← Cloudflare One / cloudflare-one / traffic-policies

Сетевые политики

Политики Network управляют TCP- и UDP-трафиком между вашими пользователями и сетевыми ресурсами назначения. Используйте их, чтобы разрешать или блокировать трафик, отличный от HTTP, такой как SSH, RDP и подключения к базам данных, на основе IP-адресов, портов и протоколов.

Поскольку Cloudflare One интегрируется с вашим поставщиком идентификации, вы также можете создавать сетевые политики на основе идентичности. Это позволяет контролировать доступ к ресурсам, не относящимся к HTTP, для каждого пользователя отдельно, независимо от его местоположения или устройства.

Сетевая политика состоит из Действие и логическое выражение, определяющее область действия. Чтобы построить выражение, выберите Селектор и Оператор, затем введите значение или диапазон значений в поле Значение поле. Можно использовать И и Или логические операторы для оценки нескольких условий.

• Действия
• Селекторы
• Операторы сравнения
• Значение
• Логические операторы

Если условие в выражении объединяет атрибут query (например, Исходный IP) и атрибут ответа (например, Определённый IP-адрес), условие будет проверено при получении ответа.

Как и действия в политиках DNS и HTTP, действия в сетевых политиках определяют, какое решение вы хотите применить к заданному набору элементов. Для каждой политики можно назначить только одно действие.

Значение API: allow

Политики с действием Allow разрешают сетевому трафику достигать определённых IP-адресов или портов. В конфигурации с блокировкой по умолчанию политики Allow задают исключения: трафик, не соответствующий ни одной политике Allow, будет заблокирован политикой Block с более низким приоритетом, блокирующей весь остальной трафик. Например, следующая конфигурация разрешает определённым пользователям доступ к заданному IP-адресу:

Значение API: block

Политики с действием Block блокируют сетевой трафик к определённым IP-адресам или портам. Например, следующая конфигурация блокирует весь трафик, направленный на порт 443:

Включите Отображает уведомление о блокировке для Cloudflare One Client чтобы отображать уведомления о событиях блокировки Gateway. Заблокированные пользователи получат уведомление операционной системы от Cloudflare One Client с заданным вами пользовательским сообщением. Если пользовательское сообщение не задано, Cloudflare One Client отобразит сообщение по умолчанию. Пользовательские сообщения должны содержать не более 100 символов. Cloudflare One Client отображает не более одного уведомления в минуту.

После выбора уведомления Cloudflare One Client перенаправит ваших пользователей на Страница блокировки Gateway которые вы настроили. При необходимости можно перенаправить пользователей на собственный URL-адрес, например на внутреннюю форму поддержки.

Если вы включите Отправлять контекст политики, Gateway добавит сведения о совпавшем запросе в URL-адрес перенаправления в виде строки запроса. Не все поля контекста будут включены. Возможные поля контекста политики:

Убедитесь, что ваша операционная система разрешает уведомления для Cloudflare One Client. Если включены режим фокусировки, режим "не беспокоить" или демонстрация экрана, устройство может не показывать уведомления. Чтобы включить уведомления клиента на устройствах macOS с программным обеспечением DisplayLink, может потребоваться разрешить системные уведомления при дублировании экрана. Дополнительные сведения см. в документация по macOS ↗.

Значение API: l4_override

Политики с действием Network Override переопределяют трафик, направленный на определённые IPv4- или IPv6-адреса и порты, либо исходящий от них. IP-адреса назначения могут быть как публичными, так и частными, подключёнными к вашей сети Zero Trust. Например, следующая конфигурация переопределяет трафик, отправляемый на публичный IP-адрес, заменяя его частным IP-адресом на основе идентичности пользователя:

Gateway регистрирует только успешные override-подключения в вашем сетевые журналы.

Gateway сопоставляет сетевой трафик со следующими селекторами (критериями).

Все цели защищённый с помощью Инфраструктурное приложение Access.

Все целевые IP-адреса и имена хостов, защищённые Самостоятельно размещённое приватное приложение Access.

Вы можете применять политики Network к растущему списку популярных веб-приложений. См. Приложение и типы приложений, где это описано подробнее.

Выполняется ли текущий сеанс внутри Remote Browser Isolation. Используйте этот селектор, чтобы применять разное поведение политики к изолированному и неизолированному трафику.

Приложения в пределах определённого категория безопасности в соответствии с категоризацией Cloudflare Radar.

Континент, в который направлен запрос. Геолокация определяется по IP-адресу назначения. Чтобы указать континент, введите его двухбуквенный код в Значение поле:

Страна, в которую направлен запрос. Геолокация определяется по IP-адресу назначения. Чтобы указать страну, введите её код ISO 3166-1 Alpha 2 ↗ в Значение поле.

