← Cloudflare One / cloudflare-one / traffic-policies

Zásady HTTP

Zásady HTTP umožňují filtrovat všechny požadavky HTTP a HTTPS podle URL adres, názvů hostitelů, metod HTTP, typů souborů a dalších atributů požadavku. Na rozdíl od síťové zásady fungují na Layer 4 (TCP/UDP), zásady HTTP fungují na Layer 7 a dokážou zkontrolovat celý obsah webového provozu.

Gateway ve výchozím nastavení kontroluje HTTP provoz na portu 80 a s dešifrování TLS zapnuté, provoz HTTPS na portu 443. Gateway můžete také nakonfigurovat tak, aby kontrolovat provoz HTTP/HTTPS na všech portech. Gateway podporuje kontrolu HTTP/3 pomocí UDP proxy zapnuto.

Zásada HTTP se skládá z Akce a logický výraz, který určuje rozsah dané zásady. Pro sestavení výrazu vyberte Selektor a Operátor, poté zadejte hodnotu nebo rozsah hodnot do Hodnota pole. Můžete použít And a Nebo logické operátory k vyhodnocení více podmínek.

• Akce
• Selektory
• Porovnávací operátory
• Hodnota
• Logické operátory

Pokud podmínka ve výrazu spojuje atribut dotazu (například Zdrojová IP) a atribut odpovědi (například Vyřešená IP), pak se podmínka vyhodnotí při přijetí odpovědi.

Akce v HTTP zásadách umožňují zvolit, co se má stát s danou sadou prvků (domény, IP adresy, typy souborů a podobně). Ke každé zásadě lze přiřadit jen jednu akci.

Hodnota API: allow

Akce Allow umožňuje odchozímu provozu dosáhnout cílů, které zadáte v rámci Selektory a Hodnota pole. Následující konfigurace například povoluje provoz na všechny weby, které řadíme do kategorie obsahu Education:

Akce pro nedůvěryhodný certifikát určuje, jak se mají zpracovávat nezabezpečené požadavky.

Zásady povolení mohou upravovat hlavičky HTTP požadavků před předáním provozu do cíle. Hlavičky můžete přidávat, přepisovat nebo mazat a pomocí dynamických proměnných vkládat do jejich hodnot kontext identity, zařízení a sítě.

Další informace najdete v tématu Vlastní hlavičky.

Hodnota API: block

Akce Block brání odchozímu provozu dosáhnout cílů, které zadáte v rámci Selektory a Hodnota pole. Následující konfigurace například blokuje uživatelům možnost nahrát jakýkoli typ souboru na Google Drive:

Zapněte Zobrazit oznámení o blokování pro Cloudflare One Client zobrazovat oznámení o událostech blokování Gateway. Blokovaní uživatelé obdrží oznámení operačního systému od Cloudflare One Client s vlastní zprávou, kterou nastavíte. Pokud vlastní zprávu nenastavíte, zobrazí Cloudflare One Client výchozí zprávu. Vlastní zprávy musí mít nejvýše 100 znaků. Cloudflare One Client zobrazí maximálně jedno oznámení za minutu.

Po výběru oznámení Cloudflare One Client přesměruje uživatele na Blokovací stránka Gateway jste nakonfigurovali. Volitelně můžete uživatele nasměrovat na vlastní adresu URL, například na interní formulář podpory.

Když zapnete Odesílat kontext zásady, Gateway připojí podrobnosti o odpovídajícím požadavku k přesměrované adrese URL jako řetězec dotazu. Nebudou zahrnuta všechna pole kontextu. Mezi možná pole kontextu zásady patří:

Ujistěte se, že váš operační systém povoluje oznámení pro Cloudflare One Client. Pokud máte zapnutý režim soustředění, nerušit nebo sdílení obrazovky, zařízení nemusí oznámení zobrazovat. Chcete-li na zařízeních macOS se softwarem DisplayLink zapnout oznámení klienta, může být nutné povolit systémová oznámení při zrcadlení displeje. Další informace najdete v dokumentace k systému macOS ↗.

Hodnota API: redirect

Akce přesměrování umožňuje přesměrovat odpovídající požadavky HTTP na jinou vámi zadanou URL adresu. Pokud například vaši uživatelé přejdou na veřejnou webovou stránku aplikace SaaS, můžete je přesměrovat na vaši vlastní samostatně hostovanou instanci, na stránku jednotného přihlášení nebo na interní stránku zásad.

