← Cloudflare One / cloudflare-one / traffic-policies

Síťové zásady

Síťové zásady řídí provoz TCP a UDP mezi vašimi uživateli a síťovými cíli. Slouží k povolení nebo blokování provozu jiného než HTTP, například SSH, RDP a databázových připojení, na základě IP adres, portů a protokolů.

Protože Cloudflare One integruje se s vaším poskytovatelem identity, můžete také vytvářet síťové zásady založené na identitě. To vám umožní řídit přístup k prostředkům mimo HTTP pro jednotlivé uživatele bez ohledu na jejich polohu nebo zařízení.

Síťová zásada se skládá z Akce a logický výraz, který určuje rozsah dané akce. Pro sestavení výrazu vyberte Selektor a Operátor, poté zadejte hodnotu nebo rozsah hodnot do Hodnota pole. Můžete použít And a Nebo logické operátory k vyhodnocení více podmínek.

• Akce
• Selektory
• Porovnávací operátory
• Hodnota
• Logické operátory

Pokud podmínka ve výrazu spojuje atribut dotazu (například Zdrojová IP) a atribut odpovědi (například Vyřešená IP), pak se podmínka vyhodnotí při přijetí odpovědi.

Podobně jako akce v zásadách DNS a HTTP, akce v síťových zásadách definují, jaké rozhodnutí chcete použít pro danou sadu prvků. Ke každé zásadě můžete přiřadit jednu akci.

Hodnota API: allow

Zásady s akcí Allow umožňují, aby síťový provoz dosáhl určitých IP adres nebo portů. V konfiguraci s výchozím blokováním definují zásady Allow výjimky: provoz, který neodpovídá žádné zásadě Allow, zablokuje obecná zásada Block s nižší prioritou. Následující konfigurace například umožňuje konkrétním uživatelům dosáhnout dané IP adresy:

Hodnota API: block

Zásady s akcí Block blokují síťový provoz směřující na určité IP adresy nebo porty. Následující konfigurace například blokuje veškerý provoz směřující na port 443:

Zapněte Zobrazit oznámení o blokování pro Cloudflare One Client zobrazovat oznámení o událostech blokování Gateway. Blokovaní uživatelé obdrží oznámení operačního systému od Cloudflare One Client s vlastní zprávou, kterou nastavíte. Pokud vlastní zprávu nenastavíte, zobrazí Cloudflare One Client výchozí zprávu. Vlastní zprávy musí mít nejvýše 100 znaků. Cloudflare One Client zobrazí maximálně jedno oznámení za minutu.

Po výběru oznámení Cloudflare One Client přesměruje uživatele na Blokovací stránka Gateway jste nakonfigurovali. Volitelně můžete uživatele nasměrovat na vlastní adresu URL, například na interní formulář podpory.

Když zapnete Odesílat kontext zásady, Gateway připojí podrobnosti o odpovídajícím požadavku k přesměrované adrese URL jako řetězec dotazu. Nebudou zahrnuta všechna pole kontextu. Mezi možná pole kontextu zásady patří:

Ujistěte se, že váš operační systém povoluje oznámení pro Cloudflare One Client. Pokud máte zapnutý režim soustředění, nerušit nebo sdílení obrazovky, zařízení nemusí oznámení zobrazovat. Chcete-li na zařízeních macOS se softwarem DisplayLink zapnout oznámení klienta, může být nutné povolit systémová oznámení při zrcadlení displeje. Další informace najdete v dokumentace k systému macOS ↗.

Hodnota API: l4_override

Zásady s akcí Network Override přepisují provoz směřující na určité adresy IPv4/IPv6 nebo porty, případně z nich přicházející. Cílové IP adresy mohou být veřejné, nebo soukromé IP adresy připojené k vaší síti Zero Trust. Následující konfigurace například přepisuje provoz odeslaný na veřejnou IP adresu tak, aby použil soukromou IP adresu na základě identity uživatele:

Gateway zaznamená pouze úspěšná override připojení do vašeho síťové protokoly.

Gateway porovnává síťový provoz s následujícími selektory neboli kritérii.

Všechny cíle zabezpečený pomocí Infrastrukturní aplikace Access.

Všechny cílové IP adresy a hostname zabezpečené Self-hosted privátní aplikace Access.

Síťové zásady můžete použít na rostoucí seznam oblíbených webových aplikací. Viz Aplikace a typy aplikací s dalšími informacemi.

Zda aktuální relace běží uvnitř Remote Browser Isolation. Pomocí tohoto selektoru můžete uplatnit odlišné chování zásad pro izolovaný a neizolovaný provoz.

Aplikace v rámci konkrétního kategorie zabezpečení jak jsou kategorizovány podle Cloudflare Radar.

Kontinent, do kterého žádost směřuje. Geolokace se určuje z cílové IP adresy. Chcete-li zadat kontinent, zadejte jeho dvoupísmenný kód do pole Hodnota pole:

Země, do které žádost směřuje. Geolokace se určuje z cílové IP adresy. Chcete-li zadat zemi, zadejte její kód ISO 3166-1 Alpha 2 ↗ v Hodnota .

