Cloudflare Gateway ve DLP, Workers ile programlanabilir hale geldi
Cloudflare, Gateway ve DLP ürünlerini edge computing platformuyla entegre ederek programlanabilir hale getirdiğini duyurdu. Yeni Forward aksiyonu public beta olarak, DLP custom validation functions ise bugün itibarıyla kullanılabilir; Custom Functions özelliği yıl sonundan önce sunulacak.
Gateway ve DLP için programlanabilirlik
Cloudflare, Gateway ve DLP ürünlerini edge computing platformuyla entegre ederek programlanabilir hale getirdiğini duyurdu. Şirket, yeni bir Gateway aksiyon türü olan Forward ve custom validation functions özelliklerinin tüm Zero Trust planlarında kullanılabildiğini belirtiyor.
Cloudflare Blog'a göre her güvenli web gateway'i aynı şekilde çalışır: trafik bir koşulla eşleşir ve terminal bir aksiyon (Allow, Block, Isolate, Log) tetiklenir. Blog yazısına göre programlanabilirlik, API'ler, Terraform sağlayıcıları, webhook'lar ve uyarılar sunmanın ötesinde, politika değerlendirme yolunda satır içi olarak kendi kodunuzu çalıştırmak anlamına geliyor.
Forward aksiyonu ve Worker entegrasyonu
Forward aksiyonu, eşleşen HTTP isteğini proxy olarak bir Cloudflare Worker'a yönlendiriyor. Bu aksiyon, HTTP politikaları tarafından izin verilen trafik için değerlendiriliyor; ilk eşleşen Forward kuralı trafiğe uygulanıyor ve trafik bağlı Cloudflare Worker'a gönderiliyor.
Worker, satır içi ara katman yazılımı olarak tam başlıkları ve istek gövdesini alıyor. Mantığı bunlardan birini değiştirebiliyor veya asenkron bir eylem gerçekleştirebiliyor. Worker isteği kaynağa iletebiliyor, yanıtı alabiliyor, onu da değiştirebiliyor ve nihai yanıtı kullanıcıya döndürebiliyor. Bir kuralın tek amacı da eşleşen isteğin tam bağlamını asenkron olarak alan bir Worker'a isteği proxy'lemek olabiliyor; trafik hedefine sorunsuz devam edebiliyor.
Gateway TCP bağlantılarını, TLS sonlandırma ve yeniden şifrelemeyi, sertifika yönetimini ve HTTP sürüm müzakeresini yönetiyor. Worker yalnızca dönüşüm mantığından sorumlu. Böylece Gateway, geleneksel bir HTTP proxy'sini barındırmanın operasyonel maliyeti olmadan özelleştirilebilir, proxy benzeri bir genişletme noktası sağlıyor.
Custom Functions ile satır içi politika değerlendirmesi
Custom function, Gateway politika değerlendirmesi sırasında satır içi olarak bir Worker'ı çağırıyor ve bir değer döndürüyor. Fonksiyon, Gateway policy builder'da bir selector olarak sunuluyor ve değerlerine göre değerlendiriliyor. Worker, istek hakkında kaynak IP, hedef, kullanıcı kimliği, cihaz duruşu ve HTTP başlıkları gibi bağlamı alıyor; Gateway'in kural koşullarında kullandığı tipli bir değer (string, number veya boolean) döndürüyor.
Örneğin JWT Rolü adlı custom function'ın finance_contractor içerdiği ve Allow aksiyonu aldığı bir HTTP politika kuralı oluşturulabiliyor; custom function diğer tüm selector'larla birlikte kural koşulunun parçası oluyor. Bir custom function isteğin Authorization başlığındaki JWT'yi ayrıştırıp kullanıcının rolünü veya grup üyeliğini selector değeri olarak döndürebiliyor; Gateway kuralı bu değerle eşleşip upstream isteğe X-App-Role başlığı ekleyebiliyor.
Custom function'lar HTTP trafiğiyle sınırlı değil. Tam HTTP isteği yerine kimlik, cihaz duruşu ve bağlantı meta verilerini aldıkları için Layer 4 port ve protokol trafiğiyle Gateway Network policy rule builder'da da kullanılabiliyorlar. Worker'ın kendisi zaten bir Worker'ın yapabildiği her şeyi yapabiliyor: harici API'leri çağırmak, KV veya D1'den okumak ya da Workers AI'ı çağırmak.
