← Cloudflare One / cloudflare-one / networks / resolvers-and-proxies / proxy-endpoints

Osvědčené postupy pro soubory PAC

Soubor PAC je textový soubor, který určuje, jaký provoz se má přesměrovat na proxy server. Když prohlížeč vytvoří webový požadavek, podívá se do souboru PAC na jeho FindProxyForURL() funkci, která vyhodnotí požadavek a vrátí pokyny pro směrování, například přímé připojení, proxy server nebo sekvenci failover.

Výchozí soubor PAC Cloudflare má standardní formát:

function FindProxyForURL(url, host) {
	// No proxy for private (RFC 1918) IP addresses (intranet sites)
	if (
		isInNet(dnsResolve(host), "10.0.0.0", "255.0.0.0") ||
		isInNet(dnsResolve(host), "172.16.0.0", "255.240.0.0") ||
		isInNet(dnsResolve(host), "192.168.0.0", "255.255.0.0")
	) {
		return "DIRECT";
	}

	// No proxy for localhost
	if (isInNet(dnsResolve(host), "127.0.0.0", "255.0.0.0")) {
		return "DIRECT";
	}

	// Proxy all
	return "HTTPS 3ele0ss56t.proxy.cloudflare-gateway.com:443";
}

Můžete přizpůsobit soubor PAC ↗ a umístěte jej někam, kam má váš prohlížeč přístup.

• Ujistěte se, že direktiva použitá pro endpoint je HTTPS a ne PROXY. Například:
  • Správně: return "HTTPS your-subdomain.proxy.cloudflare-gateway.com:443";
  • Nesprávně: return "PROXY your-subdomain.proxy.cloudflare-gateway.com:443";
• Místo přímé konfigurace endpointu v nastavení proxy prohlížeče musíte použít soubor PAC. Moderní prohlížeče nepodporují HTTPS proxy bez souborů PAC.
• Použijte editor prostého textu, například VS Code, abyste se vyhnuli nežádoucím znakům.
• Pokud pro procházení veřejného internetu používáte soubory PAC (nejen pro interní služby), přečtěte si Časté pravidla pro obcházení pro domény, které možná budete muset vyloučit z proxy, aby nedocházelo k problémům s funkčností webu.

Při použití autorizační endpointy, musíte v souboru PAC obejít domény poskytovatele identity (IdP). Tím zabráníte smyčkám ověřování, kdy se prohlížeč pokouší ověřit u proxy dříve, než se dostane k IdP a ověří se tam.

Následující ukázkový soubor PAC je komplexní šablona, která zahrnuje běžná pravidla pro obejití IdP. Nahraďte zástupné hodnoty svou konfigurací:

function FindProxyForURL(url, host) {
	// *** Identity Provider Bypass ***
	// CRITICAL: Bypass your IdP to prevent authentication loops
	// Uncomment and configure the section for your IdP:

	// Okta
	// if (host === "your-domain.okta.com" || shExpMatch(host, "*.oktacdn.com")) {
	// 	return "DIRECT";
	// }

	// Microsoft Entra ID (Azure AD)
	// if (
	// 	host === "login.microsoftonline.com" ||
	// 	host === "aadcdn.msauth.net" ||
	// 	host === "aadcdn.msftauth.net"
	// ) {
	// 	return "DIRECT";
	// }

	// Google Workspace
	// if (
	// 	host === "accounts.google.com" ||
	// 	shExpMatch(host, "*.gstatic.com")
	// ) {
	// 	return "DIRECT";
	// }

	// GitHub
	// if (shExpMatch(host, "*.github.com")) {
	// 	return "DIRECT";
	// }

	// *** Private Networks ***
	// Bypass private RFC 1918 IP addresses
	if (
		isInNet(dnsResolve(host), "10.0.0.0", "255.0.0.0") ||
		isInNet(dnsResolve(host), "172.16.0.0", "255.240.0.0") ||
		isInNet(dnsResolve(host), "192.168.0.0", "255.255.0.0")
	) {
		return "DIRECT";
	}

	// Bypass localhost
	if (isInNet(dnsResolve(host), "127.0.0.0", "255.0.0.0")) {
		return "DIRECT";
	}

	// Bypass plain hostnames (no dots)
	if (isPlainHostName(host)) {
		return "DIRECT";
	}

	// Bypass .local domains
	if (shExpMatch(host, "*.local")) {
		return "DIRECT";
	}

	// *** Cloudflare Access Logout ***
	// Optional: Redirect logout requests to your Access logout page
	// if (shExpMatch(url, "*logout*")) {
	// 	return "HTTPS your-team-name.cloudflareaccess.com/cdn-cgi/access/logout";
	// }

	// *** Proxy all other traffic ***
	return "HTTPS your-subdomain.proxy.cloudflare-gateway.com:443";
}

Prohlížeče vyhodnocují soubory PAC při každém požadavku. Optimalizace výkonu souborů PAC je klíčová, aby uživatelům nevznikaly zpoždění a problémy při procházení webu.

