Cloudflare הוסיפה Workers תכנותיים עבור Gateway ו-DLP

פעולת Forward חדשה ופונקציות ניתנות להגדרה

Cloudflare הציגה שתי דרכים להרצת קוד משתמש ב-Gateway: פעולת מדיניות Forward ופונקציה ניתנת להגדרה כמשאב מדיניות. Forward נמצאת כעת בגרסת בטא ציבורית, ופונקציות ניתנות להגדרה צפויות עד סוף השנה. בעת זמינות כללית, שתיהן תהיינה זמינות בכל התוכניות.

כמעט 30 שנה, שערי אינטרנט מאובטחים פעלו באותה צורה: התנעה מתנאי וביצוע פעולה סופית, כגון Allow, Block, Isolate או Log. Cloudflare טוענת כי API-ים ציבוריים, ספקי Terraform, webhook-ים והתראות אינם תכנותיות אמיתית. תכנותיות אמיתית פירושה הרצה מקומית של לוגיקה עצמאית ברגע קבלת החלטות אבטחה.

פעולת Forward שולחת תעבורת HTTP תואמת ל-Cloudflare Worker כ-middleware מוטמע. ה-Worker מקבל כותרות מלאות וגוף הבקשה, יכול לשנות אותן, לשלוח ל-origin, לשנות את התשובה ולהחזיר אותה. Gateway מעבד חיבורי TCP, השלמת TLS ותעודות. כמו כן, כללים יכולים להעביר הקשר ל-Worker לאפקטים משניים, כגון הודעת Slack, כתיבה ל-R2 או קריאה לwebhook, והתעבורה ממשיכה ליעדה.

פונקציות ניתנות להגדרה קוראות ל-Processor בעת הערכת מדיניות. ה-Processor מקבל כתובת IP מקור, יעד, זהות משתמש, תצורת מכשיר וכותרות HTTP ומחזיר ערך מסוג-מוגדר, כגון string, number או boolean. ערך זה הופך ל-selector במנוע המדיניות ומשמש בכללי network או HTTP כלשהם יחד עם selector-ים מובנים, כגון Source IP או Content Category, גם עבור תעבורת Layer 4.

אין קפיצת רשת נוספת

Cloudflare מצהירה כי Gateway ו-Workers פועלים על אותם מכונות ובאותם מרכזי נתונים ביותר מ-330 מיקומים, ולכן שליחה ל-Worker היא קריאה מקומית, ללא hairpinning וללא עיכוב נוסף. ההשפעה מוגבלת לזמן ביצוע הקוד של ה-Worker בלבד. כאשר פונקציה נכשלת, זורקת שגיאה, חורגת מהזמן או מחזירה ערך בלתי צפוי, מנהלים יכולים להגדיר התנהגות fallback לכל פונקציה. התעבורה נספרת כבקשות Worker רגילות בתוכניות Workers Free, Paid ו-Enterprise.

מה המשתמשים יכולים לבנות

Cloudflare פרסמה מספר דוגמאות. Worker יכול לשרת עמוד תיעוד לפני גישה ליעד רגיש, לאחסן סשנים ב-Cloudflare KV עם TTL ולכתוב מעקב ביקורת למסדי נתונים הקשורים ל-D1 או Hyperdrive. פונקציות ניתנות להגדרה יכולות לפרס JWT ולהחזיר תפקיד כ-selector, כך שכלל יכול להזין כותרת X App Role ללא בריכת פרוקסי NGINX. Workers יכולים לשלוח קבצים לשירותי sandboxing או לאחסן ב-R2, להתריע ב-Slack או ב-PagerDuty בהתאמה לפרופיל DLP ולהריץ לוגיקת הערכת סיכונים פנימית כהרחבה של מנוע המדיניות.

פונקציות אימות DLP

Cloudflare הרחיבה את הגישה הזו גם למניעת אובדן נתונים. פונקציות אימות DLP ניתנות להגדרה זמינות החל מהיום ומאפשרות למשתמשים להגדיר לוגיקת אימות עצמאית עם מקורות מהימנים משלהם ב-Worker. בדוגמה אחת, Worker לוכד GitHub secret חשוף, בודק את סטטוסו באמצעות GitHub API ומחזיר ציון המאשר, מתעלם או דוחה את ההתאמה לפי אכיפת המדיניות. נקודות כניסה ל-Dispatch ירחיבו בעתיד מעבר ל-Cloudflare One, והבאה בתור תהיה Email Security.

מקורות: Cloudflare