← Cloudflare One / cloudflare-one / traffic-policies

Приложения и типы приложений

Gateway позволяет создавать политики DNS, Network и HTTP на основе приложений и типов приложений. Поскольку одно приложение часто охватывает несколько имён хостов, выбрать приложение по имени проще, чем писать отдельные правила для каждого имени хоста. Вы можете выбирать отдельные приложения или типы приложений, чтобы фильтровать определённый трафик в своей сети.

Когда вы выбираете Приложение селектор в конструкторе политик Gateway, Значение поле будет включать все поддерживаемые приложения и соответствующие им типы приложений. Либо можно использовать Gateway API чтобы получить список приложений, типов приложений и ID-номеров.

Чтобы управлять сводным списком приложений во всех продуктах Cloudflare One, можно использовать Библиотека приложений.

Gateway распределяет приложения по следующим группам типов приложений:

Такие приложения, как Google Drive, используют собственные имена хостов (например, drive.google.com) и общими ресурсами, которые используются другими приложениями (например, accounts.google.com для входа). Gateway разделяет их на имена хостов и вспомогательные имена хостов чтобы вы могли независимо управлять поведением каждого приложения.

Имена хостов представляют собой домены, которые являются основными для приложения, а не используется другими приложениями. Это домены, которые Gateway блокирует при блокировке приложения. App Library отображает эти имена хостов в Таблица имён хостов для приложения.

Вспомогательные имена хостов представляют собой общие ресурсы, от которых приложения зависят при доставке контента, аутентификации или интеграции со сторонними сервисами. Поскольку эти имена хостов используются несколькими приложениями одновременно, их блокировка может привести к непредвиденным побочным эффектам.

Например, предположим, что file-sharing-service.com зависит от content-delivery.com. Если вы разрешите доступ к file-sharing-service.com и связанные с ним поддомены, но не content-delivery.com, часть функциональности file-sharing-service.com может нарушиться, если Gateway сопоставляет трафик.

Чтобы избежать этого, Gateway использует имена хостов поддержки только в политиках Allow: он разрешает подключения к таким хостам, но не блокирует их. Например, многие приложения Google используют accounts.google.com для аутентификации. Если вы создаете политику Allow для приложения, в котором указаны accounts.google.com как вспомогательное имя хоста, Gateway разрешит и accounts.google.com и собственными доменами приложения.

Когда вы используете Приложение селектор в HTTP-политике с является оператора можно выбрать конкретные действия и операции для сопоставления трафика приложений. Поддерживаемые приложения и операции:

Подробнее см. в Подробные элементы управления приложением.

Пересекающиеся имена хостов чаще всего встречаются у поставщиков с большим количеством приложений, например у Google или Meta. При использовании селектора приложения в политиках Gateway действия Gateway будут ограничены только тем приложением, которое указано в политике. Gateway также будет регистрировать другие приложения, использующие те же имена хостов, но не станет применять к ним действие, если приложение не соответствует политике. Например, приложения Facebook и Facebook Messenger используют chat-e2ee.facebook.com имя хоста. При оценке трафика к приложению Facebook Messenger Gateway будет применять действия только к трафику Facebook Messenger, но может регистрировать в журнале оба приложения, Facebook и Facebook Messenger.

Чтобы Gateway оценивал трафик с нужным вам приоритетом, расположите самые специфичные политики с наивысшим приоритетом согласно порядок приоритета.

Gateway автоматически группирует приложения, несовместимые с расшифровкой TLS, в Do Not Inspect тип приложения. По мере выявления Cloudflare несовместимых приложений Gateway периодически обновляет этот тип приложения, добавляя новые приложения. Чтобы Gateway не перехватывал текущий или будущий несовместимый трафик, вы можете создать политику HTTP Do Not Inspect со всей Do Not Inspect выбранный тип приложения.

При управлении приложениями с помощью Библиотека приложений, приложения Do Not Inspect будут отображаться под соответствующим приложением. Например, App Library сгруппирует Google Drive (Do Not Inspect) в разделе Google Drive.

Приложения могут быть несовместимы с Расшифровка TLS по разным причинам:

• Закрепление сертификата: Certificate pinning представляет собой механизм безопасности, который используется для предотвращения атак типа «злоумышленник в канале связи» в интернете за счёт жёсткого закрепления в приложении информации о сертификате, который оно ожидает получить. Если приложение получает не тот сертификат, даже если он является доверенным для системы, оно откажется устанавливать соединение.

• Трафик, не относящийся к вебу: Некоторые приложения передают через TLS трафик, отличный от веб-трафика, например Session Initiation Protocol (SIP) для голосовых и видеозвонков и Extensible Messaging and Presence Protocol (XMPP) для чата. Gateway не может проверять эти протоколы.

Чтобы оптимизировать производительность приложений и служб Microsoft 365, можно обойти расшифровку TLS, включив интеграцию трафика Microsoft 365. Это приведёт к созданию Политика Do Not Inspect для всех Домены и IP-адреса Microsoft 365 ↗ заданный Microsoft. Эта политика также использует аналитику Cloudflare для выявления остального трафика Microsoft 365, который не указан явно.

Чтобы включить интеграцию с Microsoft 365:

1. В Панель управления Cloudflare ↗, перейдите в Zero Trust > Политики трафика > Настройки трафика > Настройки политики.
2. В Не расшифровывать трафик Microsoft 365, выберите Создать политику.
3. Чтобы проверить, что политика создана, выберите Просмотр политики. Либо перейдите в Политики трафика > Политики HTTP. В вашем списке будет включена политика с именем Microsoft 365 Auto Generated.

Весь последующий трафик Microsoft 365 будет обходить журналирование и фильтрацию Gateway. Чтобы отключить это поведение, отключите или удалите политику.

Пользователи Terraform могут получить список типов приложений с помощью cloudflare_zero_trust_gateway_app_types_list источник данных. Это позволяет создавать политики Gateway с использованием имени приложения, а не его числового ID. Например:

data "cloudflare_zero_trust_gateway_app_types_list" "gateway_apptypes" {
  account_id = var.cloudflare_account_id
}

locals {
  apptypes_map = merge([
    for c in data.cloudflare_zero_trust_gateway_app_types_list.gateway_apptypes.result :
    { (c.name) = c.id }
  ]...)
}

resource "cloudflare_zero_trust_gateway_policy" "zt_block_dns_apps" {
  account_id = var.cloudflare_account_id
  name       = "DNS Blocked apps"
  action     = "block"
  traffic    = "any(app.ids[*] in {${join(" ", [
    local.apptypes_map["Discord"],
    local.apptypes_map["GoToMeeting"],
    local.apptypes_map["Greenhouse"],
    local.apptypes_map["Zelle"],
    local.apptypes_map["Microsoft Visual Studio"]
  ])}})"
}