NomidEsta guía muestra cómo instalar Cloudflare One Agent (com.cloudflare.cloudflareoneagent), la app de Android de Cloudflare One (Cloudflare Zero Trust), en dispositivos de la empresa administrados por Nomid MDM y cómo configurarlo con configuraciones gestionadas. Cloudflare llama a estos valores parámetros de implementación (deployment parameters). Con ellos, la app inicia sesión en su organización de Zero Trust, permanece conectada y muestra el contacto de su soporte. También puede elegir qué apps envían su tráfico a través de Cloudflare.
Cloudflare One Agent sustituye a la app 1.1.1.1 (com.cloudflare.onedotonedotonedotone) en Zero Trust. Cloudflare ya no admite la app 1.1.1.1 para las funciones de Zero Trust. Si sus dispositivos todavía la usan, consulte Pasar de la app 1.1.1.1 antes de empezar.
Los pasos usan el editor Policy 2.0. En el editor Classic, los mismos campos se abren con el engranaje de la tarjeta de la app; consulte 4.1 Políticas de tablets — Classic.
Riesgo: los ajustes de Cloudflare One Agent cambian la forma en que el dispositivo llega a la red. Un interruptor bloqueado, un modo de servicio, una lista de enrutamiento por app o una VPN siempre activa que bloquea el resto del tráfico pueden cortar el acceso a las apps de la empresa y a la administración del dispositivo. Un valor de punto final con formato incorrecto puede impedir que la app lea toda la configuración. Pruebe cada cambio en una política piloto con un solo dispositivo antes de vincular la política a la flota.
Antes de empezar
- Una empresa Android Enterprise en Nomid MDM con dispositivos totalmente gestionados o con perfil de trabajo, y el permiso Editar política en la política que va a cambiar.
- Una organización de Cloudflare Zero Trust y acceso al panel de Cloudflare One. Necesita el nombre de su equipo (team name, la organización en la que las personas inician sesión) y permisos de registro de dispositivos (device enrollment permissions) que permitan a sus usuarios, o a un service token, registrar dispositivos.
- Ajustes de VPN en Permitido dentro de Conectividad en la política. Cloudflare One Agent funciona como VPN en Android y, mientras Ajustes de VPN esté en Bloqueado, el dispositivo puede impedir que obtenga acceso a la VPN. Permitido también deja que quien usa el dispositivo añada, edite o elimine VPN.
- Una política piloto vinculada a un único dispositivo de prueba, para que un valor erróneo afecte solo a ese dispositivo.
Añadir Cloudflare One Agent a la política
- En el Portal de Nomid, abra Políticas y seleccione la política piloto.
- Abra la pestaña Aplicaciones y experiencia y seleccione Aplicaciones en esta política.
- Seleccione Añadir aplicación. Elija Añadir desde Paquete, escriba
com.cloudflare.cloudflareoneagenty compruebe que Cloudflare One Agent aparece debajo del campo. Seleccione Añadir. También puede elegir Añadir desde Play Store y buscar Cloudflare One Agent en Google Play gestionado.
Escriba el nombre del paquete y compruebe que el resultado es Cloudflare One Agent antes de añadirlo.
- Cloudflare One Agent aparece en la lista con la etiqueta Configurable, que indica que la app publica configuraciones gestionadas. El pie del panel muestra Editado. Guarde la política para aplicarla hasta que guarde. La opción de instalación junto a la app empieza como Obligatorio, que instala la app y la mantiene en el dispositivo. Opcional, Bloqueado y los demás controles de la app se describen en 4. Políticas — Policy 2.0.
Abrir las configuraciones gestionadas
Seleccione el engranaje junto a Cloudflare One Agent en la lista. El editor Configuraciones gestionadas muestra todos los campos que publica la versión instalada. Google Play obtiene esta lista de la propia app, así que puede cambiar cuando Cloudflare publique una nueva versión.
Cloudflare One Agent publica una única lista, Lista de configuración de la aplicación (app_config_bundle_list). Cada elemento de la lista guarda los ajustes de una organización de Zero Trust:
- Seleccione Añadir nuevo elemento. El Item 1 se abre con todos los campos de esa organización.
