Co robi Cloudflare i jak działa jego platforma
Cloudflare to firma zajmująca się łącznością w chmurze. Jej globalna platforma zapewnia usługi związane z dostarczaniem stron internetowych, bezpieczeństwem, niezawodnością, sieciami, dostępem pracowników i tworzeniem aplikacji. Firma może korzystać z jednej usługi Cloudflare bez wdrażania całej platformy.
cloudflare.com to oficjalna strona internetowa Cloudflare. Zawiera informacje o produktach, dokumentacji, pomocy technicznej, firmie i zaufaniu. Strony internetowej nie należy mylić z samą platformą ani ze stroną klienta, która akurat korzysta z Cloudflare.
Do czego służy Cloudflare
Cloudflare działa w kilku obszarach infrastruktury internetowej. Określanie go wyłącznie jako sieci dostarczania treści, dostawcy DNS lub usługi ochrony przed atakami DDoS pomija istotne części platformy.
Strona internetowa lub organizacja może używać Cloudflare do:
- Publikowania autorytatywnych rekordów DNS
- Kierowania publicznego ruchu internetowego przez odwrotne proxy
- Buforowania kwalifikujących się treści bliżej odwiedzających
- Filtrowania ataków i niepożądanych żądań
- Równoważenia ruchu lub usprawniania trasowania sieciowego
- Kontrolowania dostępu pracowników do prywatnych aplikacji
- Uruchamiania kodu aplikacji i przechowywania danych
- Ochrony większych sieci i połączeń internetowych
Są to możliwe zastosowania, a nie funkcje automatycznie włączane u każdego klienta. Właściciel wybiera produkty i ustawienia dla każdej domeny, aplikacji, grupy użytkowników lub sieci.
Jak działa odwrotne proxy
W przypadku strony korzystającej z proxy uproszczone żądanie przebiega następująco:
- Odwiedzający żąda strony.
- DNS zwraca adres powiązany z siecią Cloudflare.
- Przeglądarka łączy się z Cloudflare zamiast bezpośrednio z serwerem źródłowym.
- Cloudflare stosuje usługi skonfigurowane dla tego ruchu.
- Cloudflare kontaktuje się ze źródłem, gdy potrzebuje odpowiedzi, której nie może zapewnić samodzielnie.
- Odpowiedź wraca do odwiedzającego przez Cloudflare.
Taką konfigurację nazywa się odwrotnym proxy, ponieważ proxy odbiera żądania w imieniu aplikacji źródłowej. Pozwala to Cloudflare wykonywać operacje na ścieżce ruchu, takie jak terminowanie połączeń HTTPS, stosowanie reguł bezpieczeństwa lub udostępnianie treści z pamięci podręcznej.
Ten model nie dowodzi, że każda odpowiedź została zbuforowana ani sprawdzona przez każdy produkt zabezpieczający. Nie dowodzi również, że źródło jest nieosiągalne pod innym adresem. Rezultaty te zależą od konfiguracji klienta.
Cloudflare używa współdzielonych adresów IP i trasowania Anycast. Anycast pozwala ogłaszać ten sam zakres adresów z wielu lokalizacji sieciowych, dzięki czemu ruch może dotrzeć do pobliskiej lokalizacji Cloudflare. Adres Cloudflare identyfikuje zatem publiczną ścieżkę sieciową. Zwykle nie identyfikuje hosta źródłowego klienta.
