Cloudflare Zero Trust 是什麼？免費方案 50 人能做什麼、費用與導入流程

如果有一套工具，能讓公司後台、NAS、內部系統都不必開任何對外的連接埠，員工在家也能安全連進來，50 人以內還不用付錢，你會不會懷疑哪裡有陷阱？這套工具就是 Cloudflare Zero Trust（現在整個平台叫 Cloudflare One），它把「誰可以連到哪個系統」這件事搬到 Cloudflare 的全球網路上檢查，每一次連線都要先驗身分、再放行。

我們自己就有內部服務是用 Cloudflare Tunnel 接出去的：主機不開任何對外的埠，外面的人只看得到 Cloudflare，看不到主機本身。這篇是 Zero Trust 系列的第三篇，專講 Cloudflare 的方案、費用與導入流程。如果你還不確定零信任是什麼，可以先讀 Zero Trust 是什麼；想看中小企業從 VPN 換過來的完整步驟，請看 零信任怎麼導入。

Cloudflare Zero Trust 是什麼？七個元件一張表看懂

一句話：Cloudflare Zero Trust 是一組放在雲端的存取控制工具，負責「員工連公司系統」和「員工上網」兩個方向的安全檢查。它由好幾個元件組成，每個元件各管一段，名字很多，但用白話講其實很好懂。

中小企業最常用到的是前四個：Access、Tunnel、Gateway 和 One Client。後面三個比較偏大型企業或有法規要求的情境。完整的產品說明可以看 Cloudflare One 官方文件。

要記住一個關鍵差別：傳統 VPN 是「連進公司網路之後就什麼都看得到」，Cloudflare Zero Trust 是「每個系統各自開門，連進來也只看得到被允許的那幾個」。這就是零信任「永不預設信任、每次都驗證」的做法落在產品上的樣子。

Cloudflare Zero Trust 費用：免費、隨用隨付、年約三種方案比較

一句話：50 人以內可以用免費方案，超過 50 人改用每人每月 7 美元的隨用隨付方案，需要完整企業功能再談年約。以下整理自 Cloudflare 官方方案頁，數字以官網為準。

三種方案的核心功能是一樣的：Tunnel、Access、Gateway、One Client 免費方案全都有。差別主要在三件事：人數、紀錄留多久、出問題時找得到誰。

進階功能的差異整理在下面這張表。這些功能大部分中小企業一開始用不到，但如果你有個資或金融相關的合規要求，就要提早看清楚。

費用試算很簡單：60 人的公司用隨用隨付方案，每月是 60 × 7 = 420 美元，大約一萬多元台幣（依匯率計）。如果你是新創公司，Cloudflare 另外有新創補助計畫可以申請額度，條件與能抵哪些服務可以參考 Cloudflare for Startups 是真的嗎。

Cloudflare Zero Trust 免費方案 50 人夠用嗎？適合誰、卡在哪

一句話：員工 50 人以內、主要需求是讓大家安全連到幾套內部系統，免費方案就夠用。真正會卡住的地方有三個：紀錄只留 24 小時、出事只能問社群、DLP 與 CASB 只有入門版。

「紀錄只留 24 小時」最容易被忽略。平常沒事時感覺不到，等到懷疑有人亂連、想回頭查前天的紀錄，才發現早就消失了。如果公司有資安驗證或客戶稽核的要求，這一點會直接決定你該選哪個方案。

還有一個常被問到的問題：人數怎麼算？方案是按使用者計算，也就是會登入 Zero Trust 的人。只是瀏覽公司官網的訪客不算在內，只有需要通過 Access 驗證、或裝了 Cloudflare One Client 的員工與合作夥伴才算。外包廠商如果也要登入內部系統，記得把他們算進去，臨時合作結束後也要記得移除，名額才不會被占住。

「只有社群支援」對有工程師的團隊影響不大，Cloudflare 的社群和官方文件都很完整。但如果公司沒有人懂網路設定，設定卡住時只能自己翻文件，這時候找熟悉的廠商協助，會比硬撐省時間。

Cloudflare Zero Trust 怎麼導入？從開帳號到員工上線的流程

一句話：先接好身分來源，再用 Tunnel 把系統接出來，最後設定誰能進。順序對了，大部分公司一兩天就能讓第一套系統上線。

下面把每一步拆開講，給負責導入的人當清單用：

Tunnel 的原理是主機「主動往外」連到 Cloudflare，所以外部攻擊者根本找不到可以敲的門，詳細說明見 Cloudflare Tunnel 官方文件。這跟伺服器防火牆的觀念一致：能不開的埠就不開，相關觀念可以看 伺服器防火牆是什麼。

Access 規則可以設得很細，例如「只有業務部、而且用公司電腦、而且通過多因素驗證，才能開 CRM」。規則寫法可以參考 Access 規則官方說明。身分來源如果還沒統一，建議先把公司帳號整理好，企業單一登入 SSO 完整指南 有 SAML、OIDC 這些名詞的白話解釋。

員工端的感受也值得先想好。只開網頁系統的話，員工打開系統網址時，會先看到一個登入頁，用公司帳號登入、通過多因素驗證後就直接進入系統，之後一段時間內不用重複登入。整個過程跟平常登入雲端服務差不多，教育訓練花十分鐘就夠。需要裝 Cloudflare One Client 的情境，建議由 IT 統一安裝與登入，避免員工自己裝錯團隊或關掉程式。

導入初期最容易被忽略的是「緊急通道」。如果身分來源出問題，例如公司帳號系統暫時無法登入，所有放在 Access 後面的系統都會一起進不去。建議至少保留一位管理者的備用登入方式，並把這個流程寫進公司的資安文件裡，真的出事時才不會手忙腳亂。