IP adresa cíle požadavku.

Číslo portu cíle požadavku.

Odvozený síťový protokol na základě Cloudflare detekce protokolu.

Pomocí selektoru Device Posture mohou administrátoři využít signály ze zařízení koncových uživatelů k zabezpečení přístupu ke svým interním i externím zdrojům. Administrátor zabezpečení může například omezit veškerý přístup k interním aplikacím podle toho, zda je na zařízení nainstalovaný konkrétní software, nebo zda je zařízení či software nakonfigurováno určitým způsobem.

Další informace o kontrolách stavu zařízení najdete v Stav zařízení.

Protokol použitý k odeslání paketu.

proxy server kam váš prohlížeč přeposílá provoz HTTP.

Aplikace v rámci konkrétního kategorie zabezpečení jak jsou kategorizovány podle Cloudflare Radar.

Server Name Indication (SNI) je hostname, který klient odesílá během TLS handshake, ještě před zahájením šifrování. Gateway podle SNI určuje cíl šifrovaného provozu. Selektor SNI odpovídá přesnému hostname.

Selektory SNI se ve výchozím nastavení uplatňují jen na HTTPS provoz na portu 443. Chcete-li kontrolovat provoz na všech portech, zapněte detekce protokolu a zvolte kontrolovat na všech portech.

Doména, jejíž hlavičku Server Name Indication (SNI) bude Gateway používat k filtrování provozu. Například pravidlo pro example.com bude odpovídat example.com, www.example.com, a my.test.example.com.

Selektory SNI se ve výchozím nastavení uplatňují jen na HTTPS provoz na portu 443. Chcete-li kontrolovat provoz na všech portech, zapněte detekce protokolu a zvolte kontrolovat na všech portech.

Kontinent uživatele, který podává žádost.

Geolokace se určuje z veřejné IP adresy zařízení (obvykle přidělené poskytovatelem internetu uživatele, tedy ISP). Chcete-li zadat kontinent, zadejte jeho dvoupísmenný kód do Hodnota pole:

Země uživatele, který podává žádost.

Geolokace se určuje z veřejné IP adresy zařízení (obvykle přidělené poskytovatelem internetu uživatele, tedy ISP). Chcete-li zadat zemi, zadejte její kód ISO 3166-1 Alpha-2 ↗ v Hodnota .

Tento selektor použijte k uplatnění síťových zásad na privátní IP adresu přidělenou lokální sítí uživatele, ze které požadavky přicházejí do Gateway.

Zdrojová IP adresa nebo adresy zařízení proxovaného přes Gateway.

Zdrojový port zařízení proxovaného přes Gateway.

Metoda použitá k přivedení (on-ramp) provozu do Cloudflare. Pomocí tohoto selektoru můžete uplatňovat zásady na základě způsobu, jakým provoz do Gateway přichází.

Dostupné hodnoty: device_client (klient zařízení), mesh (Mesh), cloudflare_wan (Cloudflare WAN), clientless_rdp (Clientless RDP), proxy_endpoint (Proxy endpoint), agentless_biso (Clientless Browser Isolation), mcp_portal (portál MCP).

Tyto selektory použijte k porovnání s atributy identity.

Tento selektor použijte k porovnání veškerého provozu směrovaného přes konkrétní Virtuální síť prostřednictvím Cloudflare One Client.

Porovnávací operátory jsou způsob, jakým Gateway přiřazuje provoz k selektoru. Když zvolíte Selektor v nástroji pro tvorbu zásad v dashboardu, Operátor rozbalovací nabídka zobrazí dostupné možnosti pro daný selektor.

V Hodnota pole můžete zadat jedinou hodnotu, pokud používáte operátor porovnání rovnosti (například je) nebo více hodnot při použití porovnávacího operátoru typu obsahuje (například v). Kromě toho můžete použít regulární výrazy (nebo regulární výraz) pro určení rozsahu hodnot u podporovaných selektorů.

Regulární výrazy se vyhodnocují pomocí Rust. Implementace v Rust se mírně liší od knihoven regulárních výrazů používaných jinde. Další informace najdete v našem návodu pro Zástupné znaky. Chcete-li ověřit, zda váš regulární výraz odpovídá, můžete použít Rustexp ↗.

Pokud chcete přiřadit více hodnot, můžete použít symbol svislé čáry (|) jako operátor OR. Není nutné použít escapovací znak (\) před symbolem svislítka (pipe). Následující výraz se například vyhodnotí jako pravdivý, pokud hostitel SNI odpovídá buď .*whispersystems.org nebo .*signal.org:

Kromě regulárních výrazů můžete použít logické operátory tak, aby odpovídalo více hodnotám.

Chcete-li ve výrazu vyhodnotit více podmínek, vyberte And logický operátor. Tyto výrazy lze dále porovnávat pomocí Nebo logický operátor.

Nebo operátor bude fungovat pouze s podmínkami ve stejné skupině výrazů. Nemůžete tedy porovnávat podmínky v Provoz s podmínkami v Identita nebo Stav zařízení.