CloudflareのZero Trustに接続するWARPの証明書は[デフォルトの証明書]を利用してセットアップしてきました。
この[デフォルトの証明書]は利用期限が決まっており、期日が迫るとCloudflareから証明書を更新しろ！とのメールが届きます。
[デフォルトの証明書]はどのセキュリティ空間にも利用できる共通の証明書でしたが、これから作成する証明書は貴方のセキュリティ空間専用の証明書になります。
ここではこの証明書の作成方法と展開方法を解説します。
1.事前知識
1.証明書の名前
更新証明書はデフォルトの証明書と下表の様に名前が異なります。
| 項目 | ファイル名 | 証明書に記述されている名前 |
| デフォルト証明書 | Cloudflare_CA.crt | Cloudflare for Teams ECC Certificate Authority |
| 新たな証明書 | certificate.crt | Gateway CA -Cloudflre Managed G1 xxxxxxxxxx |
■xxxxxxxxxxは作成時に付けられ、これにより貴方のセキュリティ空間専用の証明書名になります。
2.証明書を切換えると発生する問題
証明書を切り替えるとZero Trustの設定の一部がデフォルトに戻る事がありましたので、切り替える前に下記の設定内容を確認し、記録しておいて下さい。
①[TLS decryption]と[AV scanning]の設定
[settings]→[Network]にある[TLS decryption]と[AV scanning]がOFFになる事がありました。
よって証明書を更新した後は必ずこの設定を確認し、OFFの場合はONにして下さい。
②Gatewayのブロック画面のカスタマイズの設定
[Settings]→[Custom Pages]の中の[Block page]の設定がデフォルトに戻る事がありました。
よってこの設定も証明書を切換える前に確認し設定内容を他のツールに記録しておいて下さい。
このサイトのサンプル事例は[Gatewayのブロック画面のカスタマイズ]になります。
2.新しい証明書の作成と切り替え
①[Settings]→[Resources]を開きます。
②[Cloudflare certificates]の[manage]ボタンを挿入します。
③現在の画面の確認
下記画面はデフォルトの証明書[Cloudflare default certificate]が[Active]で[IN-Use(現在の証明書)]である事を表しています。
この証明書の有効期限が近づいたのでCloudflare社からメールが送られてきました。
■もし上記以外の証明書が自動で作られていた場合は、右側のメニュ
をクリックし[Details]画面に入り[Deactivate]ボタンを挿入後、[Delete]ボタンで削除して下さい。
④画面にある[Generate certificate]を挿入して、新しい証明書を作成します。
デフォルトの証明書の期間は5年なので、これで作成して下さい。（30年まで作れるようです）
作成された証明書は[INACTIVE]になっているので、右側のメニュから[Activate]を実行します。
⑤利用する証明書の切り替え
[Activate]したあと暫くすると、新しい証明書も[Active]になります。
次はこの証明書を使う！という宣言です。
右側のメニュから[Details]を実行します。
⑥表示された画面から[Confirm and turn on certificate]を実行します
⑦画面の確認と証明書のダウンロード
新しい証明書が[IN-Use(現在の証明書)]になりました。
あとは新しい証明書を右側のメニュの[Download.crt]でダウンロードしPCにインストールします。
スマホにはメールで上記の証明書を添付ファイルで送りインストールします。
3.WindowsPCの証明書変更
1.古い照明書の削除
①Windowsマークを右クリックし[ファイル名を指定して実行]を起動します。
②[certmgr.msc]を入力しOKボタンを挿入します。
③[信頼されたルート証明機関→証明書]をダブルクリックして証明書を表示させます。
④古い証明書の削除
・[デフォルト証明書]を利用していた場合は[Cloudflare for Teams ECC Certificate Authority]を削除します。
・既に[新たな証明書]を使っていた場合は[Gateway CA -Cloudflre Managed G1 xxxxxxxxxx]を削除します。
2.新しい証明書のインストール
①ダウンロードした証明書(certificate.crt)をダブルクリックし、開いたダイアログボックスの[開く]ボタンを挿入します。
②表示された画面の[証明書のインストール]ボタンを挿入します。
③次の画面で保存場所を[ローカルコンピュータ]に設定し[次へ]で先に進みます。