三種常見用法：公司後台、NAS、內部 ERP 放到 Access 後面

一句話：任何「只有自己人該看得到」的網頁系統，都適合放到 Access 後面。下面是中小企業最常見的三種情境。

第一種情境效益最大。很多網站被入侵，起點都是公開在網路上的後台登入頁被機器人一直猜密碼。把後台藏到 Access 後面，等於把登入頁從公開網路上拿掉，攻擊面一下子小很多。網站本身的正門還是需要 WAF 來擋攻擊，兩者分工可以看 WAF 是什麼。

第二種情境常見於設計公司與小型辦公室。以前很多人為了遠端連 NAS 直接在路由器上開埠，這是被勒索軟體掃到的高風險做法。電腦之間的遠端連線另有其他工具可選，Mac 對 Mac 遠端連線指南 有完整比較。

第三種情境最需要事先規劃。內部系統要能跟身分來源串接，權限才能依部門自動對應，這部分如果是客製系統，開發時就要把 SSO 登入與權限設計進去。看到這裡，如果你也在想「我們的內部系統要怎麼接到 Access 後面」，我們很樂意 聽你聊聊現在系統的狀況，一起看看從哪一套開始最划算。

Cloudflare Zero Trust 和 Tailscale、Zscaler、VPN 怎麼選

一句話：中小企業想要免費起步、又要網頁系統的存取控制，Cloudflare Zero Trust 最省事；以裝置對裝置連線為主，Tailscale 更直覺；已經全面使用微軟生態或需要大型企業支援，看 Microsoft 或 Zscaler。每個選擇都有它擅長的地方。

價格部分，Tailscale、Zscaler 與 Microsoft 的方案會隨人數與授權組合變動，請以各家官網或報價為準。比較時建議用同一把尺：人數上限、紀錄保存多久、能不能接公司現有的帳號系統、出問題找得到誰。

我們的判斷是：如果公司主要的內部系統都是網頁介面，Cloudflare Zero Trust 的 Access 加 Tunnel 組合，是目前中小企業 CP 值最高的起點。如果你同時想用 AI 檢查 Cloudflare 帳號的設定有沒有漏洞，可以參考 Cloudflare security-audit skill。

Cloudflare Zero Trust 常見誤會與踩雷

一句話：最常見的問題都出在用途搞錯、上游服務沒開、離職撤權沒做。下面整理實際導入時最常遇到的狀況。

誤會一：拿它當翻牆工具。搜尋 Cloudflare Zero Trust 時，常會看到一堆「翻牆」相關的教學。這套產品的設計目的是企業的存取控制與上網安全，Cloudflare One Client 會把流量送到 Cloudflare 檢查，用途是保護公司資料。拿來規避所在地法規或繞過網路管制，並非它的設計用途，可能違反當地法規或服務使用規範，企業導入時請把用途限定在公司系統的安全存取。

誤會二：以為它就是 1.1.1.1。1.1.1.1 是 Cloudflare 給一般人用的 DNS 與加密連線服務；Cloudflare One Client 雖然跟它同一個程式家族，登入公司團隊後，會依公司設定的規則運作，管理者可以集中設定與查看紀錄。用戶端的說明可以看 Cloudflare One Client 官方文件。

踩雷一：設定好卻出現 502 錯誤。這通常代表 Tunnel 有連上 Cloudflare，但後面的系統沒在運作，或 Tunnel 指向的位址寫錯。先確認內部系統本身能不能在主機上正常打開，再檢查 Tunnel 的設定。

踩雷二：員工離職了還連得進來。Cloudflare Zero Trust 的登入是跟著身分來源走的，所以撤權要在 Google Workspace 或 Microsoft Entra ID 這類帳號系統停用帳號，同時檢查 Access 規則裡有沒有用個人 Email 單獨授權的例外名單。離職撤權的完整流程可以參考 離職員工權限回收 SOP。

踩雷三：Gateway 一開就擋到工作用的網站。上網過濾規則先用只記錄的方式跑一週，看看會擋到什麼，再改成封鎖。這個做法跟導入 WAF 時「先觀察再封鎖」是一樣的道理。Gateway 能做哪些控管，可以看 Gateway 官方說明。

另外提醒：Zero Trust 管的是「誰能連進來」，網站正門的攻擊、表單的機器人灌水、憑證過期這些問題，要靠其他工具處理。表單防機器人可以看 表單機器人防護採購指南，憑證的基本觀念可以看 SSL 憑證是什麼；主機掛掉時讓訪客還看得到頁面，則可以參考 Cloudflare 救援機制實戰。

Cloudflare Zero Trust 適合你嗎？三個問題快速判斷

一句話：有兩套以上只給自己人用的網頁系統、員工會在公司外面工作、又不想再維護 VPN，就值得試。可以先問自己三個問題：

• 公司有沒有對外公開、但其實只有員工會用的系統？例如網站後台、NAS、內部 ERP。有的話，這些就是第一批要放到 Access 後面的對象。
• 公司有沒有統一的帳號系統？有 Google Workspace 或 Microsoft 365 的話，導入會快很多；沒有的話，可以先用一次性 Email 驗證碼起步，再慢慢整理帳號。
• 需要保留多久的存取紀錄？只求能用，免費方案就夠；要應付稽核，預算要抓隨用隨付或年約。

三個問題都答得出來，就可以開始動手。建議從一套最常被外部連的系統開始，跑兩週，確認員工習慣、規則沒有誤擋，再把其他系統逐一搬進來。一次全部切換，萬一規則寫錯，整間公司會同時進不了系統。