- Rellene los campos que necesite, empezando por Organización.
- La mayoría de las flotas solo necesita el Item 1. La guía de Intune de Cloudflare usa un elemento por organización. La documentación de Cloudflare no confirma si las personas pueden alternar entre varios elementos en la app de Android; si añade más, dé a cada uno un Nombre mostrado y pruébelo en el dispositivo piloto.
El editor funciona igual para todos los campos:
- Cada campo muestra su título, una descripción escrita por Cloudflare y el nombre de la clave. El botón junto a la clave copia un enlace a ese campo.
- Valor por defecto muestra el valor que declara la app. Es solo informativo: el editor no lo envía.
- Not Set no envía nada para ese campo, y la app mantiene su propio comportamiento.
- Use el cuadro de filtro para encontrar una clave, y Todos, Lleno o No Lleno para revisar lo que ha rellenado. Expandir Todo y Contraer todo abren o cierran todos los elementos.
- La X de un elemento quita esa organización de la lista. Eliminar todas configuraciones borra todos los valores de Cloudflare One Agent en esta política.
- Guardar conserva sus valores en la edición de la política; Cancelar sale del editor sin ellos. Ninguna de las dos envía nada a los dispositivos hasta que guarde la política.
Todos los ajustes están dentro de un elemento de la Lista de configuración de la aplicación. Deje el campo en Not Set salvo que lo necesite.
Claves de configuración gestionada
Las tablas siguen los títulos de los campos que muestra el editor, todos dentro de un elemento de la Lista de configuración de la aplicación. Los campos de tipo interruptor ofrecen Not Set, Enabled y Disabled. Dejar cualquier campo en Not Set mantiene el comportamiento por defecto de Cloudflare. Los valores, los valores por defecto y los números de versión proceden de los parámetros de implementación de Cloudflare, salvo que una fila indique otra cosa. Los valores que defina aquí tienen prioridad sobre los ajustes equivalentes del dispositivo en el panel de Cloudflare One.
Organización e inicio de sesión
| Campo y clave | Valor | Efecto |
|---|---|---|
Organización (organization) |
El nombre de su equipo, por ejemplo example-corp |
La app pide a las personas que inicien sesión en esta organización. El nombre no distingue entre mayúsculas y minúsculas. |
Nombre mostrado (display_name) |
Texto | El nombre que las personas ven en la app para esta organización. Cloudflare exige este nombre cuando una configuración incluye varias organizaciones. |
Id. de cliente de autenticación (auth_client_id) |
Client ID del service token | Junto con Secreto de cliente de autenticación, registra el dispositivo con un service token en lugar de que una persona inicie sesión. Lea el aviso siguiente. |
Secreto de cliente de autenticación (auth_client_secret) |
Client secret del service token | El secreto que acompaña al Id. de cliente de autenticación. |
ID de cliente único (unique_client_id) |
UUID | Asigna un identificador al dispositivo para la comprobación de postura de UUID del dispositivo de Cloudflare. Como una política envía el mismo valor a todos los dispositivos que incluye, úselo solo en una política con un único dispositivo. |
Entorno de cumplimiento (environment) |
normal o fedramp_high |
Conecta la app con el entorno correspondiente de Cloudflare. Déjelo en Not Set salvo que su organización opere en FedRAMP High. Versión 2.5.1 o posterior. |
Aviso sobre el service token: cualquier persona que pueda ver la política en el Portal puede leer el client ID y el secret, y la política envía el mismo token a todos sus dispositivos. Cloudflare exige que el token esté permitido por una regla Service Auth en sus permisos de registro de dispositivos; una regla Allow no funciona. Asigne al token la caducidad más corta que cubra el despliegue, revóquelo en el panel de Cloudflare One cuando los dispositivos estén registrados y no lo muestre nunca en capturas de pantalla ni en tickets de soporte.
