← Cloudflare One / cloudflare-one / traffic-policies / http-policies

Изменение заголовков HTTP-запросов в Gateway

Политики HTTP Gateway с действием Allow могут изменять заголовки соответствующих запросов до того, как те достигнут места назначения. Вы можете добавлять динамические значения в заголовки, чтобы передавать вышестоящим сервисам такую информацию, как личность пользователя, исходный IP-адрес и другие данные, обеспечивать контроль арендатора SaaS, удалять внутренние заголовки и переопределять содержимое заголовков.

Для изменения заголовков требуется Расшифровка TLS, поскольку HTTP-заголовки видны только в трафике, который Gateway может расшифровать.

Gateway поддерживает три операции с заголовками в политиках HTTP. Если запрос соответствует политике Allow с настроенными операциями с заголовками, Gateway применяет их в следующем порядке:

1. Удалить: Удаляйте заголовки из запроса.
2. Перезаписать: Перезаписывайте заголовки запроса. У заголовков с совпадающими именами значения будут перезаписаны. Если заголовок не существует, он создаётся.
3. Add: Добавляйте заголовки к запросу. Если заголовок уже существует, добавленное значение присоединяется к существующему.

Вы можете настроить до 20 операций с заголовками в одной политике. Имена заголовков ограничены 256 байтами, а значения заголовков ограничены 4 КБ.

Добавление заголовка добавляет значение к запросу. Если заголовок уже существует, значение добавляется вместе с уже имеющимся, а не заменяет его.

Перезапись заголовка заменяет любое существующее значение. Если заголовок в запросе ещё не существует, он создаётся. Используйте эту операцию, если нужно гарантировать конкретное значение заголовка независимо от того, что отправил клиент.

Удаление заголовка полностью удаляет его из запроса. Если заголовок не существует, операция не имеет эффекта.

Значения заголовков могут включать динамические переменные, которые Gateway разрешает во время запроса на основе идентификации, устройства и сетевого контекста текущей сессии. Динамические переменные используют @{...} синтаксис и может сочетаться со статическим текстом в одном значении.

Например, значение заголовка user-@{identity.email} разрешается в [email protected] во время запроса.

Доступны следующие динамические переменные:

Для динамических переменных требуется активный сеанс идентификации. Если Gateway не может определить значение переменной (например, пользователь не прошёл аутентификацию), переменная заменяется предупреждающей строкой, например cf-unresolved или cf-invalid, и в журнал HTTP добавляется предупреждение.

Чтобы создать HTTP-политику с операциями над заголовками:

1. В Панель управления Cloudflare One ↗, перейдите в Политики трафика > Политики Firewall > HTTP.
2. Выберите Добавление политики.
3. Создайте выражение для сопоставления трафика, который требуется изменить.
4. В Действие, выберите Allow.
5. В разделе Изменение заголовков запроса, выберите Add или Перезаписать чтобы добавить или перезаписать заголовки, либо выбрать Удалить чтобы удалить заголовок.
6. Для операций Add и Overwrite введите имя и значение заголовка. Чтобы использовать динамическую переменную, введите @{...} синтаксис в поле значения или выберите {} кнопку, чтобы увидеть список доступных значений. Для операций Remove укажите только имя заголовка.
7. Сохраните свою политику.

Чтобы создать HTTP-политику с операциями над заголовками через API, включите add_headers, set_headers, а также delete_headers в rule_settings объект.

curl https://api.cloudflare.com/client/v4/accounts/{account_id}/gateway/rules \
--header "Authorization: Bearer {api_token}" \
--header "Content-Type: application/json" \
--data '{
  "name": "Forward identity headers",
  "action": "allow",
  "enabled": true,
  "filters": ["http"],
  "traffic": "any(http.request.domains[*] in {\"app.example.com\"})",
  "rule_settings": {
    "add_headers": {
      "X-User-Email": ["@{identity.email}"],
      "X-User-Groups": ["@{identity.groups}"]
    },
    "set_headers": {
      "X-Forwarded-User": ["@{identity.email}"]
    },
    "delete_headers": ["X-Debug-Token", "X-Internal-Only"]
  }
}'

rule_settings поля для изменения заголовков:

Одно значение заголовка может содержать сочетание статического текста и динамических переменных. Например:

{
  "add_headers": {
    "X-Request-Context": ["user=@{identity.email}, device=@{device.id}, src=@{source.ip}"]
  }
}

Если вы сохраняете файл HAR (HTTP Archive) из браузера для анализа веб-трафика, пользовательские заголовки, заданные в Gateway, в этом файле не появятся. Это происходит потому, что Gateway добавляет заголовок уже после того, как запрос покидает браузер.

