Klientský certifikát (mTLS) – Zabbix za Cloudflare

ZbxView 0.46+ · ZbxView connect 1.1+ · Cloudflare

Když Zabbix vystavíte do internetu přes Cloudflare (třeba přes Cloudflare Tunnel), můžete Cloudflare nastavit tak, aby pustil dál jen zařízení s klientským certifikátem. Kdo ho nemá, k přihlašovací stránce Zabbixu se vůbec nedostane. ZbxView certifikát umí poslat: nahraný u serveru, z MDM, nebo rovnou v QR kódu modulu ZbxView connect.

1. Vydejte certifikát v Cloudflare

V Cloudflare otevřete svou doménu → SSL/TLS → Client Certificates → Create Certificate.
Nechte Generate private key and CSR with Cloudflare a jako typ klíče zvolte ECDSA (P-256). Jen takový klíč se vejde do QR kódu modulu ZbxView connect; pro MDM a ruční nahrání by stačil i RSA. Platnost nastavte podle firemních pravidel.
Zvolte formát PEM a uložte si certifikát i privátní klíč. Klíč Cloudflare ukáže jen teď, později už ne.
Na stejné stránce v části Hosts přidejte hostname Zabbixu, např. zabbix.example.com. Teprve pak Cloudflare začne certifikát od klientů žádat.

2. Pusťte dál jen zařízení s certifikátem

V Security → WAF → Custom rules vytvořte pravidlo s akcí Block a tímto výrazem (Edit expression):

(http.host eq "zabbix.example.com" and not cf.tls_client_auth.cert_verified)

Webové rozhraní Zabbixu pak z prohlížeče bez certifikátu neotevřete. Správcům certifikát naimportujte do prohlížeče, nebo pro web použijte jiný hostname.

3. Dostaňte certifikát do telefonů

QR kód z modulu ZbxView connect
Správce nahraje certifikát s klíčem (.p12 / .pfx nebo .pem, klíč EC) v Administrace → Konfigurace telefonu. Telefon ho dostane při párování, kód se rozdělí na tři střídající se QR kódy. Návod k modulu
MDM / Intune
Klíče client_cert, client_key, client_cert_hosts a případně client_cert_locked, aby ho uživatel nemohl změnit. Tabulka klíčů
Ručně v aplikaci
U serveru v sekci Zabezpečení spojení zapněte klientský certifikát a nahrajte soubor .p12 / .pfx, nebo vložte PEM. Každý server může mít vlastní certifikát.

4. Ověření

U serveru v aplikaci uvidíte stav certifikátu (Aktivní), komu je vydán a do kdy platí; tlačítko Otestovat ověří spojení. Zkouška naopak: prohlížeč bez certifikátu musí od Cloudflare dostat stránku o zablokování.

Aplikace posílá certifikát jen serverům, které jsou u něj uvedené (adresa serveru, případně client_cert_hosts), jinému serveru nikdy. Klíč zůstává v úložišti klíčů zařízení. Hlídejte si expiraci: datum platnosti ukazuje Cloudflare u certifikátu i aplikace u serveru.

← zpět na hlavní stránku