Conexión
| Campo y clave | Valor | Efecto |
|---|---|---|
Modo de servicio (service_mode) |
warp (por defecto), 1dot1, postureonly |
warp envía el tráfico de red y el DNS a través de Cloudflare. 1dot1 envía solo el DNS. postureonly solo informa de la postura del dispositivo. Cloudflare limita tunnelonly (solo tráfico) y proxy (proxy local) a Windows, Linux y macOS, así que no los use en Android. Escriba el valor exactamente como se muestra. |
Interruptor bloqueado (switch_locked) |
Enabled, Disabled | Enabled impide que las personas apaguen el interruptor de conexión. Disabled, el valor por defecto, deja el interruptor a la persona. Cloudflare indica que los despliegues nuevos también deben definir Autoconectarse. |
Autoconectarse (auto_connect) |
Número de 0 a 1440 |
0 deja el interruptor apagado hasta que la persona lo vuelva a encender. De 1 a 1440, el interruptor se vuelve a encender solo pasado ese número de minutos. |
Id. exclusivo de puerta de enlace (gateway_unique_id) |
El subdominio DoH de su Gateway | Envía todas las consultas DNS a esa ubicación DNS del Gateway. Solo es necesario sin team name o cuando su organización tiene varias ubicaciones DNS; en caso contrario, la app usa su ubicación por defecto. No es compatible con Cloudflare One para Families. |
Protocolo de túnel de WARP (warp_tunnel_protocol) |
masque o wireguard |
Elige el protocolo del túnel. Déjelo en Not Set para usar el protocolo definido en el panel de Cloudflare One. |
Habilitar cifrado poscuántico (enable_post_quantum) |
Enabled, Disabled | Activa o desactiva el cifrado poscuántico del túnel. Requiere el protocolo MASQUE, así que no lo combine con wireguard en Protocolo de túnel de WARP. Versión 2.4 o posterior. |
DoH fuera del túnel (doh_outside_tunnel) |
Enabled, Disabled | Envía el tráfico DNS over HTTPS fuera del túnel. La descripción de la app indica que su cortafuegos debe entonces permitir .cloudflare-gateway.com. La página de parámetros de Cloudflare no documenta esta clave; por eso, déjela en Not Set salvo que el soporte de Cloudflare lo recomiende. |
Activar PMTUD (enable_pmtud) |
Enabled, Disabled | Path MTU Discovery averigua el mayor tamaño de paquete que admite la red, para mejorar el rendimiento de la conexión. |
Apps que usan el túnel
Lista de nombres de paquetes de aplicaciones que deben ser tuneladas a través del servicio WARP. (tunneled_apps) es una lista dentro del elemento. Seleccione Añadir nuevo elemento dentro de ella una vez por cada app:
| Campo y clave | Valor | Efecto |
|---|---|---|
Nombre del paquete de aplicaciones tuneladas (app_identifier) |
Nombre de paquete, por ejemplo com.android.chrome |
Elige una app de Android que envía su tráfico por el túnel. |
¿Es este el navegador? (is_browser) |
Enabled, Disabled | Enabled indica a la app que abra este navegador, en lugar del predeterminado, para la reautenticación y las notificaciones de bloqueo del Gateway. Sin esto, la app no trata el paquete como un navegador. |
Cloudflare documenta esta lista en su guía de Intune, que indica que el enrutamiento por app en Android requiere Cloudflare One Agent 2.3 o posterior. Pruebe en el dispositivo piloto qué apps llegan a los recursos protegidos por Cloudflare con la lista aplicada, incluida una app fuera de la lista.
Sustitución de puntos finales
| Campo y clave | Valor | Efecto |
|---|---|---|
Punto final de API (override_api_endpoint) |
Dirección IP | Sustituye la dirección que la app usa para la API de Cloudflare. |
Punto final de DoH (override_doh_endpoint) |
Dirección IP | Sustituye la dirección de DNS over HTTPS. Solo se aplica cuando el Modo de servicio es 1dot1. |
Punto final de WARP (override_warp_endpoint) |
Dirección IP y puerto, por ejemplo 203.0.113.10:443 |
Sustituye la dirección del túnel. |
Deje estos campos en Not Set salvo que Cloudflare le pida definirlos. Cloudflare advierte de que un solo valor con formato incorrecto hace que la app ignore toda la configuración.
