标	优先组件	是否通常需要客户端	先验证什么
只保护一个内部 Web 应用	Access，可配 Tunnel	浏览器访问公有主机名时不一定需要；私有网络地址通常需要	登录身份、Access Allow 策略、源站响应
访问办公室或云内私有网段	Tunnel + Cloudflare One Client	通常需要在访问设备上安装并注册客户端	路由 CIDR、Split Tunnels、设备注册状态
按域名阻断恶意或不合规网站	Gateway DNS policy	可以使用客户端，也可以按网络位置接入	Gateway 是否收到 DNS 查询、策略日志
检查 HTTP、网络和设备状态	Cloudflare One Client + Gateway/DEX	需要客户端处于连接状态	客户端连接、证书、策略命中与测试结果

关键判断：Access 主要回答“谁能访问这个应用”；Tunnel 负责“私有资源怎样连接到 Cloudflare”；Gateway 负责“经过接入点的流量怎样按规则处理”；Cloudflare One Client 负责“设备怎样加入组织并发送 DNS 或网络流量”。这些组件可以组合，但不是同一个功能的不同名称。

Cloudflare One、Zero Trust、Access、Tunnel 和 Gateway 的关系

Cloudflare One 可以理解为承载 Zero Trust、网络连接、设备和流量控制能力的产品平台；Zero Trust 是按请求验证身份、设备和上下文，而不是默认信任整个网络；ZTNA 是面向私有应用和网络资源的访问方式。官方替代传统集中式远程接入的架构中，用户设备运行 Cloudflare One Client，内部网络或应用服务器运行 Cloudflare Tunnel 或其他连接方式，然后由策略决定能否访问资源，参见Cloudflare Zero Trust 学习路径。

Access：作为身份感知代理，先检查用户、身份提供商、设备状态和 Access policy，再决定是否把请求转发到应用。它适合自建 Web 应用、SaaS 单点登录和部分基础设施访问。
Tunnel：在私有网络中的服务器运行 cloudflared，向 Cloudflare 建立出站连接，避免源站必须拥有可公开路由的地址。私有网络场景需要进一步配置路由。
Gateway：对 DNS、网络和 HTTP 流量执行策略。不同策略类型覆盖范围不同：DNS 适合按域名过滤，Network 适合非 HTTP 流量，HTTP 适合按 URL、文件或账号等条件检查。
Cloudflare One Client：以前称为 WARP 的组织客户端，用于设备注册、DNS 转发、网络流量接入和设备状态采集。官方文档将其分为 Traffic and DNS mode 与 DNS-only mode。
设备姿态检查：不是单独的连接协议，而是策略条件，可根据操作系统、磁盘加密、防火墙或管理状态等信息限制访问；是否可用要以当前计划、客户端和控制台配置为准。

对于新手，建议先画出“用户设备 → 接入方式 → Cloudflare 策略 → 内部应用或网络”的链路，再决定是否需要客户端、根证书、Tunnel 和 Split Tunnels。这样能避免把 DNS 过滤误当成私有网段访问，也能避免只创建 Tunnel 却没有给设备配置访问路径。

从零配置 Cloudflare Zero Trust：推荐的 6 步顺序

创建账户并启用基础安全设置。先准备 Cloudflare 账户，并按官方引导创建 Zero Trust organization。创建过程中需要选择 team name；它是组织内部标识，也会影响设备手动加入组织时填写的名称。官方说明见Zero Trust 入门步骤。
记录 team name，谨慎确认组织归属。team name 可在 Zero Trust 设置中查看，并可能用于组织的 team domain。不要在还未确认账户归属、身份提供商和已有设备前删除组织或随意改名；官方 FAQ 提醒，改名后可能需要同步更新身份提供商和 Cloudflare One Client，参见Getting started FAQ。
配置登录方式与设备注册权限。可以使用组织默认身份方式、一次性 PIN 或连接外部身份提供商。随后创建 device enrollment permissions，明确哪些用户或群组可以注册设备。先只允许测试账号，验证成功后再扩大范围。
选择客户端模式。Traffic and DNS mode 适合需要更完整流量策略、身份规则和设备姿态检查的组织；DNS-only mode 只处理 DNS 过滤，不能替代完整的 HTTP 流量检查。客户端首次部署、登录、模式和根证书要求，以Cloudflare One Client 设置文档当前说明为准。
连接应用或私有网络。保护 Web 应用时，在 Access 中创建 self-hosted application 并添加 Allow policy；连接私有网段时，在内部服务器部署 cloudflared，创建 Tunnel，再配置对应的 IP/CIDR route。官方私有网络文档说明，访问设备必须加入 Zero Trust 组织，常见方式是安装 Cloudflare One Client，参见Private networks。
最后再创建最小策略并复测。先只允许一个测试用户、一个测试设备和一个测试应用。确认登录、路由、DNS、策略日志和应用响应都正常后，再增加群组、网段和更复杂的设备条件。

