← Cloudflare One / cloudflare-one / traffic-policies

Политики HTTP

Политики HTTP позволяют фильтровать все запросы HTTP и HTTPS по URL-адресам, именам хостов, методам HTTP, типам файлов и другим атрибутам запроса. В отличие от сетевые политики работают на уровне 4 (TCP/UDP), тогда как политики HTTP работают на уровне 7 и могут проверять всё содержимое веб-трафика.

По умолчанию Gateway проверяет HTTP-трафик на порту 80 и с Расшифровка TLS включена, HTTPS-трафик на порту 443. Вы также можете настроить Gateway так, чтобы проверять HTTP/HTTPS-трафик на всех портах. Gateway поддерживает проверку HTTP/3 с помощью UDP proxy включена.

Политика HTTP состоит из Действие и логическое выражение, определяющее область действия политики. Чтобы построить выражение, выберите Селектор и Оператор, затем введите значение или диапазон значений в поле Значение поле. Можно использовать И и Или логические операторы для оценки нескольких условий.

• Действия
• Селекторы
• Операторы сравнения
• Значение
• Логические операторы

Если условие в выражении объединяет атрибут query (например, Исходный IP) и атрибут ответа (например, Определённый IP-адрес), условие будет проверено при получении ответа.

Действия в HTTP-политиках позволяют выбрать, что делать с заданным набором элементов (доменами, IP-адресами, типами файлов и так далее). Для каждой политики можно назначить только одно действие.

Значение API: allow

Действие Allow разрешает исходящему трафику достигать указанных вами адресатов в пределах Селекторы и Значение поля. Например, следующая конфигурация разрешает трафик ко всем сайтам, которые мы относим к категории содержимого Education:

Действие в отношении недоверенного сертификата определяет, как обрабатывать небезопасные запросы.

Политики Allow могут изменять заголовки HTTP-запросов перед пересылкой трафика к месту назначения. Вы можете добавлять, перезаписывать или удалять заголовки, а также использовать динамические переменные, чтобы добавлять в значения заголовков данные об идентификации, устройстве и сети.

Подробнее см. в Пользовательские заголовки.

Значение API: block

Действие Block запрещает исходящему трафику достигать указанных вами адресатов в пределах Селекторы и Значение поля. Например, следующая конфигурация блокирует пользователям возможность загружать любые типы файлов на Google Drive:

Включите Отображает уведомление о блокировке для Cloudflare One Client чтобы отображать уведомления о событиях блокировки Gateway. Заблокированные пользователи получат уведомление операционной системы от Cloudflare One Client с заданным вами пользовательским сообщением. Если пользовательское сообщение не задано, Cloudflare One Client отобразит сообщение по умолчанию. Пользовательские сообщения должны содержать не более 100 символов. Cloudflare One Client отображает не более одного уведомления в минуту.

После выбора уведомления Cloudflare One Client перенаправит ваших пользователей на Страница блокировки Gateway которые вы настроили. При необходимости можно перенаправить пользователей на собственный URL-адрес, например на внутреннюю форму поддержки.

Если вы включите Отправлять контекст политики, Gateway добавит сведения о совпавшем запросе в URL-адрес перенаправления в виде строки запроса. Не все поля контекста будут включены. Возможные поля контекста политики:

Убедитесь, что ваша операционная система разрешает уведомления для Cloudflare One Client. Если включены режим фокусировки, режим "не беспокоить" или демонстрация экрана, устройство может не показывать уведомления. Чтобы включить уведомления клиента на устройствах macOS с программным обеспечением DisplayLink, может потребоваться разрешить системные уведомления при дублировании экрана. Дополнительные сведения см. в документация по macOS ↗.

Значение API: redirect

Действие Redirect позволяет перенаправлять совпавшие HTTP-запросы на другой указанный вами URL. Например, если ваши пользователи заходят на публичную веб-страницу приложения SaaS, вы можете перенаправить их на собственный локально размещённый экземпляр, страницу единого входа или внутреннюю страницу политики.

Чтобы перенаправлять URL-адреса с действием Block и страницей блокировки, см. Перенаправить на страницу блокировки.