Чтобы убедиться, что Gateway применяет пользовательский заголовок:

1. В своей политике с пользовательскими заголовками добавьте селектор, соответствующий трафику для HTTPBin ↗, сайт с открытым исходным кодом для тестирования HTTP-запросов. Например:

   Селектор	Оператор	Значение	Логика	Действие	Действие в отношении недоверенного сертификата
   Приложение	in	Google Workspace	Или	Allow	Block
   Домен	in	httpbin.org

2. На своём устройстве перейдите в httpbin.org/anything ↗. Ваш пользовательский заголовок появится в списке заголовков.

3. (Необязательно) Удалите выражение HTTPBin из своей политики.

Tenant control позволяет вашим пользователям обращаться к корпоративным SaaS приложениям и одновременно блокирует доступ к личным аккаунтам в этом же сервисе. Например, можно разрешить доступ к корпоративному Google Workspace вашей компании и заблокировать вход в личный Gmail.

Gateway реализует контроль арендатора, добавляя пользовательские HTTP-заголовки в соответствующие запросы. Эти заголовки сообщают SaaS-приложению, какой арендатор (организация) авторизован. Если пользователь пытается пройти аутентификацию с помощью личного аккаунта, SaaS-приложение считывает заголовок и отклоняет запрос.

С помощью динамических значений заголовков можно передавать информацию о личности пользователя вышестоящим приложениям, не требуя от них прямой интеграции с Cloudflare Access.

Ваше вышестоящее приложение может считывать эти заголовки, чтобы идентифицировать пользователя, применять логику авторизации или заполнять журналы аудита.

Чтобы клиенты не могли подделывать внутренние заголовки, удаляйте заголовки перед пересылкой запроса с помощью операции delete, а затем повторно добавляйте их с проверенными значениями с помощью операции add или set.

curl https://api.cloudflare.com/client/v4/accounts/{account_id}/gateway/rules \
--header "Authorization: Bearer {api_token}" \
--header "Content-Type: application/json" \
--data '{
  "name": "Replace internal headers",
  "action": "allow",
  "enabled": true,
  "filters": ["http"],
  "traffic": "any(http.request.domains[*] in {\"internal.example.com\"})",
  "rule_settings": {
    "delete_headers": ["X-Internal-User"],
    "set_headers": {
      "X-Internal-User": ["@{identity.email}"]
    }
  }
}'

Вы можете добавить в HTTP-политику собственные заголовки, чтобы пропускать пользователей через Cloudflare WAF. Это полезно, если нужно пропускать через ваш WAF только пользователей Cloudflare One Client.

1. Создайте политику Allow для внутреннего домена за вашим WAF с пользовательским заголовком.

   Селектор	Оператор	Значение	Действие
   Домен	in	internalapp.com	Allow

   Название пользовательского заголовка	Значение пользовательского заголовка
   X-Example-Header	example-value

2. В Cloudflare WAF создать пользовательское правило к Требовать одинаковый заголовок HTTP.

Вы можете настроить Browser Isolation чтобы отправлять пользовательские заголовки. Это полезно для реализации управления тенантами в изолированных SaaS-приложениях или для отправки произвольных пользовательских заголовков запроса изолированным веб-сайтам.

Чтобы использовать пользовательские заголовки с Browser Isolation, создайте две HTTP-политики, нацеленные на один и тот же домен или группу приложений. Например, можно создать политики для HTTPBin ↗, сайт с открытым исходным кодом для тестирования HTTP-запросов:

1. Создайте политику Isolate для httpbin.org.

   Селектор	Оператор	Значение	Действие
   Домен	in	httpbin.org	Изолировать

2. Создайте политику Allow для httpbin.org с пользовательским заголовком.

   Селектор	Оператор	Значение	Действие
   Домен	in	httpbin.org	Allow

   Название пользовательского заголовка	Значение пользовательского заголовка
   Example-Header	example-value

3. Перейдите в httpbin.org/anything ↗. Cloudflare отобразит сайт в изолированном браузере. Ваш пользовательский заголовок появится в списке заголовков.