Lo que las personas ven en la app
| Campo y clave | Valor | Efecto |
|---|---|---|
Mostrar incorporación (onboarding) |
Enabled, Disabled | Disabled omite las pantallas de incorporación en las que las personas revisan la política de privacidad la primera vez que se abre la app. El valor por defecto es Enabled. Compruebe sus propias obligaciones de privacidad antes de ocultarlas. |
URL de soporte (support_url) |
Dirección https:// o mailto: |
Abre esta dirección cuando las personas usan Enviar comentarios en la app. |
Usar WebView integrado para autenticación (use_in_app_webview) |
Enabled, Disabled | Abre el inicio de sesión de Zero Trust dentro de la app en lugar del navegador predeterminado. Cloudflare lo exige cuando la VPN siempre activa funciona en modo de bloqueo, que en el Portal es Bloquear conexiones sin la VPN. |
Algunos parámetros de la página de Cloudflare, como proxy_port, allow_updates y la lista configs de varias organizaciones que se usa en sistemas de escritorio, no aparecen en el editor porque la app de Android no los publica. El editor envía solo los campos que declara la app.
Ejemplo de política para dispositivos compartidos de primera línea
Este ejemplo mantiene los dispositivos compartidos conectados a la organización de la empresa, con una app sencilla. Sustituya example-corp por el nombre de su equipo y los datos de soporte por los suyos. Todos los valores van en el Item 1.
| Campo | Valor | Motivo |
|---|---|---|
| Organización | example-corp |
La app inicia sesión solo en su organización. |
| Nombre mostrado | Example Corp |
Muestra un nombre claro en la app. |
| Modo de servicio | warp |
Envía el DNS y el tráfico de red a través de Cloudflare. |
| Interruptor bloqueado | Enabled | El personal no apaga la conexión por error. |
| Autoconectarse | 1 |
Si la conexión está apagada, se vuelve a encender pasado un minuto. |
| Mostrar incorporación | Disabled | Omite las pantallas de la política de privacidad en dispositivos compartidos, si sus obligaciones de privacidad lo permiten. |
| URL de soporte | https://help.example.com/vpn |
Abre su página de ayuda desde Enviar comentarios. |
Rellene el elemento y use Lleno para revisar todos los valores antes de guardar.
Guardar y aplicar la política
- En el editor de configuraciones gestionadas, seleccione Guardar y después Listo en el panel de aplicaciones.
- Seleccione Guardar en la cabecera de la política, revise la lista de cambios y confirme.
- Los dispositivos vinculados reciben la política cuando se sincronizan. Cloudflare One Agent lee los nuevos valores de la configuración gestionada del dispositivo.
Opcional: VPN siempre activa
Para que Android inicie Cloudflare One Agent al arrancar y lo mantenga en marcha, elíjalo como app de VPN en Conectividad > Enrutamiento de tráfico > VPN siempre activa, como se describe en 4. Políticas — Policy 2.0. Si activa Bloquear conexiones sin la VPN, ponga también Usar WebView integrado para autenticación en Enabled; Cloudflare lo exige en ese modo. Deje el bloqueo desactivado hasta que el dispositivo piloto inicie sesión y se reconecte de forma fiable. Con el bloqueo activado, un dispositivo sin sesión se queda sin red, lo que también puede detener las actualizaciones de la política.
Verificar en el dispositivo
- En Dispositivos, abra el dispositivo piloto, ejecute una sincronización y confirme que Cloudflare One Agent está instalado.
- En el dispositivo, abra Cloudflare One Agent. Con la Organización definida, va directamente al inicio de sesión de su organización. Con un service token, registra el dispositivo sin pedir a nadie que inicie sesión.
- Inicie sesión a través de su proveedor de identidad. Con Interruptor bloqueado en Enabled, el interruptor no se puede apagar.
- En el panel de Cloudflare One, abra Team & Resources > Devices y confirme que el dispositivo aparece.
- Desde el dispositivo, abra una dirección interna o un sitio que filtren sus políticas de Gateway, para confirmar que el tráfico pasa por Cloudflare. Si definió apps con túnel, pruebe una app de la lista y otra fuera de ella.