В Policy URL redirect, вы можете определить URL, на который перенаправляются совпавшие запросы. URL перенаправления может содержать пути и параметры запроса. Например, можно перенаправить example.com к cloudflare.com/path/to/page?querystring=x.

Если вы включите Отправлять контекст политики, Gateway добавит сведения о совпавшем запросе в URL-адрес перенаправления в виде строки запроса. Не все поля контекста будут включены. Возможные поля контекста политики:

Если вы включите Сохранять исходный путь и строку запроса, Gateway добавит исходный путь и строку запроса к URL-адресу перенаправления. Пути и запросы в URL-адресе перенаправления имеют приоритет над исходным URL-адресом. Например, если исходный URL-адрес равен example.com/path/to/page?querystring=X а URL-адрес перенаправления: cloudflare.com/redirect-path?querystring=Y, Gateway перенаправит запросы на:

cloudflare.com/redirect-path/path/to/page?querystring=Y

Если вы включите обе опции, Gateway сохраняет исходный путь и строку запроса, а затем добавляет контекст политики в конец URL-адреса перенаправления. Например, если исходный URL-адрес выглядит так: example.com/path/to/page?querystring=X&k=1 а URL-адрес перенаправления: cloudflare.com/redirect-path?querystring=Y, Gateway перенаправит запросы на:

cloudflare.com/redirect-path/path/to/page?querystring=Y&k=1&[email protected]

Значение API: isolate

Действие Isolate обслуживает трафик, соответствующий правилу, для пользователей через Cloudflare Browser Isolation. Подробнее об этом действии см. в Политики изоляции.

Значение API: off

Do Not Inspect позволяет исключать определенные элементы из проверки. Чтобы Gateway не расшифровывал и не проверял HTTPS-трафик, ваша политика должна учитывать индикацию имени сервера (SNI) в заголовке TLS. При переходе на сайт с политикой Do Not Inspect браузер может отобразить Ваше подключение не защищено предупреждение, которое можно пропустить, чтобы подключиться. Подробнее о приложениях, для которых может потребоваться политика Do Not Inspect, см. в Ограничения расшифровки TLS.

Значение API: noisolate

Действие Do Not Isolate отключает изоляцию браузера для трафика, соответствующего правилу. Подробнее об этом действии см. Политики изоляции.

Значение API: noscan

Когда администратор включает антивирусное сканирование для загрузки и скачивания файлов, Gateway проверяет каждый поддерживаемый файл. Администраторы могут выборочно отключать сканирование с помощью правил HTTP. Например, чтобы отключить антивирусное сканирование файлов, отправляемых на определённый домен или скачиваемых с example.com, администратор настроил бы следующее правило:

Когда срабатывает правило Do Not Scan, файл не сканируется вообще, независимо от его размера и того, поддерживается ли этот тип файла.

Значение API: quarantine

Действие Quarantine отправляет файлы из соответствующих запросов в песочницу для проверки на вредоносное ПО. Gateway помещает в карантин только файлы, ранее не встречавшиеся в песочнице. Подробнее об этом действии см. в Песочница для файлов.

В Типы файлов для песочницы, вы можете выбрать типы файлов для помещения в карантин в рамках вашей политики. Необходимо выбрать хотя бы один тип файла.

Песочница для файлов поддерживает сканирование следующих типов файлов:

Gateway сопоставляет HTTP-трафик со следующими селекторами (критериями):

Все цели защищённый с помощью Инфраструктурное приложение Access.

Все целевые IP-адреса и имена хостов, защищённые Самостоятельно размещённое приватное приложение Access.

Статус проверки и одобрения приложения от Shadow IT Discovery или Библиотека приложений. Дополнительную информацию см. в Проверить приложения.

Вы можете применять политики HTTP к растущему списку популярных веб-приложений. См. Приложение и типы приложений, где это описано подробнее.

