Cloudflare-ը Gateway-ին և DLP-ին ավելացրել է ծրագրավորելի Workers

Նոր Forward գործողություն և կարգավորելի ֆունկցիաներ

Cloudflare-ը Gateway-ում երկու եղանակ է ներկայացրել օգտատիրոջ կոդի գործարկման համար՝ Forward քաղաքականության գործողությունը և քաղաքականության ռեսուրսի պես կարգավորելի ֆունկցիաները: Forward-ը այժմ հանրային բետայում է, իսկ կարգավորելի ֆունկցիաները ակնկալվում է լինել մինչև տարվան վերջը: Ընդհանուր հասանելիության դեպքում երկուսն էլ հասանելի կլինեն բոլոր պլաններում:

Մոտ 30 տարվա ընթացքում պաշտպանված վեբ-գեյթվեյները նույն կերպ էին աշխատում՝ երթևեկությունը համապատասխանում է պայմանին և կատարվում է վերջնական գործողությունը, օրինակ՝ Allow, Block, Isolate կամ Log: Cloudflare-ը հաստատում է, որ հանրային API-ները, Terraform մատակարարները, webhook-ները և նախազգուշացումները իսկական ծրագրավորելիություն չեն: Իսկական ծրագրավորելիությունը նշանակում է սեփական լոգիկայի գործարկումը ուղիղ՝ անվտանգության որոշումները կայացնելու պահին:

Forward գործողությունը համապատասխան HTTP երթևեկությունը ուղարկում է Cloudflare Worker-ին՝ որպես ուղիղ middleware: Worker-ը ստանում է ամբողջ header-ները և հարցման body-ն, կարող է փոխել դրանք, ուղարկել origin-ին, փոխել պատասխանը և վերադարձնել այն: Gateway-ը մշակում է TCP կապերը, TLS-ի ավարտը և սերտիֆիկատները: Կանոնները նաև կարող են փոխանցել համատեքստ Worker-ին կողմնակի ազդեցությունների համար, օրինակ՝ Slack-ի հաղորդագրություն, գրառում R2-ում կամ webhook-ի կանչ, իսկ երթևեկությունը շարունակում է դեպի նախատեսված վայր:

Կարգավորելի ֆունկցիաները քաղաքականությունը գնահատելիս ուղիղ կերպով կանչում են Worker-ը: Worker-ը ստանում է աղբյուրի IP-ն, նախատեսված վայրը, օգտատիրոջ ինքնությունը, սարքի posture-ն և HTTP header-ները և վերադարձնում է տիպավորված արժեք՝ օրինակ՝ string, number կամ boolean: Այդ արժեքը քաղաքականության մշակումում դառնում է selector և օգտագործվում է ցանկացած network կամ HTTP կանոնում՝ ներկառուցված selector-ների հետ միասին, այդ թվում՝ Source IP կամ Content Category, նաև Layer 4 երթևեկության համար:

Լրացուցիչ ցանցային շրջանցում չկա

Cloudflare-ը հայտնում է, որ Gateway-ն և Workers-ը աշխատում են նույն մեքենաների վրա, նույն տվյալների կենտրոններում՝ 330-ից ավելի տեղականություններում, ուստի Worker-ին ուղարկումը տեղական կանչ է՝ առանց hairpinning-ի և լրացուցիչ ուշացման: Ազդեցությունը սահմանափակվում է միայն Worker կոդի կատարման ժամանակով: Երբ ֆունկցիան հանգում է, սխալ է տալիս, ժամանակի չի հասնում կամ անսպասելի արժեք է վերադարձնում, ադմինիստրատորները յուրաքանչյուր ֆունկցիայի համար սահմանում են fallback պահվածք: Երթևեկությունը հաշվվում է որպես ստանդարտ Worker հարցումներ Workers Free, Paid և Enterprise պլաններում:

Ինչ կարող են կառուցել օգտատերերը

Cloudflare-ը ներկայացրել է մի քանի օրինակ: Worker-ը կարող է սպասարկել գաղտնի վայր հասնելուց առաջ տրամադրվող փաստաթղթային էջը, պահել սեսիաները Cloudflare KV-ում TTL-ով և գրառել աուդիտի հետքը D1 կամ Hyperdrive-ի հետ կապված տվյալների բազաներում: Կարգավորելի ֆունկցիաները կարող են վերծանել JWT և վերադարձնել որպես դերի selector, որպեսզի կանոնը կարողանա ներմուծել X App Role header՝ NGINX պրոքսիի փուլից դուրս: Workers-ը կարող են ուղարկել ֆայլեր sandboxing ծառայություններին կամ պահել R2-ում, զգուշացնել Slack-ում կամ PagerDuty-ում DLP պրոֆիլի հանդիպման դեպքում և գործարկել ներքին ռիսկի գնահատման լոգիկա քաղաքականության շարժիչի ընդլայնման պես:

DLP վավերացման ֆունկցիաներ

Cloudflare-ը այս մոտեցումը ընդլայնել է նաև տվյալների կորստի կանխարգելման վրա: DLP-ի կարգավորելի վավերացման ֆունկցիաները արդեն հասանելի են և թույլ են տալիս օգտատերերին որոշել իրենց սեփական վավերացման լոգիկան Worker-ում՝ իրենց սեփական վստահելի աղբյուրով: Մեկ օրինակում Worker-ը բռնում է հայտնաբերված GitHub secret-ը, ստուգում է դրա կարգավիճակը GitHub API-ով և վերադարձնում է գնահատական, որը քաղաքականությունը կատարելուց առաջ հաստատում, անտեսում կամ մերժում է հանդիպումը: Dispatch-ի մուտքի կետերը ընդլայնվում են Cloudflare One-ում, հաջորդը կլինի Email Security-ը:

Աղբյուրներ: Cloudflare