← Cloudflare One / cloudflare-one / traffic-policies / http-policies

Úprava hlaviček HTTP požadavků v Gateway

Zásady Gateway HTTP s akcemi Allow mohou před doručením na cíl upravit hlavičky odpovídajících požadavků. Pomocí dynamických hodnot můžete nastavit hlavičky tak, aby předávaly informace, například identitu uživatele, zdrojovou IP adresu a další vstupy pro upstream služby, vynucovaly kontrolu tenantů SaaS, odstraňovaly interní hlavičky nebo přepisovaly obsah hlaviček.

Manipulace s hlavičkami vyžaduje dešifrování TLS, protože hlavičky HTTP jsou viditelné pouze u provozu, který Gateway dokáže dešifrovat.

Gateway podporuje tři operace s hlavičkami pro zásady HTTP. Když požadavek odpovídá zásadě Allow s nakonfigurovanými operacemi s hlavičkami, Gateway je použije v tomto pořadí:

1. Smazat: Odeberte hlavičky z požadavku.
2. Overwrite: Přepište hlavičky požadavku. Hlavičkám se shodujícím se názvem budou přepsány hodnoty. Pokud hlavička neexistuje, vytvoří se.
3. Přidat: Přidejte hlavičky k požadavku. Pokud hlavička již existuje, přidaná hodnota se připojí ke stávající hodnotě.

V rámci jedné zásady můžete nakonfigurovat až 20 operací s hlavičkami. Názvy hlaviček jsou omezeny na 256 bajtů a hodnoty hlaviček na 4 KB.

Přidáním hlavičky se k požadavku připojí hodnota. Pokud hlavička už existuje, hodnota se přidá vedle stávající hodnoty, místo aby ji nahradila.

Přepsání hlavičky nahradí jakoukoli existující hodnotu. Pokud hlavička v požadavku ještě neexistuje, vytvoří se. Tuto operaci použijte, když potřebujete zajistit konkrétní hodnotu hlavičky bez ohledu na to, co odeslal klient.

Odstraněním hlavičky se hlavička z požadavku zcela odebere. Pokud hlavička neexistuje, operace nemá žádný účinek.

Hodnoty hlaviček mohou obsahovat dynamické proměnné, které Gateway v okamžiku požadavku vyhodnotí na základě identity, zařízení a síťového kontextu aktuální relace. Dynamické proměnné používají @{...} syntaxi a lze ji kombinovat se statickým textem ve stejné hodnotě.

Například hodnota hlavičky user-@{identity.email} se překládá na [email protected] v době požadavku.

K dispozici jsou následující dynamické proměnné:

Dynamické proměnné vyžadují aktivní relaci identity. Pokud Gateway nedokáže proměnnou přeložit (například uživatel není ověřen), nahradí se proměnná varovným řetězcem, například cf-unresolved nebo cf-invalid, a do protokolu HTTP se přidá upozornění.

Chcete-li vytvořit zásadu HTTP s operacemi s hlavičkami:

1. V Dashboard Cloudflare One ↗, přejděte na Zásady provozu > Zásady brány firewall > HTTP.
2. Vyberte Přidat zásadu.
3. Sestavte výraz, který odpovídá provozu, jenž chcete upravit.
4. V Akce, vyberte Allow.
5. V části Úprava hlaviček požadavků, vyberte Přidat nebo Overwrite a přidejte nebo přepište hlavičky, nebo vyberte Odebrat odstranit hlavičku.
6. U operací Add a Overwrite zadejte název a hodnotu hlavičky. Chcete-li použít dynamickou proměnnou, zadejte @{...} syntaxi v poli hodnoty, nebo vyberte {} tlačítko pro zobrazení seznamu dostupných hodnot. U operací Remove zadejte pouze název hlavičky.
7. Uložte svou zásadu.

Chcete-li vytvořit zásadu HTTP s operacemi s hlavičkami prostřednictvím rozhraní API, zahrňte add_headers, set_headers, a delete_headers v rule_settings objekt.

curl https://api.cloudflare.com/client/v4/accounts/{account_id}/gateway/rules \
--header "Authorization: Bearer {api_token}" \
--header "Content-Type: application/json" \
--data '{
  "name": "Forward identity headers",
  "action": "allow",
  "enabled": true,
  "filters": ["http"],
  "traffic": "any(http.request.domains[*] in {\"app.example.com\"})",
  "rule_settings": {
    "add_headers": {
      "X-User-Email": ["@{identity.email}"],
      "X-User-Groups": ["@{identity.groups}"]
    },
    "set_headers": {
      "X-Forwarded-User": ["@{identity.email}"]
    },
    "delete_headers": ["X-Debug-Token", "X-Internal-Only"]
  }
}'

rule_settings pole pro úpravu hlaviček jsou:

Jedna hodnota hlavičky může obsahovat kombinaci statického textu a dynamických proměnných, například:

{
  "add_headers": {
    "X-Request-Context": ["user=@{identity.email}, device=@{device.id}, src=@{source.ip}"]
  }
}

Pokud si za účelem analýzy webového provozu uložíte z prohlížeče soubor HAR (HTTP Archive), vlastní hlavičky definované v Gateway se v něm neobjeví. Je to proto, že Gateway hlavičku vkládá až poté, co požadavek opustí prohlížeč.

