Cosa fa Cloudflare e come funziona la sua piattaforma
Cloudflare è un'azienda di connettività cloud. La sua piattaforma globale offre servizi per la distribuzione di siti web, la sicurezza, l'affidabilità, le reti, l'accesso della forza lavoro e lo sviluppo di applicazioni. Un'azienda può utilizzare un servizio Cloudflare senza adottare l'intera piattaforma.
cloudflare.com è il sito web ufficiale di Cloudflare. Presenta i prodotti, la documentazione, l'assistenza, l'azienda e le informazioni sull'affidabilità. Il sito web non deve essere confuso con la piattaforma stessa né con un sito web cliente che utilizza Cloudflare.
Per cosa viene utilizzato Cloudflare
Cloudflare opera in diverse aree dell'infrastruttura Internet. Definirlo soltanto una rete per la distribuzione di contenuti, un provider DNS o un servizio DDoS esclude parti importanti della piattaforma.
Un sito web o un'organizzazione potrebbe utilizzare Cloudflare per:
- Pubblicare record DNS autoritativi
- Instradare il traffico web pubblico attraverso un reverse proxy
- Memorizzare nella cache i contenuti idonei più vicino ai visitatori
- Filtrare attacchi e richieste indesiderate
- Bilanciare il traffico o migliorare l'instradamento di rete
- Controllare l'accesso dei dipendenti alle applicazioni private
- Eseguire codice applicativo e archiviare dati
- Proteggere reti e connessioni Internet più grandi
Questi sono utilizzi possibili, non funzionalità abilitate automaticamente per ogni cliente. Il proprietario sceglie prodotti e impostazioni per ogni dominio, applicazione, gruppo di utenti o rete.
Come funziona il reverse proxy
Per un sito web con proxy, una richiesta semplificata segue questo percorso:
- Un visitatore richiede una pagina.
- Il DNS restituisce un indirizzo associato alla rete di Cloudflare.
- Il browser si connette a Cloudflare anziché direttamente al server di origine.
- Cloudflare applica i servizi configurati per quel traffico.
- Cloudflare contatta l'origine quando necessita di una risposta che non può fornire autonomamente.
- La risposta torna al visitatore attraverso Cloudflare.
Questa configurazione è chiamata reverse proxy perché il proxy riceve le richieste per conto dell'applicazione di origine. Consente a Cloudflare di eseguire operazioni lungo il percorso del traffico, come terminare HTTPS, applicare regole di sicurezza o fornire contenuti memorizzati nella cache.
Il modello non dimostra che ogni risposta sia stata memorizzata nella cache o esaminata da ogni prodotto di sicurezza. Inoltre, non dimostra che l'origine sia irraggiungibile tramite un altro indirizzo. Questi risultati dipendono dalla configurazione del cliente.
Cloudflare utilizza indirizzi IP condivisi e instradamento Anycast. Anycast consente di annunciare lo stesso intervallo di indirizzi da molte posizioni di rete, così che il traffico possa raggiungere una posizione Cloudflare vicina. Un indirizzo Cloudflare identifica quindi il percorso di rete pubblico. Di solito non identifica l'host di origine del cliente.
Record solo DNS e con proxy
Cloudflare può fornire DNS autoritativo senza gestire tramite proxy il traffico di un sito web. Questo è uno dei motivi per cui l'espressione “utilizza Cloudflare” richiede un contesto.
| Impostazione | Cosa accade | Cosa non dimostra |
|---|---|---|
| Solo DNS | Cloudflare risponde al DNS con la destinazione configurata dal proprietario del dominio | Il normale traffico web non passa automaticamente attraverso il proxy HTTP di Cloudflare |
| Con proxy | Il DNS restituisce un indirizzo Cloudflare e il traffico supportato raggiunge prima Cloudflare | Non tutte le risposte vengono memorizzate automaticamente nella cache e non tutti i prodotti opzionali sono automaticamente attivi |
| Prodotto separato della piattaforma | Il cliente utilizza quel servizio secondo la relativa architettura | Il resto del catalogo Cloudflare non è necessariamente in uso |
Un dominio può combinare questi approcci. Il suo sito web principale potrebbe utilizzare il proxy, un record di posta può rimanere solo DNS e un'applicazione separata può essere eseguita sulla piattaforma per sviluppatori.
