Cloudflare-მა Gateway-სა და DLP-ს პროგრამირებადი Workers დაუმატა

ახალი Forward მოქმედება და მორგებული ფუნქციები

Cloudflare-მა Gateway-ში მომხმარებლის კოდის გაშვების ორი გზა წარადგინა: Forward პოლიტიკის მოქმედება და მორგებული ფუნქცია, როგორც პოლიტიკის რესურსი. Forward ახლა საჯარო ბეტაშია, მორგებული ფუნქციები წლის ბოლომდეა მოსალოდნელი. საერთო ხელმისაწვდომობისას ორივე ყველა გეგმაზე იქნება.

თითქმის 30 წლის განმავლობაში დაცული ვებ-გეითვეები ერთნაირად მუშაობდნენ: ტრაფიკი ემთხვევა პირობას და ამოქმედდება საბოლოო მოქმედება, მაგალითად Allow, Block, Isolate ან Log. Cloudflare-ი ამტკიცებს, რომ საჯარო API-ები, Terraform პროვაიდერები, webhook-ები და გაფრთხილებები ნამდვილი პროგრამირებადობა არ არის. ნამდვილი პროგრამირებადობა ნიშნავს საკუთარი ლოგიკის ინლაინ გაშვებას უსაფრთხოების გადაწყვეტილების მიღების მომენტში.

Forward მოქმედება შესაბამის HTTP ტრაფიკს Cloudflare Worker-ზე გზავნის, როგორც ინლაინ middleware-ს. Worker იღებს სრულ header-ებს და მოთხოვნის body-ს, შეუძლია მათი შეცვლა, origin-ზე გაგზავნა, პასუხის შეცვლა და დაბრუნება. Gateway ამუშავებს TCP კავშირებს, TLS-ის დასრულებას და სერტიფიკატებს. წესებს ასევე შეუძლიათ Worker-ს გადასცენ კონტექსტი გვერდითი ეფექტებისთვის, მაგალითად Slack-ის შეტყობინება, R2-ში ჩაწერა ან webhook-ის გამოძახება, ტრაფიკი კი დანიშნულებისკენ მიდის.

მორგებული ფუნქციები პოლიტიკის შეფასების დროს Worker-ს ინლაინ იძახებენ. Worker იღებს წყაროს IP-ს, დანიშნულებას, მომხმარებლის იდენტობას, მოწყობილობის posture-ს და HTTP header-ებს და აბრუნებს ტიპიზებულ მნიშვნელობას, მაგალითად string-ს, number-ს ან boolean-ს. ეს მნიშვნელობა პოლიტიკის ამწყობში selector-ად იქცევა და ნებისმიერ network ან HTTP წესში გამოიყენება ჩაშენებულ selector-ებთან ერთად, მათ შორის Source IP ან Content Category, Layer 4 ტრაფიკისთვისაც.

ზედმეტი ქსელური ნახტომი არ არის

Cloudflare-ი ამბობს, რომ Gateway და Workers ერთსა და იმავე მანქანებზე, ერთსა და იმავე მონაცემთა ცენტრებში მუშაობენ 330-ზე მეტ ლოკაციაზე, ამიტომ Worker-ზე გაგზავნა ლოკალური გამოძახებაა, hairpinning-ის და დამატებითი დაყოვნების გარეშე. გავლენა მხოლოდ Worker კოდის შესრულების დროით შემოიფარგლება. როცა ფუნქცია ვარდება, შეცდომას აგდებს, დროში ვერ ეტევა ან მოულოდნელ მნიშვნელობას აბრუნებს, ადმინისტრატორები თითო ფუნქციისთვის fallback ქცევას აყენებენ. ტრაფიკი სტანდარტულ Worker მოთხოვნებად ითვლება Workers Free, Paid და Enterprise გეგმებზე.

რისი აშენება შეუძლიათ მომხმარებლებს

Cloudflare-მა რამდენიმე მაგალითი ჩამოთვალა. Worker-ს შეუძლია მგრძნობიარე დანიშნულებაზე წვდომამდე წერილობითი დასაბუთების გვერდი მოემსახუროს, სესიები Cloudflare KV-ში TTL-ით შეინახოს და აუდიტის კვალი D1 ან Hyperdrive-თან დაკავშირებულ ბაზებში ჩაწეროს. მორგებული ფუნქციებს შეუძლიათ JWT-ის დაპარსვა და როლის selector-ად დაბრუნება, რათა წესმა X App Role header ჩასვას NGINX პროქსი პულის გარეშე. Workers-ს შეუძლიათ ფაილები sandboxing სერვისებზე გაგზავნა ან R2-ში შენახვა, Slack-ზე ან PagerDuty-ზე გაფრთხილება DLP პროფილის დამთხვევისას და შიდა რისკის შეფასების ლოგიკის გაშვება პოლიტიკის ძრავის გაფართოებად.

DLP ვალიდაციის ფუნქციები

Cloudflare-მა ეს მიდგომა მონაცემთა დაკარგვის პრევენციაზეც გაავრცელა. DLP-ის მორგებული ვალიდაციის ფუნქციები დღეიდან არის ხელმისაწვდომი და მომხმარებლებს Worker-ში საკუთარი ვალიდაციის ლოგიკა საკუთარი სანდო წყაროთი განსაზღვრის საშუალებას აძლევს. ერთ მაგალითში Worker აღმოჩენილ GitHub secret-ს იჭერს, GitHub API-ით მის სტატუსს ამოწმებს და ქულას აბრუნებს, რომელიც პოლიტიკის აღსრულებამდე დამთხვევას ადასტურებს, უგულებელყოფს ან უარყოფს. Dispatch შესვლის წერტილები Cloudflare One-ზე გაფართოვდება, შემდეგი კი Email Security იქნება.

წყაროები: Cloudflare