Při provádění překladu DNS pomocí dnsResolve(), uložte výsledek do proměnné, abyste ho mohli znovu použít napříč více kontrolami. Tím se předejde zbytečným DNS dotazům:

function FindProxyForURL(url, host) {
	// Resolve once and reuse
	var hostIP = dnsResolve(host);

	if (isInNet(hostIP, "10.0.0.0", "255.0.0.0")) {
		return "DIRECT";
	}

	// Reuse hostIP for additional checks
	if (isInNet(hostIP, "172.16.0.0", "255.240.0.0")) {
		return "DIRECT";
	}

	return "HTTPS proxy.example.com:443";
}

Názvy NetBIOS (hostitelské názvy bez teček) jsou obvykle interní a měly by obcházet proxy. Nejprve zkontrolujte tyto:

if (isPlainHostName(host)) return "DIRECT";

JavaScript rozlišuje velká a malá písmena. Pro konzistentní porovnávání převádějte názvy hostitelů na malá písmena:

function FindProxyForURL(url, host) {
	// Normalize to lowercase
	host = host.toLowerCase();
	url = url.toLowerCase();

	if (shExpMatch(host, "*.example.com")) {
		return "DIRECT";
	}

	return "HTTPS proxy.cloudflare-gateway.com:443";
}

Pokud používáte soubory PAC i pro procházení veřejného internetu, a ne jen interních služeb, může být pro některé domény potřeba proxy obejít, aby nedocházelo k problémům s funkčností webu. Následují typické scénáře, kdy může proxy zasahovat do provozu.

Poskytovatelé Font API a statického obsahu by obvykle měli obcházet proxy, aby se předešlo problémům s vykreslováním:

// Bypass font providers
if (
	shExpMatch(host, "*.googleapis.com") ||
	shExpMatch(host, "*.gstatic.com") ||
	shExpMatch(host, "fonts.adobe.com")
) {
	return "DIRECT";
}

Streamování videa a stahování rozsáhlých mediálních souborů může fungovat lépe s přímými připojeními:

// Bypass streaming services
if (
	shExpMatch(host, "*.netflix.com") ||
	shExpMatch(host, "*.youtube.com") ||
	shExpMatch(host, "*.googlevideo.com")
) {
	return "DIRECT";
}

Když je zapnutá kontrola HTTPS, aplikace a služby, které používají připnutí certifikátu (certificate pinning), odmítnou certifikát vložený Cloudflare a při směrování přes proxy se nenačtou. Tyto domény obejděte ve svém souboru PAC:

// Bypass certificate-pinned apps
if (
	shExpMatch(host, "*.example-bank.com") ||
	shExpMatch(host, "*.example-pinned-app.com")
) {
	return "DIRECT";
}

zásady Do Not Inspect (DNI) nezabrání chybám certificate pinning u těchto připojení, je nutné v souboru PAC obejít aplikace využívající certificate pinning.

Před nasazením souboru PAC všem uživatelům ve vaší organizaci ho otestujte s weby a aplikacemi, které vaši uživatelé běžně používají. Pomůže vám to zajistit:

• Interní prostředky jsou dostupné a nejsou nesprávně směrovány přes proxy
• Externí weby jsou správně filtrovány prostřednictvím Gateway
• Výkon je při typickém způsobu používání dostačující

Soubory PAC používají syntaxi JavaScriptu. Jediná syntaktická chyba (například chybějící uzavírací závorka ) nebo závorku ]) způsobí selhání celého souboru PAC. Před nasazením použijte textový editor s podporou JavaScriptu, abyste našli a opravili syntaktické chyby.

Pokud máte problém se směrováním přes proxy, většina prohlížečů nabízí nástroje pro ladění, kterými můžete ověřit chování souboru PAC:

Nadměrný počet vyhledávání DNS v souboru PAC může způsobit zpoždění. Zkontrolujte svůj soubor PAC a omezte používání dnsResolve(), isInNet(), a isResolvable() funkce.

Když aktualizujete soubor PAC, prohlížeče mohou nadále používat verzi uloženou v mezipaměti, což způsobí neočekávané chování. Po aktualizaci souboru PAC vymažte mezipaměť prohlížeče a prohlížeč restartujte, aby se zajistilo použití nejnovější verze.