Ověření, že Gateway aplikuje vlastní hlavičku:

1. Do zásady s vlastními hlavičkami přidejte selektor, který bude odpovídat provozu pro HTTPBin ↗, open-source web pro testování požadavků HTTP. Například:

   Selektor	Operátor	Hodnota	Logika	Akce	Akce pro nedůvěryhodný certifikát
   Aplikace	v	Google Workspace	Nebo	Allow	Block
   Doména	v	httpbin.org

2. Na svém zařízení přejděte do httpbin.org/anything ↗. Vaše vlastní hlavička se zobrazí v seznamu hlaviček.

3. (Volitelné) Odeberte ze své zásady výraz HTTPBin.

Tenant control umožňuje uživatelům přistupovat k firemním aplikacím SaaS a zároveň blokuje přístup k osobním účtům ve stejné službě. Můžete tak například povolit přístup ke službě Google Workspace vaší společnosti a zablokovat přihlašování do osobního Gmailu.

Gateway implementuje kontrolu tenantů vložením vlastních hlaviček HTTP do odpovídajících požadavků. Tyto hlavičky sdělují aplikaci SaaS, který tenant (organizace) je autorizován. Pokud se uživatel pokusí ověřit pomocí osobního účtu, aplikace SaaS hlavičku přečte a požadavek odmítne.

Pomocí dynamických hodnot hlaviček můžete předávat informace o identitě uživatele navazujícím aplikacím, aniž by se tyto aplikace musely přímo integrovat s Cloudflare Access.

Vaše upstream aplikace může tyto hlavičky přečíst a použít je k identifikaci uživatele, vynucení autorizační logiky nebo naplnění protokolů auditu.

Abyste klientům zabránili podvrhnout interní hlavičky, použijte operaci delete a hlavičky před předáním požadavku odstraňte, poté je pomocí operace add nebo set znovu vložte s ověřenými hodnotami.

curl https://api.cloudflare.com/client/v4/accounts/{account_id}/gateway/rules \
--header "Authorization: Bearer {api_token}" \
--header "Content-Type: application/json" \
--data '{
  "name": "Replace internal headers",
  "action": "allow",
  "enabled": true,
  "filters": ["http"],
  "traffic": "any(http.request.domains[*] in {\"internal.example.com\"})",
  "rule_settings": {
    "delete_headers": ["X-Internal-User"],
    "set_headers": {
      "X-Internal-User": ["@{identity.email}"]
    }
  }
}'

Do zásady HTTP můžete zahrnout vlastní hlavičky, které uživatelům umožní projít přes Cloudflare WAF. Hodí se to, pokud chcete přes svůj WAF propouštět pouze uživatele Cloudflare One Client.

1. Vytvořte zásadu povolení pro interní doménu za vaším WAF s vlastní hlavičkou.

   Selektor	Operátor	Hodnota	Akce
   Doména	v	internalapp.com	Allow

   Název vlastní hlavičky	Hodnota vlastní hlavičky
   X-Example-Header	example-value

2. V Cloudflare WAF, vytvořit vlastní pravidlo na vyžadování stejné HTTP hlavičky.

Můžete nakonfigurovat Browser Isolation k odesílání vlastních hlaviček. To se hodí pro implementaci kontroly tenantů u izolovaných aplikací SaaS nebo pro odesílání libovolných vlastních hlaviček požadavků na izolované weby.

Chcete-li používat vlastní hlavičky s Browser Isolation, vytvořte dvě zásady HTTP zaměřené na stejnou doménu nebo skupinu aplikací. Můžete například vytvořit zásady pro HTTPBin ↗, open-source web pro testování požadavků HTTP:

1. Vytvořte zásadu Isolate pro httpbin.org.

   Selektor	Operátor	Hodnota	Akce
   Doména	v	httpbin.org	Isolate

2. Vytvořte zásadu povolení pro httpbin.org s vlastní hlavičkou.

   Selektor	Operátor	Hodnota	Akce
   Doména	v	httpbin.org	Allow

   Název vlastní hlavičky	Hodnota vlastní hlavičky
   Example-Header	example-value

3. Přejděte na httpbin.org/anything ↗. Cloudflare vykreslí web v izolovaném prohlížeči. Vaše vlastní hlavička se zobrazí v seznamu hlaviček.