Cloudflare One Client 연결됐지만 사내 서비스에 접속되지 않을 때: Split Tunnel과 DNS 점검

Cloudflare One Client가 Connected로 표시돼도 특정 사내 서비스에 연결되지 않을 수 있다. 연결 표시는 클라이언트 상태를 알려줄 뿐, 해당 목적지의 DNS·라우팅·접근 정책까지 모두 성공했다는 뜻은 아니다. 먼저 실제 적용된 클라이언트 모드와 Split Tunnel을 확인하고 DNS, 사설망 경로, 정책을 차례로 분리한다.

기기에서 사설 서버와 인터넷으로 나뉘는 네트워크 경로를 표현한 개념 이미지다. 실제 화면은 아니다.

이 글은 조직의 Cloudflare Zero Trust에 등록된 기기를 대상으로 한다. 관리자 대시보드 접근이 없는 사용자는 확인한 증상과 시각을 관리자에게 전달한다. 설명은 2026-11-10 기준 공식 문서에 근거하며 실제 조직의 네트워크에서 실행한 결과는 아니다.

1. 설치·등록과 연결을 구분한다

Cloudflare One Client는 이전에 WARP로 불렸으며, 조직 정책을 사용하려면 설치 후 조직의 Zero Trust에 등록해야 한다. 조직은 등록 권한을 미리 설정해야 한다. 데스크톱에서는 클라이언트에서 Zero Trust 보안을 선택하고 팀 이름을 입력한 뒤 조직의 인증을 완료한다. 로그인 성공 화면 뒤에 클라이언트 열기를 승인해 등록을 마친다. 화면 명칭은 클라이언트 버전에 따라 다를 수 있다. 수동 배포와 등록

클라이언트의 버전과 조직 등록 여부, 연결 상태를 확인한다. 연결 자체가 실패한다면 표시된 오류를 기록하고 클라이언트 오류 문서를 확인한다. 연결되지만 특정 서비스만 실패하는 경우 아래 경로 점검으로 넘어간다.

2. 실제 적용된 모드와 프로필을 확인한다

Traffic and DNS 모드는 트래픽과 DNS를 클라이언트가 처리한다. DNS only는 DNS만 전달하며 기기 트래픽은 터널로 라우팅하지 않는다. Traffic only는 트래픽을 라우팅하지만 DNS는 운영체제가 처리하므로 도메인 기반 Split Tunnel과 Local Domain Fallback을 사용할 수 없다. 이 모드는 Windows·macOS·Linux에서 제공된다. 클라이언트 모드

터미널에서 다음 명령으로 적용 설정을 확인할 수 있다.

출력의 Mode와 Profile ID를 관리자가 기대한 프로필과 비교한다. 조직의 MDM 설정이 프로필을 덮어쓸 수 있다. 진단 로그의 warp-settings.txt에도 적용 설정이 담기며, warp-status.txt의 연결 상태는 수집 시점의 상태다. 로그에는 조직 및 네트워크 정보가 포함될 수 있으므로 공유 전 내용을 검토한다. 진단 가이드

3. Split Tunnel과 DNS를 따로 확인한다

Exclude 모드는 지정한 목적지를 터널 밖으로 보내고 나머지를 터널로 보낸다. Include 모드는 지정한 목적지만 터널로 보낸다. 해당 사설 IP 또는 도메인이 예상한 목록에 들어 있는지 실제 적용 설정과 대시보드를 비교한다. Include 모드에서는 인증과 정책에 필요한 도메인·주소도 고려해야 한다. Split Tunnels

도메인 규칙은 클라이언트가 해당 DNS 조회를 처리해야 동적으로 적용된다. 브라우저의 보안 DNS가 조회를 가로채거나 운영체제에 기존 결과가 캐시돼 있으면 예상한 경로가 추가되지 않을 수 있다. example.com은 정확히 그 이름에, *.example.com은 하위 도메인에 적용되며 서로를 대신하지 않는다. 공유 IP를 사용하는 서비스는 도메인 제외가 다른 호스트에도 영향을 줄 수 있다.

4. 사설 경로와 정책을 확인한다

이름이 예상 IP로 해석되는지 확인한 다음, 그 IP가 터널에 포함되는지 살핀다. 터널 포함만으로 목적지까지의 경로와 접근 권한이 만들어지지는 않는다. 관리자는 해당 사설 네트워크에 연결된 Cloudflare Tunnel 또는 지원되는 경로, 목적지 서비스의 수신 상태와 조직의 Gateway·Access 정책을 각각 확인한다. 사설 네트워크 연결

원인을 모른 채 전체 사설 대역을 터널에서 제외하거나 보안 정책을 끄지 않는다. 제외한 트래픽은 해당 경로에서 Cloudflare의 보호와 가시성을 받지 못할 수 있다. 다른 VPN과 함께 쓰는 경우에도 실제 목적지별 경로와 조직 정책을 확인한다.

5. 변경 후 같은 조건으로 검증한다

관리자는 적용된 Profile ID와 Split Tunnel 목록을 대시보드와 비교한다. 불일치하면 조직 정책이 허용하는 범위에서 연결을 끊고 다시 연결해 설정을 갱신할 수 있다. 잠긴 스위치는 관리자 조치가 필요하다. 다시 연결한 뒤 같은 기기·네트워크·목적지에서 DNS 결과와 실제 접속을 확인하고, 성공한 것과 여전히 실패하는 것을 구분해 기록한다. 설정 불일치 진단

여전히 실패하면 발생 시각, 대상 호스트, 연결 상태, 적용 모드·프로필, 오류 메시지와 이미 시도한 단계를 관리자에게 전달한다. 진단 파일을 전달할 때는 민감한 내용을 검토하고 조직의 공유 절차를 따른다.

English version: Cloudflare One Client Connected but Private Service Unreachable: Check Split Tunnels and DNS