Componenti principali della piattaforma
Cloudflare raggruppa i prodotti in base a diverse funzioni. Questi confini aiutano a spiegare la piattaforma senza considerarla come un unico enorme interruttore.
Prestazioni e sicurezza delle applicazioni
Questi servizi operano con siti web pubblici, API e applicazioni. Includono DNS, distribuzione dei contenuti, bilanciamento del carico, HTTPS, protezione DDoS, controlli del firewall per applicazioni web, limitazione della frequenza, controlli dei bot e prodotti correlati.
Ogni prodotto affronta un problema diverso. Un dominio con proxy non dimostra automaticamente che siano abilitati un firewall per applicazioni web, un prodotto per i bot o un limite di frequenza personalizzato. Il proprietario di un sito deve configurare e testare i controlli rilevanti per l'applicazione.
Zero Trust e SASE
Cloudflare fornisce anche servizi che controllano come dipendenti, dispositivi e reti accedono ad applicazioni private, a Internet pubblico e a servizi software. Quest'area viene comunemente descritta con termini come Zero Trust, security service edge o SASE.
È diversa dal collocare un sito web pubblico dietro un reverse proxy. Un'azienda può proteggere la propria forza lavoro senza ospitare il sito pubblico sulla piattaforma per sviluppatori e può gestire un sito web tramite proxy senza utilizzare prodotti per l'accesso della forza lavoro.
Servizi di rete
Alcuni prodotti operano a livelli di rete più ampi anziché soltanto a livello dell'applicazione web. Possono proteggere o collegare reti, instradare il traffico o supportare protocolli che vanno oltre una normale richiesta del browser.
Per questo motivo, un solo diagramma del traffico non può descrivere tutti i servizi Cloudflare. Una richiesta web gestita tramite proxy, un dipendente che utilizza un'applicazione privata e un'organizzazione che protegge una rete IP seguono percorsi diversi.
Piattaforma per sviluppatori
La piattaforma per sviluppatori di Cloudflare consente ai team di eseguire codice e utilizzare servizi dati gestiti sulla sua rete. I componenti comuni includono:
| Prodotto | Ruolo in termini semplici |
|---|---|
| Workers | Esegue codice applicativo senza dover gestire un server tradizionale per quel codice |
| D1 | Fornisce uno spazio di archiviazione SQL gestito |
| R2 | Archivia file e altri oggetti |
| KV | Archivia valori identificati da chiavi |
| Durable Objects | Combina lo stato con l'elaborazione coordinata |
| Queues and Workflows | Supporta messaggi in background e processi articolati in più passaggi |
Questi prodotti possono essere combinati, ma non sono intercambiabili. Un'applicazione relazionale potrebbe aver bisogno di SQL, una libreria di immagini potrebbe necessitare di archiviazione di oggetti e una sessione collaborativa potrebbe richiedere uno stato coordinato.
L'esistenza di questi servizi non significa che ogni sito dietro Cloudflare sia stato creato con Workers o archivi dati in D1. Molti clienti mantengono la propria applicazione su un altro host e utilizzano Cloudflare soltanto davanti a essa.
Cloudflare è un provider di hosting?
Può ospitare codice applicativo e dati tramite i suoi prodotti per sviluppatori, ma un indirizzo IP Cloudflare da solo non indica dove viene eseguita l'origine di un sito.
In una configurazione con reverse proxy, i visitatori vedono l'indirizzo pubblico del proxy. L'origine può trovarsi in un data center privato oppure presso un altro provider cloud o di hosting. Gli indirizzi proxy condivisi nascondono intenzionalmente questo dettaglio a una ricerca di base.
Utilizza un linguaggio più preciso:
- “Il traffico pubblico del sito passa attraverso Cloudflare” quando le prove relative al proxy lo confermano.
- “Il dominio utilizza il DNS autoritativo di Cloudflare” quando le prove relative ai nameserver lo confermano.