Chcete-li přesměrovávat adresy URL akcí Block a blokovací stránkou, více informací najdete v Přesměrovat na blokovací stránku.

V Zásada URL redirect, můžete určit, na jakou URL adresu se mají odpovídající požadavky přesměrovat. Přesměrovací URL adresa může obsahovat cesty a parametry dotazu. Můžete například přesměrovat example.com na cloudflare.com/path/to/page?querystring=x.

Když zapnete Odesílat kontext zásady, Gateway připojí podrobnosti o odpovídajícím požadavku k přesměrované adrese URL jako řetězec dotazu. Nebudou zahrnuta všechna pole kontextu. Mezi možná pole kontextu zásady patří:

Když zapnete Preserve original path and query string, Gateway připojí původní cestu a řetězec dotazu k přesměrované adrese URL. Cesty a dotazy v přesměrované adrese URL mají přednost před původní adresou URL. Pokud je například původní adresa URL example.com/path/to/page?querystring=X a přesměrovací adresa URL je cloudflare.com/redirect-path?querystring=Y, Gateway přesměruje požadavky na:

cloudflare.com/redirect-path/path/to/page?querystring=Y

Když zapnete obě možnosti, Gateway zachová původní cestu a řetězec dotazu a poté na konec přesměrovací adresy URL připojí kontext zásady. Pokud je například původní adresa URL example.com/path/to/page?querystring=X&k=1 a přesměrovací adresa URL je cloudflare.com/redirect-path?querystring=Y, Gateway přesměruje požadavky na:

cloudflare.com/redirect-path/path/to/page?querystring=Y&k=1&[email protected]

Hodnota API: isolate

Akce Isolate obsluhuje odpovídající provoz uživatelům prostřednictvím Cloudflare Browser Isolation. Další informace o této akci najdete v Zásady izolace.

Hodnota API: off

Do Not Inspect umožňuje vynechat určité prvky z kontroly. Aby Gateway nedešifrovala a nekontrolovala provoz HTTPS, musí vaše zásada odpovídat podle Server Name Indication (SNI) v hlavičce TLS. Při přístupu na web Do Not Inspect se v prohlížeči může zobrazit Vaše připojení není soukromé varování, přes které můžete pokračovat a připojit se. Další informace o aplikacích, které mohou vyžadovat zásadu Do Not Inspect, najdete v Omezení dešifrování TLS.

Hodnota API: noisolate

Akce Do Not Isolate vypíná izolaci prohlížeče pro odpovídající provoz. Další informace o této akci najdete v Zásady izolace.

Hodnota API: noscan

Když administrátor zapne antivirové skenování nahrávaných a/nebo stahovaných souborů, Gateway prohledá každý podporovaný soubor. Administrátoři mohou skenování selektivně vypnout pomocí pravidel HTTP. Chcete-li například zabránit antivirovému skenování souborů nahrávaných na nebo stahovaných z example.com, správce by nakonfiguroval následující pravidlo:

Když se shoduje pravidlo Do Not Scan, nic se neskenuje bez ohledu na velikost souboru nebo na to, zda je daný typ souboru podporován.

Hodnota API: quarantine

Akce Karanténa odesílá soubory z odpovídajících požadavků do sandboxu, kde se zkontrolují, zda neobsahují malware. Gateway do karantény umístí pouze soubory, které v sandboxu ještě nebyly zaznamenány. Další informace o této akci najdete v File sandboxing.

V Typy souborů sandboxu, můžete vybrat, které typy souborů má vaše zásada dávat do karantény. Musíte vybrat alespoň jeden typ souboru.

File sandboxing podporuje kontrolu následujících typů souborů:

Gateway porovnává provoz HTTP s následujícími selektory neboli kritérii:

Všechny cíle zabezpečený pomocí Infrastrukturní aplikace Access.

Všechny cílové IP adresy a hostname zabezpečené Self-hosted privátní aplikace Access.

Stav schválení revize aplikace z Shadow IT Discovery nebo Knihovna aplikací. Další informace najdete v Zkontrolujte aplikace.

Zásady HTTP můžete použít na rostoucí seznam oblíbených webových aplikací. Viz Aplikace a typy aplikací s dalšími informacemi.