При использовании является оператор с Приложение селектор, вы можете использовать Подробные элементы управления приложением, чтобы выбрать конкретные действия и операции для сопоставления с трафиком приложений. Например, можно заблокировать загрузку файлов в ChatGPT, не блокируя весь трафик ChatGPT:

Вы можете сопоставлять трафик по Элементы управления приложением, которые объединяют несколько действий пользователя, или Операции, которые обеспечивают детальный контроль над поддерживаемыми действиями на уровне API для приложения.

Подробнее см. в Подробные элементы управления приложением.

Фаза HTTP-запроса. С помощью этого селектора можно указать, следует ли сканировать данные, отправляемые в HTTP-запросе на устройство пользователя, или данные, отправляемые с устройства пользователя к месту назначения. Политики без этого селектора сканируют тело как запроса, так и ответа HTTP.

Выполняется ли текущий сеанс внутри Remote Browser Isolation. Используйте этот селектор, чтобы применять разное поведение политики к изолированному и неизолированному трафику.

Приложения в пределах определённого категория безопасности в соответствии с категоризацией Cloudflare Radar.

Континент, в который направлен запрос. Геолокация определяется по IP-адресу назначения. Чтобы указать континент, введите его двухбуквенный код в Значение поле:

Страна, в которую направлен запрос. Геолокация определяется по IP-адресу назначения. Чтобы указать страну, введите её код ISO 3166-1 Alpha 2 ↗ в Значение поле.

IP-адрес целевого узла запроса.

С помощью селектора состояния устройства администраторы могут использовать сигналы с устройств конечных пользователей, чтобы защищать доступ к внутренним и внешним ресурсам. Например, администратор безопасности может ограничить доступ ко всем внутренним приложениям в зависимости от того, установлено ли на устройстве определённое программное обеспечение и/или настроены ли устройство или программное обеспечение особым образом.

Дополнительные сведения о проверках состояния устройства см. в Состояние устройства.

Используйте этот селектор, чтобы находить соответствие домену и всем его поддоменам. Например, можно указать соответствие example.com и его поддомены, например www.example.com.

Политики Gateway не поддерживают домены с нелатинскими символами напрямую. Чтобы использовать домен с нелатинскими символами, добавьте его в список.

Используйте эти селекторы, чтобы ограничивать размер файлов в операциях загрузки или скачивания. Размер файлов измеряется в мебибайтах (MiB).

Эти селекторы сканируют сигнатуры файлов в теле HTTP-запроса. Вы можете выбрать из категорий файлов или определённые типы файлов, например исполняемые файлы, архивы и сжатые файлы, файлы, которые невозможно проверить, документы Microsoft 365/Office и файлы Adobe.

Gateway поддерживает следующие типы файлов для использования с Download File Types и Upload File Types селекторы:

Эти селекторы зависят от Content-Type наличия заголовка в запросе (при загрузке) или в ответе (при скачивании). Значение MIME-типа должно соответствовать формату, используемому в Content-Type заголовок (например, image/png, application/pdf).

Используйте Cloudflare Data Loss Prevention (DLP) и сканируйте HTTP-трафик на наличие конфиденциальных данных, таких как персональные данные (PII) или исходный код. Для этого необходимо настроить Профиль DLP прежде чем вы сможете использовать этот селектор в политике.

Был ли HTTP-запрос определен как Model Context Protocol (MCP) ↗ трафик. Gateway обнаруживает трафик MCP, анализируя специфичные для протокола заголовки и характеристики полезной нагрузки. Используйте этот селектор, чтобы создавать политики, которые разрешают, блокируют или изолируют трафик MCP в вашей сети.

Например, следующая политика блокирует MCP-трафик, поступающий не через портал MCP:

Используйте этот селектор, чтобы находить соответствие только указанному имени хоста. Например, можно указать соответствие test.example.com но не example.com или www.test.example.com.

Политики Gateway не поддерживают имена хостов с нелатинскими символами напрямую. Чтобы использовать имя хоста с нелатинскими символами, добавьте его в список.

Метод HTTP-запроса, используемый в трафике.

Код статуса HTTP-ответа, полученный в трафике.

Экосистема реестра пакетов, определённая по URL-адресу HTTP-запроса. Дополнительные сведения см. в Безопасность реестра пакетов.