IP-адрес целевого узла запроса.

Номер порта целевого объекта запроса.

Сетевой протокол, выведенный на основе определение протокола.

С помощью селектора состояния устройства администраторы могут использовать сигналы с устройств конечных пользователей, чтобы защищать доступ к внутренним и внешним ресурсам. Например, администратор безопасности может ограничить доступ ко всем внутренним приложениям в зависимости от того, установлено ли на устройстве определённое программное обеспечение и/или настроены ли устройство или программное обеспечение особым образом.

Дополнительные сведения о проверках состояния устройства см. в Состояние устройства.

Протокол, используемый для отправки пакета.

прокси-сервер куда ваш браузер перенаправляет HTTP-трафик.

Приложения в пределах определённого категория безопасности в соответствии с категоризацией Cloudflare Radar.

Server Name Indication (SNI) представляет собой имя хоста, которое клиент отправляет во время TLS-рукопожатия, до начала шифрования. Gateway считывает SNI, чтобы определить назначение зашифрованного трафика. Селектор SNI сопоставляет точное имя хоста.

По умолчанию селекторы SNI применяются только к HTTPS-трафику на порту 443. Чтобы проверять трафик на всех портах, включите определение протокола и выберите проверять на всех портах.

Домен, по заголовку Server Name Indication (SNI) которого Gateway будет фильтровать трафик. Например, правило для example.com будет соответствовать example.com, www.example.com, а также my.test.example.com.

По умолчанию селекторы SNI применяются только к HTTPS-трафику на порту 443. Чтобы проверять трафик на всех портах, включите определение протокола и выберите проверять на всех портах.

Континент пользователя, отправившего запрос.

Геолокация определяется по публичному IP-адресу устройства (обычно назначаемому интернет-провайдером пользователя). Чтобы указать континент, введите его двухбуквенный код в поле Значение поле:

Страна пользователя, отправившего запрос.

Геолокация определяется по публичному IP-адресу устройства (обычно назначаемому интернет-провайдером пользователя). Чтобы указать страну, введите её код ISO 3166-1 Alpha-2 ↗ в Значение поле.

Используйте этот селектор, чтобы применять сетевые политики к приватному IP-адресу, назначенному локальной сетью пользователя, с которого запросы поступают в Gateway.

Исходный IP-адрес или адреса устройства, проксируемого через Gateway.

Исходный порт устройства, проксируемого через Gateway.

Метод on-ramp, используемый для передачи трафика в Cloudflare. Используйте этот селектор, чтобы применять политики в зависимости от способа поступления трафика в Gateway.

Доступные значения: device_client (Device client), mesh (Mesh), cloudflare_wan (Cloudflare WAN), clientless_rdp (Clientless RDP), proxy_endpoint (Proxy endpoint), agentless_biso (Clientless Browser Isolation), mcp_portal (MCP portal).

Используйте эти селекторы, чтобы находить соответствие атрибутам идентификации.

Используйте этот селектор, чтобы находить соответствие всему трафику, маршрутизируемому через определённый Виртуальная сеть через Cloudflare One Client.

С помощью операторов сравнения Gateway сопоставляет трафик с селектором. Когда вы выбираете Селектор в конструкторе политик панели управления, Оператор раскрывающемся меню будут показаны доступные варианты для этого селектора.

В Значение поле можно ввести единственное значение при использовании оператора сравнения на равенство (например, является) или несколько значений при использовании оператора сравнения на вхождение (например, in). Кроме того, вы можете использовать регулярные выражения (или regex), чтобы задать диапазон значений для поддерживаемых селекторов.

Регулярные выражения обрабатываются с использованием Rust. Реализация Rust немного отличается от библиотек regex, используемых в других местах. Дополнительную информацию см. в нашем руководстве по Подстановочные знаки. Чтобы проверить, соответствует ли ваше регулярное выражение, вы можете использовать Rustexp ↗.

Чтобы сопоставить несколько значений, можно использовать символ вертикальной черты (|) в качестве оператора OR. Использовать escape-символ не требуется (\) до символа "|". Например, следующее выражение возвращает true, если хост SNI совпадает с одним из значений: .*whispersystems.org или .*signal.org:

Помимо регулярных выражений, вы можете использовать логические операторы чтобы соответствовать нескольким значениям.

Чтобы оценить несколько условий в выражении, выберите И логический оператор. Эти выражения можно дополнительно сравнить с помощью Или логический оператор.

Или оператор работает только с условиями в пределах одной группы выражений. Например, нельзя сравнивать условия в Трафик с условиями в Идентификация или Состояние устройства.