Blog yazısına göre custom function'lar hızlı, sınırlı ve durumsuz değerlendirmeler için tasarlanmışken Forward aksiyonu daha fazla planlama ve hazırlık gerektiriyor. Forward aksiyonunu kullanan Worker'lar, son kullanıcının genel deneyimi üzerinde olumsuz etkilerden kaçınmak için hedefli ve dikkatli tasarlanmalı.
Kullanım örnekleri
Bir Worker hassas bir hedefe yapılan isteği durdurup kullanıcıdan yazılı gerekçe isteyen bir ara sayfa döndürebiliyor; oturumu TTL ile Cloudflare KV'ye yazıyor ve kimlik ile gerekçeyi denetim izi için Cloudflare D1'e kaydediyor. Bir dosya indirmesi belirli kriterlerle eşleştiğinde Worker dosyayı üçüncü taraf bir sandbox hizmetine gönderebiliyor veya dosyayı Cloudflare ağından hiç çıkmadan kalıcı kayıt için R2'ye yazabiliyor.
Bir Forward politikasına bağlı Worker, DLP profili eşleştiğinde kullanıcının e-postası, tetiklenen kural ve hedef URL ile Slack kanalına veya PagerDuty uç noktasına mesaj gönderebiliyor. Kuruluşlar, birden fazla veri kaynağı üzerinde davranış analizi yapan iç risk skorlama sistemleri için custom function'ı hesaplama uzantısı olarak kullanıp tek bir değeri Gateway'e döndürebiliyor.
Performans, faturalandırma ve kullanılabilirlik
Gateway ve Workers hizmetleri Cloudflare ağında aynı makinelerde çalıştığı için bir Worker'a gönderim ağ atlaması oluşturmuyor. Blog yazısına göre Gateway trafiğini bir Worker'a yönlendirmek yerel bir fonksiyon çağrısı ve ek gecikme yaratmıyor. Performans etkisi yalnızca Worker kodunun yürütme süresiyle sınırlı.
Bir custom function başarısız olduğunda (istisna fırlatma, zaman aşımı veya beklenmeyen değer döndürme), yedek davranış fonksiyon başına yapılandırılıyor. Custom function sözleşmesinde varsayılan değerler zorunlu tutuluyor, böylece yedek davranışın belirlenmesi kolaylaşıyor.
Workers'a yönlendirilen trafik standart Worker istekleri olarak faturalandırılıyor. Özellik, Workers Free, Workers Paid ve Workers for Enterprise ile işlevsellik kısıtlaması olmaksızın çalışıyor. Workers Free'un yürütme süresi sınırları ve günlük istek sınırları bulunuyor; bu, Gateway trafiğinin Worker'lara gönderilen hacmi ölçeklendikçe dikkate alınmalı.
Forward aksiyonu bugün itibarıyla public beta olarak kullanılabiliyor. Custom Functions özelliği yıl sonundan önce kullanılabilir olacak. Cloudflare Blog'a göre Workers, 330'dan fazla konumda karmaşık mantık çalıştırmaya olanak tanıyor ve şirket, Gateway ile Workers'ı aynı küresel dağıtık ağda çalıştıran tek şirket olduğunu iddia ediyor. Blog yazısı ayrıca bu özelliğin sektörün ilk tamamen programlanabilir ve özelleştirilebilir SASE platformunu oluşturduğunu öne sürüyor.
DLP custom validation functions
DLP custom validation functions bugün itibarıyla kullanılabiliyor. Bu özellik, müşterilerin kendi doğrulama mantıklarını kendi doğruluk kaynaklarını kullanarak doğrudan bir Cloudflare Worker içinde tanımlamasına olanak tanıyor. DLP tespiti eşleştiğinde, politika uygulama kararından önce doğrulama mantığını çalıştırmak için giden bir Worker gönderiliyor.
GitHub sırlarının kullanımını tespit eden profillerde, Worker önce tespit edilen anahtarın durumunu GitHub uç noktasından sorgulayıp DLP profilinin trafikle eşleşip eşleşmeyeceğine karar verebiliyor. Worker doğrulama sonucunda geçerli token için 1.0 skoru, geçersiz token için veto, diğer durumlar için 0 skoru döndürebiliyor.
Blog yazısına göre çoğu çözüm tam veri eşleşmesinden yararlanıyor ancak bu, müşterilerin referans veri kümelerini hazırlaması, bakımını yapması ve aktarması ile satıcının en hassas sistemlerdeki verileri yönetmesine izin verme kararını beraberinde getiriyor.