高权限操作需要提前保留恢复路径：改 Tunnel 路由前记录原有 CIDR，改 Split Tunnels 前记录当前包含或排除列表，安装根证书前确认设备管理权限；如果改动后无法访问，先撤销最近一条策略或恢复原路由，不要直接关闭全部安全检查。

Tunnel、Access 和 Gateway 怎么组合：三个可落地场景

场景一：只保护一个内部网站

如果内部网站可以通过主机名发布，先创建 Tunnel 或使用现有连接方式，再在 Zero Trust 的 Access applications 中创建 self-hosted application，添加允许的邮箱、群组或身份提供商。Access 负责身份和授权，Tunnel 负责把请求送到内部服务。不要把 App Launcher 中的书签当成安全防护；官方应用类型说明指出，书签主要控制入口展示，并不会自动保护目标网址，参见Choose an application type。

场景二：远程访问私有 IP、SSH 或 RDP

在内部网络运行 cloudflared，为私有网段创建 Tunnel CIDR route，然后在用户设备安装并登录 Cloudflare One Client。若客户端没有把目标 CIDR 纳入 Split Tunnels，设备可能显示已连接，但私有地址仍然无法到达。官方文档给出的基本顺序是创建 Tunnel、进入 Routes、创建 Tunnel CIDR 并填写目标网段，参见Connect an IP/CIDR。

场景三：只做 DNS 过滤或办公网络策略

如果目标只是阻断恶意域名、钓鱼域名或不需要访问的分类，先让设备或网络位置接入 Gateway，再确认 DNS 查询已经出现在日志中，最后创建 DNS policy。需要按 URL 路径、HTTP 上传或账号控制时，DNS 规则不够，应评估 HTTP policy；需要处理 SSH、RDP 等非 HTTP 流量时，应评估 Network policy。官方流量控制文档提供了策略类型和接入方式的对应关系，参见Cloudflare Gateway traffic controls。

费用、席位和部署复杂度：怎样核实而不是凭感觉估算

Cloudflare Zero Trust 的实际成本不能只看“有没有免费计划”。需要分别核对计划类型、活跃席位、所需功能、日志或数据保留、可选服务、客户端部署成本和内部运维成本。Cloudflare 官方入门页说明，选择 Free plan 时仍可能需要完成计费信息步骤，但不会因此收费；当前计划和结算条件应以Cloudflare 官方 Plans 页面及控制台展示为准。

项目	核实方法	不要直接推断的内容
计划	查看 Zero Trust 设置中的订阅与官方 Plans 页面	不要把某一功能在文档中的出现等同于所有计划都包含
席位	检查实际认证用户和已注册 Cloudflare One Client 的用户	不要只按设备数量估算，也不要把删除用户等同于永久禁止再次认证
基础设施	计算运行 Tunnel 的服务器、网络设备、日志和管理系统	不要把 Cloudflare 连接能力与内部服务器成本混为一谈
高级功能	在当前控制台查看资格、功能开关和结算页面	没有当前页面或账户资格证据时，不写固定价格和固定限额

官方 FAQ 说明，用户在应用认证或注册 Cloudflare One Client 时会计入活跃席位；移除用户和撤销用户的效果也不同。因此，小团队可以先用单个测试账号和一条应用策略验证链路，再决定是否扩大部署，不建议先批量安装客户端后再查费用和权限。