- “L'applicazione viene eseguita su Workers” soltanto quando prove dirette confermano questa conclusione.
Cloudflare memorizza nella cache ogni pagina?
No. Cloudflare offre controlli per la memorizzazione nella cache e la distribuzione dei contenuti, ma il comportamento effettivo dipende dalla richiesta, dalla risposta, dalle regole della cache, dal prodotto e dalla configurazione del cliente.
Le risposte dinamiche o personalizzate potrebbero non essere adatte alla memorizzazione in una cache condivisa. Un cliente può ignorare la cache per percorsi selezionati o modificare la durata di archiviazione dei contenuti idonei. Una singola risposta Cloudflare non determina quindi la politica della cache dell'intero sito.
La stessa cautela si applica alla sicurezza. Cloudflare offre molti controlli, ma la presenza sulla rete non dimostra che ogni opzione sia stata acquistata, abilitata o configurata correttamente.
Compromessi relativi a privacy, sicurezza e operatività
Quando Cloudflare funge da reverse proxy, il traffico raggiunge la sua rete prima di arrivare all'origine. Questa posizione abilita funzioni di prestazioni e sicurezza e rende inoltre la gestione dei dati e il controllo degli accessi importanti argomenti di valutazione.
Cloudflare pubblica un'informativa sulla privacy e un trust hub contenenti informazioni aggiornate su protezione dei dati, sicurezza e conformità. Il proprietario di un sito dovrebbe consultare questi documenti per i prodotti e le aree geografiche che intende utilizzare.
Il proprietario del sito mantiene comunque delle responsabilità. Cloudflare non rende automaticamente corretto il codice dell'applicazione, ristrette le autorizzazioni, necessaria la raccolta dei dati o sicura un'origine. I team dovrebbero verificare:
- Quali record e applicazioni sono gestiti tramite proxy
- Quali dati di richiesta e risposta passano attraverso il servizio
- Se l'origine accetta traffico diretto non previsto
- Come vengono gestiti certificati, segreti e accessi degli amministratori
- Quali regole di sicurezza sono abilitate e testate
- Come vengono conservati i log e chi può accedervi
- Cosa accade in caso di errore di configurazione o incidente del servizio
Un servizio a più livelli può ridurre il rischio diventando al contempo una dipendenza operativa. I team necessitano di controllo delle modifiche, monitoraggio, backup e un piano di ripristino adeguato all'applicazione.
Come valutare Cloudflare
Inizia dal problema anziché dall'elenco dei prodotti. Un piccolo sito web, un'applicazione interna, una rete globale e un carico di lavoro serverless hanno requisiti diversi.
Chiediti:
- Abbiamo bisogno di DNS autoritativo, proxy o entrambi?
- Quali nomi host e tipi di traffico dovrebbe gestire Cloudflare?
- Quale problema di prestazioni o sicurezza stiamo cercando di risolvere?
- L'attività riguarda un'applicazione pubblica, l'accesso dei dipendenti o una rete?
- Il carico di lavoro è adatto a Workers e ai servizi dati disponibili?
- Quali informazioni elaborerà il servizio?
- Quali funzionalità, limiti e opzioni di assistenza si applicano al piano previsto?
- Come testeremo le modifiche e recupereremo dagli errori?
Quindi crea una prova rappresentativa. Misura pagine e richieste reali, testa il comportamento della cache e della sicurezza, verifica il percorso dell'origine e documenta la configurazione risultante. La documentazione aggiornata dei prodotti è più affidabile di una lista di controllo generica perché i piani e le funzionalità cambiano.
Cloudflare si comprende meglio come un'ampia piattaforma di connettività. Può soddisfare un'esigenza specifica, come il DNS autoritativo, oppure combinare diversi servizi tra applicazioni e reti. La descrizione corretta per un cliente dipende da ciò che quel cliente ha effettivamente configurato, non dall'elenco completo dei prodotti offerti da Cloudflare.
Una risposta riuscita non garantisce la sicurezza. Le misurazioni descrivono una singola osservazione nel tempo.