Cloudflare додав програмовані Workers для Gateway та DLP

Нова дія Forward та користувацькі функції

Cloudflare представив два способи запуску користувацького коду в Gateway: дію політики Forward та користувацьку функцію як ресурс політики. Forward тепер у публічній беті, користувацькі функції очікуються до кінця року. З загальною доступністю обидва будуть на всіх тарифних планах.

Майже 30 років захищені веб-шлюзи працювали однаково: трафік зіставляється з умовою і виконується фінальна дія, наприклад Allow, Block, Isolate або Log. Cloudflare стверджує, що публічні API, провайдери Terraform, webhook-и та сповіщення не є справжньою програмованістю. Справжня програмованість означає запуск власної логіки онлайн у момент прийняття рішень безпеки.

Дія Forward надсилає відповідний HTTP-трафік у Cloudflare Worker як інлайн middleware. Worker отримує повні заголовки та тіло запиту, може їх змінювати, надсилати на origin, змінювати та повертати відповідь. Gateway обробляє TCP-з'єднання, завершення TLS та сертифікати. Правила також можуть передавати контекст у Worker для побічних ефектів, наприклад повідомлення в Slack, запис в R2 або виклик webhook, а трафік рухається до призначення.

Користувацькі функції викликають Worker онлайн під час оцінки політики. Worker отримує IP джерела, призначення, ідентичність користувача, posture пристрою та заголовки HTTP і повертає типізоване значення, наприклад string, number або boolean. Це значення стає селектором у механізмі політики і використовується в будь-якому правилі network або HTTP разом із вбудованими селекторами, зокрема Source IP або Content Category, також для трафіку Layer 4.

Немає зайвих мережевих стрибків

Cloudflare повідомляє, що Gateway та Workers працюють на одних і тих самих машинах, в одних і тих самих центрах обробки даних у понад 330 локаціях, тому надсилання до Worker є локальним викликом, без hairpinning та додаткової затримки. Вплив обмежується лише часом виконання коду Worker. Якщо функція викликає помилку, перевищує час очікування або повертає неочікуване значення, адміністратори задають запасну поведінку (fallback) для кожної функції. Трафік враховується як стандартні запити Worker у планах Workers Free, Paid та Enterprise.

Що можуть створювати користувачі

Cloudflare навів кілька прикладів. Worker може обслужувати сторінку документації доступу до чутливого призначення, зберігати сесії в Cloudflare KV із TTL і записувати аудиторський слід у бази даних, пов'язані з D1 або Hyperdrive. Користувацькі функції можуть парсити JWT і повертати роль як селектор, щоб правило додало заголовок X App Role без пулу проксі NGINX. Workers можуть надсилати файли в сервіси пісочниці або зберігати їх у R2, сповіщати в Slack або PagerDuty при спрацюванні профілю DLP і запускати власну логіку оцінки ризику як розширення двигуна політик.

Функції валідації DLP

Cloudflare поширив цей підхід також на запобігання втраті даних. Користувацькі функції валідації DLP доступні з цього дня і дають користувачам можливість визначити власну логіку валідації в Worker із власним надійним джерелом. В одному прикладі Worker перехоплює знайдений GitHub secret, перевіряє його статус через GitHub API і повертає оцінку, яка до виконання політики підтверджує спрацювання, ігнорує або відхиляє. Точки входу Dispatch розширюються на Cloudflare One, далі буде Email Security.

Джерела: Cloudflare