连接失败、能登录但访问不了：按链路排查

先分清故障层级：是无法打开 Dashboard、客户端无法登录、能登录但 DNS 不通、私有 IP 不通、应用返回 403，还是访问速度和延迟异常。不同现象不要共用一个解决方案。
检查 team name 和登录方式：设备加入的组织名称必须与当前组织一致；如果最近改过 team name，检查身份提供商、客户端组织信息和登录页面是否同步。
检查设备注册权限：确认测试账号匹配 enrollment rule，设备在组织中显示为已注册，客户端没有处于退出、暂停或本地网络例外状态。
检查模式和证书：DNS-only mode 不能承担完整 HTTP 检查；需要 HTTP inspection 时，核实设备是否安装并信任组织要求的根证书。移动系统与桌面系统的证书能力并不完全相同，以当前客户端文档为准。
检查 Tunnel 与路由：确认 cloudflared 进程在线、Tunnel 对应正确、CIDR 没有写错，内部防火墙允许来自 Tunnel 所在服务器的访问；客户端侧再检查 Split Tunnels 是否包含目标私有网段。
检查策略顺序和生效时间：先查看 DNS、Network、HTTP 哪一层命中，再确认 Allow 与 Block 是否冲突。Gateway 策略可能需要一段时间同步到各边缘位置，修改后应等待并重新测试，不要连续创建多条相反规则。
用 DEX 区分网络问题和应用问题：在 Insights > Digital experience 中创建 HTTP test，比较 DNS response time、server response time、HTTP status code 和整体请求时间。官方文档说明，HTTP test 可从已安装并开启客户端的设备发起 GET 请求，用于判断是 DNS、链路还是目标应用异常，参见HTTP test。

如果只有一台设备失败，优先查客户端、证书、系统代理和本地 DNS；如果同一用户的多台设备都失败，查身份和策略；如果所有用户都失败，查 Tunnel、路由、源站防火墙或组织级配置。遇到延迟、丢包或跨地区连接问题时，应分别记录客户端模式、解析结果、目标 IP、路径和复测时间，不能仅凭一次网页打开结果判断线路质量。

常见问题

Cloudflare Zero Trust 适合个人还是企业？

两者都可以使用，但配置目标不同。个人或家庭实验室通常先验证一个内部应用或一台设备；小团队应先配置身份、设备注册和最小策略；企业还需要考虑身份提供商、设备管理、日志、策略分层和变更恢复。具体功能和计划资格以当前控制台为准。

Cloudflare One Client 和 WARP 是同一个东西吗？

官方文档将 Cloudflare One Client 标注为 formerly WARP。面向组织部署时，客户端需要填写 team name、完成身份认证并遵守设备注册规则；普通客户端连接体验与组织托管模式不能简单等同。

只配置 Cloudflare Tunnel，用户就能访问私有网络吗？

不能直接这样判断。Tunnel 负责把内部服务器或网段连接到 Cloudflare，还需要创建正确的主机名或 CIDR 路由、配置访问策略，并让用户设备加入组织。私有 IP 访问通常还要检查 Cloudflare One Client 与 Split Tunnels。

DNS-only mode 能替代完整的 Zero Trust 网络接入吗？

不能。DNS-only mode 主要处理 DNS 查询，不提供完整 HTTP 流量检查、身份策略和设备姿态检查。若目标是访问私有网段或执行更细的网络控制，应评估 Traffic and DNS mode、Tunnel、Gateway 和相应策略。

为什么客户端显示已连接，但内部 IP 仍然打不开？

优先检查私有网段是否创建了 Tunnel CIDR route，客户端 Split Tunnels 是否包含该网段，内部服务器的返回路由和防火墙是否允许访问，以及设备是否真的注册到正确的 Zero Trust organization。不要只看客户端图标判断链路完整。

Cloudflare Zero Trust 的价格怎么确认？

先查看官方 Plans 页面和 Zero Trust 控制台中的订阅、席位与功能资格，再结合当前结算页确认。活跃席位与用户认证、客户端注册有关；文章不能替代你的账户报价，也不应把历史页面中的价格当成当前价格。