أضافت Cloudflare إمكانات Workers القابلة للبرمجة إلى Gateway وDLP

إجراء Forward الجديد والوظائف المخصصة

قدّمت Cloudflare طريقتين لتشغيل شيفرة العميل داخل Gateway: إجراء Forward للسياسات ووظيفة مخصصة كموارد للسياسة. Forward متاح الآن في النسخة التجريبية العامة، أما الوظائف المخصصة فمتوقعة حتى نهاية العام. عند توفر التوفر العام، سيكون الاثنان متاحين في جميع الخطط.

على مدى نحو 30 عامًا، عملت بوابات الويب الآمنة بطريقة واحدة: تطابق حركة المرور مع شرط ثم تنفيذ إجراء نهائي مثل Allow أو Block أو Isolate أو Log. تؤكد Cloudflare أن واجهات API العامة وموفرو Terraform و webhook والإشعارات ليست برمجة حقيقية. البرمجة الحقيقية تعني تشغيل منطق مخصص مضمنًا في لحظة اتخاذ قرار الأمان.

يرسل إجراء Forward حركة HTTP المطابقة إلى Cloudflare Worker كمiddleware مضمن. يتلقى Worker جميع الـ headers و body الطلب، ويمكنه تعديلها وإرسالها إلى الـ origin وتعديل الاستجابة وإرجاعها. يعالج Gateway اتصالات TCP وإكمال TLS والشهادات. ويمكن للقواعد أيضًا أن تمرّر إلى Worker سياقًا لتأثيرات جانبية، مثل إرسال رسالة Slack أو الكتابة في R2 أو استدعاء webhook، بينما تستمر حركة المرور إلى وجهتها.

تستدعي الوظائف المخصصة Worker بشكل مضمن أثناء تقييم السياسة. يتلقى Worker عنوان IP المصدر والوجهة وهوية المستخدم و posture الجهاز و headers HTTP، ويعيد قيمة مُنَمَّطة مثل string أو number أو boolean. تصبح هذه القيمة selector في منفذ السياسة وتُستخدم في أي قاعدة network أو HTTP مع selectors مدمجة، مثل Source IP أو Content Category، وحتى لحركة مرور Layer 4.

لا توجد قفزة شبكة إضافية

تقول Cloudflare إن Gateway و Workers يعملان على نفس الأجهزة وفي نفس مراكز البيانات في أكثر من 330 موقعًا، لذلك يكون الإرسال إلى Worker استدعاءً محليًا دون hairpinning أو تأخير إضافي. ويقتصر التأثير على وقت تنفيذ شيفرة Worker. عندما تفشل الوظيفة أو تُطلق خطأ أو لا تناسب الوقت أو تعيد قيمة غير متوقعة، يضيف المسؤولون سلوك fallback لكل وظيفة. تُحتسب حركة المرور كطلبات Worker عادية في خطط Workers Free و Paid و Enterprise.

ما الذي يمكن للمستخدمين بناؤه

سردت Cloudflare عدة أمثلة. يمكن لـ Worker أن يقدّم صفحة إثبات وصول قبل الوصول إلى وجهة حساسة، وأن يخزن الجلسات في Cloudflare KV مع TTL، وأن يسجل أثر تدقيق في قواعد بيانات مرتبطة بـ D1 أو Hyperdrive. ويمكن للوظائف المخصصة تحليل JWT وإعادة الدور ك selector حتى تضيف القاعدة header X App Role دون الحاجة إلى تجمع وكلاء NGINX. ويمكن لـ Workers إرسال الملفات إلى خدمات sandboxing أو تخزينها في R2، والتنبيه عبر Slack أو PagerDuty عند مطابقة ملف DLP، وتشغيل منطق تقييم المخاطر الداخلي كامتداد لمحرك السياسات.

وظائف التحقق من DLP

وسّعت Cloudflare هذا النهج ليشمل منع فقدان البيانات. وظائف التحقق المخصصة في DLP متاحة اليوم، وتتيح للمستخدمين تحديد منطق التحقق الخاص بهم في Worker باستخدام مصدر موثوق به. في أحد الأمثلة، يلتقط Worker سر GitHub مكتشفًا، ويتحقق من حالته عبر GitHub API ويعيد درجة تؤكد المطابقة قبل تنفيذ السياسة أو تتجاهلها أو ترفضها. ستتوسع نقاط دخول Dispatch على Cloudflare One، وتليها Email Security.

المصادر: Cloudflare