Имя пакета, определённое на основе URL HTTP-запроса.

Пространство имён пакета, если оно поддерживается экосистемой. Для npm это область видимости (scope). Для Maven это ID группы. Для Go это путь модуля.

URL пакета ↗ полученный на основе обнаруженных координат пакета.

Версия пакета, определённая по URL HTTP-запроса. Поддерживает точное совпадение и операторы сравнения версий с учётом экосистемы. Подробнее о семантике сравнения версий см. Безопасность реестра пакетов.

прокси-сервер куда ваш браузер перенаправляет HTTP-трафик.

Приложения в пределах определённого категория безопасности в соответствии с категоризацией Cloudflare Radar.

Континент пользователя, отправившего запрос.

Геолокация определяется по публичному IP-адресу устройства (обычно назначаемому интернет-провайдером пользователя). Чтобы указать континент, введите его двухбуквенный код в поле Значение поле:

Страна пользователя, отправившего запрос.

Геолокация определяется по публичному IP-адресу устройства (обычно назначаемому интернет-провайдером пользователя). Чтобы указать страну, введите её код ISO 3166-1 Alpha-2 ↗ в Значение поле.

Используйте этот селектор, чтобы применять политики HTTP к приватному IP-адресу, назначенному локальной сетью пользователя, с которого запросы поступают в Gateway.

Исходный IP-адрес или адреса устройства, проксируемого через Gateway.

Метод on-ramp, используемый для передачи трафика в Cloudflare. Используйте этот селектор, чтобы применять политики в зависимости от способа поступления трафика в Gateway.

Доступные значения: device_client (Device client), mesh (Mesh), cloudflare_wan (Cloudflare WAN), clientless_rdp (Clientless RDP), proxy_endpoint (Proxy endpoint), agentless_biso (Clientless Browser Isolation), mcp_portal (MCP portal).

Gateway игнорирует завершающие косые черты (/) в URL-адресах. Например, https://example.com и https://example.com/ будут считаться одним и тем же URL-адресом и могут вызвать ошибку дублирования.

Путь URL-адреса веб-страницы.

Путь и запрос URL-адреса веб-страницы.

Запрос URL-адреса веб-страницы.

Используйте эти селекторы, чтобы находить соответствие атрибутам идентификации.

Используйте этот селектор, чтобы находить соответствие всему трафику, маршрутизируемому через определённый Виртуальная сеть через Cloudflare One Client.

С помощью операторов сравнения Gateway сопоставляет трафик с селектором. Когда вы выбираете Селектор в конструкторе политик панели управления, Оператор раскрывающемся меню будут показаны доступные варианты для этого селектора.

В Значение поле можно ввести единственное значение при использовании оператора сравнения на равенство (например, является) или несколько значений при использовании оператора сравнения на вхождение (например, in). Кроме того, вы можете использовать регулярные выражения (или regex), чтобы задать диапазон значений для поддерживаемых селекторов.

Регулярные выражения обрабатываются с использованием Rust. Реализация Rust немного отличается от библиотек regex, используемых в других местах. Дополнительную информацию см. в нашем руководстве по Подстановочные знаки. Чтобы проверить, соответствует ли ваше регулярное выражение, вы можете использовать Rustexp ↗.

Чтобы сопоставить несколько значений, можно использовать символ вертикальной черты (|) в качестве оператора OR. Использовать escape-символ не требуется (\) до символа "|". Например, следующее выражение возвращает true, если имя хоста совпадает с одним из значений: .*whispersystems.org или .*signal.org:

Помимо регулярных выражений, вы можете использовать логические операторы чтобы соответствовать нескольким значениям.

Чтобы оценить несколько условий в выражении, выберите И логический оператор. Эти выражения можно дополнительно сравнить с помощью Или логический оператор.

Или оператор работает только с условиями в пределах одной группы выражений. Например, нельзя сравнивать условия в Трафик с условиями в Идентификация или Состояние устройства.

Если условие в выражении объединяет атрибут request (например, Исходный IP) и атрибут ответа (например, профиль DLP), условие будет проверено при получении ответа.