Cloudflare, Gateway ve DLP'ye Programlanabilir Workers Ekledi

Yeni Forward Eylemi ve Uyarlanabilir İşlevler

Cloudflare, Gateway'de kullanıcı kodunu çalıştırmanın iki yolunu sundu: Forward politikası eylemi ve uyarlanabilir işlev, bir politika kaynağı olarak. Forward şu anda genel betada, uyarlanabilir işlevler yıl sonuna kadar bekleniyor. Genel kullanılabilirlik sağlandığında her ikisi de tüm planlarda olacak.

Yaklaşık 30 yıldır korunan web gateway'leri aynı şekilde çalıştı: trafik bir koşuyla eşleşir ve nihai bir eylem tetiklenir, örneğin Allow, Block, Isolate veya Log. Cloudflare, genel API'ler, Terraform sağlayıcıları, webhook'lar ve uyarıların gerçek programlanabilirliğin olmadığını savunur. Gerçek programlanabilirlik, güvenlik kararı alınırken kendi mantığınızı satır içinde (inline) çalıştırmak demektir.

Forward eylemi, ilgili HTTP trafiğini bir Cloudflare Worker'ına, bir inline middleware gibi gönderir. Worker tam header'ları ve istek body'sini alır; bunları değiştirebilir, origin'e gönderebilir, yanıtı değiştirebilir ve döndürebilir. Gateway TCP bağlantılarını, TLS sonlandırmasını ve sertifikaları işler. Kurallar ayrıca Worker'a yan etkiler için bağlam iletebilir; örneğin Slack bildirimi, R2'ye yazma veya webhook çağrısı, trafik ise hedefine doğru gider.

Uyarlanabilir işlevler, politikayı değerlendirirken Worker'ı inline olarak çağırır. Worker kaynak IP'sini, hedefi, kullanıcı kimliğini, cihaz duruşunu (posture) ve HTTP header'larını alır ve türlü bir değer döndürür; örneğin string, number veya boolean. Bu değer politikadaki seçici (selector) haline gelir ve herhangi bir ağ veya HTTP kuralında, iç içe seçicilerle birlikte, kaynak IP veya İçerik Kategorisi, Layer 4 trafiği için de kullanılabilir.

Aşırı Ağ Gecikmesi Yok

Cloudflare, Gateway ve Workers'ın aynı makinelerde, aynı veri merkezlerinde, 330'dan fazla konumda çalıştığını belirtir; bu nedenle Worker'a gönderim yerel bir çağrıdır, hairpinning ve ek gecikme olmadan. Etki yalnızca Worker kodunun yürütme süresiyle ölçülür. Bir işlev hata verirse, zaman aşımına uğrar veya beklenmeyen bir değer döndürürse, yöneticiler işlev başına yedek (fallback) davranış belirler. Trafik, Workers Free, Paid ve Enterprise planlarında standart Worker istekleri olarak sayılır.

Kullanıcılar Ne Oluşturabilir

Cloudflare birkaç örnek listeledi. Worker, hassas bir hedefe erişmeden önce yazılı kanıt sayfası sunabilir, oturumları Cloudflare KV'de TTL ile saklayabilir ve denetim izini D1 veya Hyperdrive ile bağlantılı veritabanlarına yazabilir. Uyarlanabilir işlevler JWT'yi çözümleyebilir ve rolü seçici olarak döndürebilir, böylece kural NGINX proxy havuzu olmadan X App Role header'ını ekleyebilir. Worker'lar dosyaları sandboxing servislerine gönderebilir veya R2'de saklayabilir, DLP profili eşleştiğinde Slack veya PagerDuty'ye uyarı gönderebilir ve dahili risk değerlendirme mantığını politika motorunun genişletmesi olarak çalıştırabilir.

DLP Doğrulama İşlevleri

Cloudflare bu yaklaşımı veri kaybı önlemesine de genişletti. DLP'nin uyarlanabilir doğrulama işlevleri bugünden itibaren kullanılabilir ve kullanıcılara Worker içinde kendi doğrulama mantığını, kendi güvenilir veri kaynağından tanımlama imkânı verir. Bir örnekte Worker, tespit edilen GitHub secret'ını alır, GitHub API'si ile durumunu kontrol eder ve politikasının uygulanmasından önce eşleşmeyi onaylayan, görmezden gelen veya reddeden bir puan döndürür. Dispatch giriş noktaları Cloudflare One'a genişletilecek, sonrası ise Email Security olacak.

Kaynaklar: Cloudflare