Při použití je operátor s Aplikace selektor, můžete pomocí Application Granular Controls vybrat konkrétní akce a operace, které mají odpovídat provozu aplikace. Můžete tak například zablokovat nahrávání souborů do ChatGPT, aniž byste blokovali veškerý provoz ChatGPT:

Provoz můžete porovnávat podle Ovládací prvky aplikace, které sdružují více uživatelských akcí dohromady, nebo Operace, která umožňují podrobné řízení podporovaných akcí na úrovni API pro danou aplikaci.

Další informace najdete v tématu Podrobné ovládací prvky aplikace.

Fáze HTTP požadavku. Tento selektor umožňuje určit, zda se má skenovat obsah odeslaný v HTTP požadavku k zařízení uživatele, nebo naopak ze zařízení uživatele k cíli. Zásady bez tohoto selektoru skenují těla obou HTTP požadavků i odpovědí.

Zda aktuální relace běží uvnitř Remote Browser Isolation. Pomocí tohoto selektoru můžete uplatnit odlišné chování zásad pro izolovaný a neizolovaný provoz.

Aplikace v rámci konkrétního kategorie zabezpečení jak jsou kategorizovány podle Cloudflare Radar.

Kontinent, do kterého žádost směřuje. Geolokace se určuje z cílové IP adresy. Chcete-li zadat kontinent, zadejte jeho dvoupísmenný kód do pole Hodnota pole:

Země, do které žádost směřuje. Geolokace se určuje z cílové IP adresy. Chcete-li zadat zemi, zadejte její kód ISO 3166-1 Alpha 2 ↗ v Hodnota .

IP adresa cíle požadavku.

Pomocí selektoru Device Posture mohou administrátoři využít signály ze zařízení koncových uživatelů k zabezpečení přístupu ke svým interním i externím zdrojům. Administrátor zabezpečení může například omezit veškerý přístup k interním aplikacím podle toho, zda je na zařízení nainstalovaný konkrétní software, nebo zda je zařízení či software nakonfigurováno určitým způsobem.

Další informace o kontrolách stavu zařízení najdete v Stav zařízení.

Tento selektor použijte k porovnání s doménou a všemi subdoménami. Můžete například porovnávat s example.com a jejích subdomén, například www.example.com.

Zásady Gateway přímo nepodporují domény se znaky mimo latinku. Chcete-li použít doménu se znaky mimo latinku, přidejte ji do seznam.

Tyto selektory použijte k omezení velikosti souboru u transakcí nahrávání nebo stahování. Velikosti souborů se měří v mebibajtech (MiB).

Tyto selektory budou skenovat signatury souborů v těle HTTP. Můžete vybrat z kategorií souborů nebo konkrétní typy souborů, jako jsou spustitelné soubory, archivy a komprimované soubory, soubory, které nelze skenovat, dokumenty Microsoft 365/Office a soubory Adobe.

Gateway podporuje následující typy souborů pro použití s Download File Types a Upload File Types selektory:

Tyto selektory závisí na Content-Type hlavičky v požadavku (pro nahrávání) nebo v odpovědi (pro stahování). Hodnota typu MIME musí odpovídat formátu použitému v Content-Type hlavičky (například image/png, application/pdf).

Použijte Cloudflare Data Loss Prevention (DLP) a skenovat HTTP provoz na přítomnost citlivých dat, jako jsou osobní údaje (PII) nebo zdrojový kód. Musíte nakonfigurovat Profil DLP než budete moci tento selektor použít v zásadě.

Zda byl požadavek HTTP identifikován jako Model Context Protocol (MCP) ↗ provoz. Gateway detekuje provoz MCP kontrolou hlaviček specifických pro daný protokol a charakteristik datové zátěže. Pomocí tohoto selektoru můžete vytvářet zásady, které provoz MCP ve vaší síti povolí, zablokují nebo izolují.

Následující zásada například blokuje provoz MCP, který nepřichází přes portál MCP:

Tento selektor použijte k porovnání pouze se zadaným hostname. Můžete například porovnávat s test.example.com ale ne example.com nebo www.test.example.com.

Zásady Gateway přímo nepodporují hostname se znaky mimo latinku. Chcete-li použít hostname se znaky mimo latinku, přidejte jej do seznam.

Metoda HTTP požadavku použitá v provozu.

Stavový kód odpovědi HTTP přijatý v rámci provozu.

Ekosystém registru balíčků zjištěný z URL adresy HTTP požadavku. Další informace najdete v Zabezpečení registru balíčků.

Název balíčku zjištěný z URL adresy požadavku HTTP.