Solución de problemas
| Problema | Causa probable | Qué hacer |
|---|---|---|
| No aparece la etiqueta Configurable o el editor no tiene campos | El paquete no se resolvió en Google Play, o la lista aún no se ha cargado. | Quite la app, vuelva a añadirla con com.cloudflare.cloudflareoneagent y compruebe que Cloudflare One Agent aparece como resultado. |
| Faltan los campos | No se ha añadido ningún elemento a la Lista de configuración de la aplicación. | Seleccione Añadir nuevo elemento en la Lista de configuración de la aplicación. |
| Falta un parámetro de la documentación de Cloudflare | La app de Android no lo publica. | Use solo los campos que muestra el editor. |
| Los valores no llegan a la app | La política no se guardó, el dispositivo no se ha sincronizado o un valor tiene formato incorrecto. | Guarde la política, sincronice el dispositivo en Dispositivos y busque errores de escritura en los campos de punto final. |
| La app pide una organización | El campo Organización está vacío o fuera del Item 1. | Escriba el nombre del equipo en el campo Organización del elemento. |
| Falla el registro con el service token | El token caducó o se revocó, o los permisos de registro de dispositivos usan Allow en lugar de Service Auth. | Revise el token y la regla en el panel de Cloudflare One. |
| La app indica que necesita acceso a la VPN | Ajustes de VPN está en Bloqueado en la política, u otra VPN está en ejecución. | Ponga Ajustes de VPN en Permitido dentro de Conectividad y guarde la política. Desconecte cualquier otra VPN y vuelva a abrir la app. |
| Una app no llega a los servicios internos | La lista de apps con túnel está rellena y la app no está en ella. | Añada su nombre de paquete a la lista y guarde la política. |
| Falla el inicio de sesión con la VPN siempre activa | Bloquear conexiones sin la VPN está activado y el WebView integrado está desactivado, algo que Cloudflare no admite. | Ponga Usar WebView integrado para autenticación en Enabled, o desactive el bloqueo. |
| El dispositivo se queda sin internet tras activar la VPN siempre activa | Bloquear conexiones sin la VPN está activado y la app no tiene sesión o está desconectada. | Desactive el bloqueo en la política, guarde y vuelva a iniciar sesión. |
Pasar de la app 1.1.1.1
Si sus dispositivos usan la app 1.1.1.1 para Zero Trust, siga la guía de migración de Cloudflare:
- Actualice la app 1.1.1.1 a la versión 6.29 o posterior, para que las dos apps puedan seguir instaladas durante el cambio.
- Añada Cloudflare One Agent a la política y copie sus valores actuales en su elemento de la Lista de configuración de la aplicación. Copie solo los parámetros de implementación, no el nombre de paquete de la app. La guía de Cloudflare no describe ninguna clave renombrada.
- Solo una de las dos apps puede conectarse a la vez. En Android, las personas vuelven a iniciar sesión en Cloudflare One Agent. El dispositivo aparece en el panel con un nuevo ID de dispositivo, y el registro antiguo permanece como dispositivo inactivo.
- Cuando los dispositivos estén conectados, ponga la app 1.1.1.1 en Bloqueado o quítela de la política. Las personas pueden conservarla para la navegación personal en los dispositivos donde usted lo permita.
Deshacer la configuración
- Para dejar de imponer un valor, abra el campo y elija Not Set, o borre el texto, y guarde la política.
- La X de un elemento quita esa organización. Eliminar todas configuraciones quita todos los valores de Cloudflare One Agent de esta política cuando la guarda.
- Para quitar la app, cambie su instalación a Bloqueado, como se describe en 4. Políticas — Policy 2.0, y guarde. Revoque cualquier service token que haya distribuido.
Véase también
- 4. Políticas — Policy 2.0: aplicaciones y enrutamiento de tráfico
- 4.1 Políticas de tablets — Classic: configuración gestionada de la app
- 3. Dispositivos: sincronización y apps instaladas
- Cloudflare: implementar Cloudflare One Client con un MDM (en inglés)
- Cloudflare: parámetros de implementación (en inglés)