Используйте виртуальные сети, чтобы изменять исходящие IP-адреса пользователей

В панели управления Cloudflare перейдите в Сеть > Маршруты.

В Виртуальные сети, выберите Создать виртуальную сеть.

Назовите виртуальную сеть. Рекомендуем использовать название, связанное с местоположением соответствующего выделенного исходящего IP-адреса. Например, если ваши пользователи будут выходить в интернет из региона Америки, вы можете назвать виртуальную сеть vnet-AMER.

Выберите Save.

Повторите шаги 2-4 для каждого выделенного исходящего IP-адреса, между которыми должны переключаться пользователи. Например, можно создать еще одну виртуальную сеть с именем vnet-EMEA для исходящего трафика из Европы, Ближнего Востока и Африки.

Создайте виртуальная сеть соответствующую одному из ваших выделенных исходящих IP-адресов. Рекомендуется использовать имя, связанное с расположением соответствующего выделенного исходящего IP-адреса. Например, если ваши пользователи будут выходить в сеть из Америки, можно назвать виртуальную сеть vnet-AMER.

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/teamnet/virtual_networks" \
	--request POST \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"comment": "Virtual network to egress from the Americas",
		"is_default": false,
		"name": "vnet-AMER"
	}'

Подробнее см. в Создать виртуальную сеть.

Повторите шаг 1 для каждого выделенного исходящего IP-адреса, между которыми должны переключаться пользователи. Например, можно создать еще одну виртуальную сеть с именем vnet-EMEA для исходящего трафика из Европы, Ближнего Востока и Африки.

Перейдите в Сеть > Маршруты.

Выберите Создать маршрут, затем выберите Tunnel CIDR.

Выберите туннель, который маршрутизирует 10.0.0.0/8 и введите 10.0.0.0/8 в качестве сети.

В разделе Виртуальная сеть, выберите свою первую виртуальную сеть. Например, vnet-AMER.

Выберите Создать маршрут.

Чтобы направить 10.0.0.0/8 через другую виртуальную сеть, повторите шаги 2-5, используя другую виртуальную сеть (например, vnet-EMEA).

Повторите для каждой созданной виртуальной сети и для каждого маршрута туннеля приватной сети.

Назначьте свою первую виртуальную сеть своему маршруту частной сети. Например, назначьте vnet-AMER к вашему туннелю, который маршрутизирует 10.0.0.0/8:

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/teamnet/routes/$ROUTE_ID" \
	--request PATCH \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"network": "10.0.0.0/8",
		"tunnel_id": "<TUNNEL_UUID>",
		"virtual_network_id": "<VNET_AMER_UUID>"
	}'

Подробнее см. в Обновите маршрут туннеля.

Повторите этот процесс для каждой созданной виртуальной сети. Например:

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/teamnet/routes/$ROUTE_ID" \
	--request PATCH \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"network": "10.0.0.0/8",
		"tunnel_id": "<TUNNEL_UUID>",
		"virtual_network_id": "<VNET_EMEA_UUID>"
	}'

Повторите шаги 1-2 для каждого маршрута туннеля приватной сети.

В Панель управления Cloudflare ↗, перейдите в Zero Trust > Политики трафика > Политики Egress.

Выберите Добавление политики.

Назовите политику. Рекомендуем указывать в названии страну или регион, из которого будет исходить трафик.

Добавьте виртуальную сеть с Виртуальная сеть селектор. Например:

В Выберите исходящий IP-адрес, выберите Использовать выделенные исходящие IP-адреса Cloudflare. Выберите выделенные IPv4- и IPv6-адреса, через которые должен выходить трафик.

Выберите Создать политику.

Повторите шаги 1-6, чтобы создать отдельную политику исходящего трафика для каждой созданной виртуальной сети.

Добавьте исходящую политику Gateway, которая соответствует нужной виртуальной сети. Например:

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/gateway/rules" \
	--request POST \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"action": "egress",
		"description": "Egress via North America by connecting to vnet-AMER",
		"enabled": true,
		"filters": [
				"egress"
		],
		"name": "Egress AMER vnet",
		"precedence": 0,
		"traffic": "net.vnet_id == <VNET_AMER_UUID>",
		"rule_settings": {
				"egress": {
						"ipv4": "<DEDICATED_IPV4_ADDRESS>",
						"ipv4_fallback": "<SECONDARY_DEDICATED_IPV6_ADDRESS>",
						"ipv6": "<DEDICATED_IPV6_ADDRESS>"
				}
		}
	}'

Подробнее см. в Создайте правило Zero Trust Gateway.

Повторите шаг 1, чтобы создать политику исходящего трафика для каждой созданной виртуальной сети.