Namespace balíčku, pokud jej daný ekosystém podporuje. Pro npm jde o scope, pro Maven o group ID a pro Go o module path.

Package URL ↗ odvozené z detekovaných souřadnic balíčku.

Verze balíčku zjištěná z URL adresy HTTP požadavku. Podporuje přesnou shodu a operátory porovnání verzí citlivé na ekosystém. Další informace o sémantice porovnání verzí najdete v Zabezpečení registru balíčků.

proxy server kam váš prohlížeč přeposílá provoz HTTP.

Aplikace v rámci konkrétního kategorie zabezpečení jak jsou kategorizovány podle Cloudflare Radar.

Kontinent uživatele, který podává žádost.

Geolokace se určuje z veřejné IP adresy zařízení (obvykle přidělené poskytovatelem internetu uživatele, tedy ISP). Chcete-li zadat kontinent, zadejte jeho dvoupísmenný kód do Hodnota pole:

Země uživatele, který podává žádost.

Geolokace se určuje z veřejné IP adresy zařízení (obvykle přidělené poskytovatelem internetu uživatele, tedy ISP). Chcete-li zadat zemi, zadejte její kód ISO 3166-1 Alpha-2 ↗ v Hodnota .

Tento selektor použijte k uplatnění zásad HTTP na privátní IP adresu přidělenou lokální sítí uživatele, ze které požadavky přicházejí do Gateway.

Zdrojová IP adresa nebo adresy zařízení proxovaného přes Gateway.

Metoda použitá k přivedení (on-ramp) provozu do Cloudflare. Pomocí tohoto selektoru můžete uplatňovat zásady na základě způsobu, jakým provoz do Gateway přichází.

Dostupné hodnoty: device_client (klient zařízení), mesh (Mesh), cloudflare_wan (Cloudflare WAN), clientless_rdp (Clientless RDP), proxy_endpoint (Proxy endpoint), agentless_biso (Clientless Browser Isolation), mcp_portal (portál MCP).

Gateway ignoruje koncová lomítka (/) v adresách URL. Například https://example.com a https://example.com/ bude považováno za stejnou URL adresu a může vrátit chybu duplicity.

Cesta URL adresy webové stránky.

Cesta a query řetězec URL adresy webové stránky.

Dotaz (query) URL adresy webové stránky.

Tyto selektory použijte k porovnání s atributy identity.

Tento selektor použijte k porovnání veškerého provozu směrovaného přes konkrétní Virtuální síť prostřednictvím Cloudflare One Client.

Porovnávací operátory jsou způsob, jakým Gateway přiřazuje provoz k selektoru. Když zvolíte Selektor v nástroji pro tvorbu zásad v dashboardu, Operátor rozbalovací nabídka zobrazí dostupné možnosti pro daný selektor.

V Hodnota pole můžete zadat jedinou hodnotu, pokud používáte operátor porovnání rovnosti (například je) nebo více hodnot při použití porovnávacího operátoru typu obsahuje (například v). Kromě toho můžete použít regulární výrazy (nebo regulární výraz) pro určení rozsahu hodnot u podporovaných selektorů.

Regulární výrazy se vyhodnocují pomocí Rust. Implementace v Rust se mírně liší od knihoven regulárních výrazů používaných jinde. Další informace najdete v našem návodu pro Zástupné znaky. Chcete-li ověřit, zda váš regulární výraz odpovídá, můžete použít Rustexp ↗.

Pokud chcete přiřadit více hodnot, můžete použít symbol svislé čáry (|) jako operátor OR. Není nutné použít escapovací znak (\) před symbolem svislítka (pipe). Následující výraz se například vyhodnotí jako pravdivý, pokud hostname odpovídá buď .*whispersystems.org nebo .*signal.org:

Kromě regulárních výrazů můžete použít logické operátory tak, aby odpovídalo více hodnotám.

Chcete-li ve výrazu vyhodnotit více podmínek, vyberte And logický operátor. Tyto výrazy lze dále porovnávat pomocí Nebo logický operátor.

Nebo operátor bude fungovat pouze s podmínkami ve stejné skupině výrazů. Nemůžete tedy porovnávat podmínky v Provoz s podmínkami v Identita nebo Stav zařízení.

Pokud podmínka ve výrazu spojuje atribut požadavku (například Zdrojová IP) a atribut odpovědi (například profil DLP), pak se podmínka vyhodnotí při přijetí odpovědi.