④次の画面で[証明書をすべて次のストアに配置する]を選択し、[参照]ボタンを挿入し、[信頼されたルート証明機関]を選択して[OK]ボタンを挿入します。
⑥[次へ]で先に進み[完了]ボタンを挿入します。
4.Androidの証明書変更
1.古い照明書の削除
①[設定→セキュリティ→認証情報ストレージ]を実行します。
②[信頼できる証明書]を選択します。
③[ユーザ]タブを選択します。
④古い証明書の削除
・[デフォルト証明書]を利用していた場合は[Cloudflare for Teams ECC Certificate Authority]を削除します。
・既に[新たな証明書]を使っていた場合は[Gateway CA -Cloudflre Managed G1 xxxxxxxxxx]を削除します。
⑤ファイルアプリの[ダウンロード]フォルダから古い証明書ファイルも削除して下さい。
・[デフォルト証明書]を利用していた場合は[Cloudflare_CA.crt]を削除します。
・既に[新たな証明書]を使っていた場合は[certificate.crt]を削除します。
2.新しい証明書のインストール
①PCにダウンロードした証明書(certificate.crt)をメールに添付してスマホに送ります。
②スマホのメールを開いて添付された証明書にあるダウンロードボタンを挿入します。
以上で内部ディスクに証明書がダウンロードされます。
③ファイルアプリの[ダウンロード]フォルダでダウンロードされたファイルを確認します。
新しい証明書は[certificate.crt]です。
無い場合はSDカードの[ダウンロード]フォルダを確認して下さい。
④[設定→セキュリティ→認証情報ストレージ]を実行します。
⑤表示された画面から[ストレージから証明書をインストール]を実行します。
⑥[CA証明書]を選択します。
⑦次の画面で[インストールする]を選択します。
⑧ファイル一覧が表示されるので[certificate.crt]を探して選択します。
以上で証明書がインストールされます。
5.iOSの証明書変更
1.古い照明書の削除
①[設定→一般]の[VPNとデバイス管理]を開きます。
②古い証明書の削除
・[デフォルト証明書]を利用していた場合は[Cloudflare for Teams ECC Certificate Authority]を削除します。
・既に[新たな証明書]を使っていた場合は[Gateway CA -Cloudflre Managed G1 xxxxxxxxxx]を削除します。
2.新しい証明書のインストール
iOSでは[Safari]ブラウザのみ証明書をダウンロードできます。
①PCにダウンロードした証明書(certificate.crt)をWebメールに添付して送ります。
②SafaliからWebメールを開き証明書(certificate.crt)をクリックします。
③画面に表示された[ダウンロード]をクリックし[許可]を選択します。
ダウンロードしたら[閉じる]で終了します。
④[設定→一般]の[VPNとデバイス管理]を開きます。
この中に[Gateway CA -Cloudflre Managed G1 xxxxxxxxxx]が表示されています。
⑤証明書をクリックします。
⑥表示された画面の右上の[インストール]をクリックします。
⑦警告画面の右上の[インストール]をクリックし、プロファイル画面の[インストール]をクリックします。
⑧[完了]を挿入します。
以上で証明書がインストールされました。
次にこの証明書の信頼度設定を行います。
①[設定→一般]の[情報]を開きます。
②画面の一番下にある[証明書信頼設定]を開きます。
③[Gateway CA -Cloudflre Managed G1 xxxxxxxxxx]をONにします。
④ルート証明書画面の[続ける]をクリックします。
以上でこの証明書が利用できる様になりました。
3.参考情報
2024年10月21日現在のiOSの[Cloudflare One Agent]のバージョンは1.6です。
このバージョンはローカルリソースアクセスは問題ないのですが、インターネットアクセスにバグがある様です。
DNSポリシは機能しているので[セキュリティカテゴリ]や[コンテンツカテゴリ]はブロックされるのですが、セキュリティ空間専用のDNSリゾルバとにリンクが上手くいってないようで、カスタマイズしたブロック画面が表示されません。
[セキュリティカテゴリ]や[コンテンツカテゴリ]のブロックは[サーバとセキュリティ保護された接続を確立できなかったため、ページは開けません]とのメッセージでブロックされます。
また、Cloudflareのブロックのテストサイトは全く機能しません。
又、[TLS decryption]も上手く働かないようで、HTTPポリシが機能しません。
いずれにしてもデバイスに悪影響を与えるサイトはブロックされるので問題ありません。
そのうちに改善されると思います。