Rekordy tylko DNS i rekordy obsługiwane przez proxy
Cloudflare może zapewniać autorytatywny DNS bez pośredniczenia w ruchu strony internetowej. To jeden z powodów, dla których sformułowanie „korzysta z Cloudflare” wymaga kontekstu.
| Ustawienie | Co się dzieje | Czego to nie dowodzi |
|---|---|---|
| Tylko DNS | Cloudflare odpowiada na zapytania DNS miejscem docelowym skonfigurowanym przez właściciela domeny | Zwykły ruch internetowy nie przechodzi automatycznie przez proxy HTTP Cloudflare |
| Przez proxy | DNS zwraca adres Cloudflare, a obsługiwany ruch najpierw trafia do Cloudflare | Nie każda odpowiedź jest automatycznie buforowana i nie każdy opcjonalny produkt jest automatycznie aktywny |
| Oddzielny produkt platformy | Klient korzysta z tej usługi zgodnie z jej własną architekturą | Pozostała część katalogu Cloudflare nie musi być używana |
Domena może łączyć te podejścia. Jej główna strona internetowa może korzystać z proxy, rekord pocztowy może pozostać w trybie tylko DNS, a oddzielna aplikacja może działać na platformie dla programistów.
Główne części platformy
Cloudflare grupuje produkty według różnych zadań. Te granice ułatwiają objaśnienie platformy bez traktowania jej jak jednego wielkiego przełącznika.
Wydajność i bezpieczeństwo aplikacji
Usługi te współpracują z publicznymi stronami internetowymi, interfejsami API i aplikacjami. Obejmują DNS, dostarczanie treści, równoważenie obciążenia, HTTPS, ochronę przed atakami DDoS, mechanizmy kontroli zapory aplikacji internetowych, ograniczanie liczby żądań, mechanizmy kontroli botów i powiązane produkty.
Każdy produkt rozwiązuje inny problem. Domena korzystająca z proxy nie dowodzi automatycznie, że włączono zaporę aplikacji internetowych, produkt do obsługi botów lub niestandardowy limit żądań. Właściciel strony musi skonfigurować i przetestować mechanizmy kontroli istotne dla aplikacji.
Zero Trust i SASE
Cloudflare zapewnia również usługi kontrolujące sposób, w jaki pracownicy, urządzenia i sieci uzyskują dostęp do prywatnych aplikacji, publicznego Internetu i usług programowych. Obszar ten jest powszechnie opisywany terminami takimi jak Zero Trust, security service edge lub SASE.
Różni się to od umieszczenia publicznej strony internetowej za odwrotnym proxy. Firma może chronić swoich pracowników bez hostowania publicznej witryny na platformie dla programistów, a także może korzystać z proxy dla strony internetowej bez używania produktów do zarządzania dostępem pracowników.
Usługi sieciowe
Niektóre produkty działają w szerszych warstwach sieci, a nie wyłącznie w warstwie aplikacji internetowej. Mogą chronić lub łączyć sieci, trasować ruch albo obsługiwać protokoły wykraczające poza zwykłe żądania przeglądarki.
Dlatego jeden diagram przepływu ruchu nie może opisać każdej usługi Cloudflare. Żądanie internetowe obsługiwane przez proxy, pracownik korzystający z prywatnej aplikacji i organizacja chroniąca sieć IP korzystają z różnych ścieżek.
Platforma dla programistów
Platforma Cloudflare dla programistów umożliwia zespołom uruchamianie kodu i korzystanie z zarządzanych usług danych w jej sieci. Typowe komponenty obejmują:
| Produkt | Rola w prostych słowach |
|---|---|
| Workers | Uruchamia kod aplikacji bez konieczności zarządzania tradycyjnym serwerem dla tego kodu |
| D1 | Zapewnia zarządzane przechowywanie danych SQL |
| R2 | Przechowuje pliki i inne obiekty |
| KV | Przechowuje wartości adresowane za pomocą kluczy |
| Durable Objects | Łączy stan ze skoordynowanymi obliczeniami |
| Queues and Workflows | Obsługuje komunikaty w tle i zadania wieloetapowe |
Produkty te można łączyć, ale nie są one zamienne. Aplikacja relacyjna może potrzebować SQL, biblioteka obrazów może potrzebować magazynu obiektowego, a sesja współpracy może wymagać skoordynowanego stanu.
Istnienie tych usług nie oznacza, że każda strona korzystająca z Cloudflare została utworzona za pomocą Workers lub przechowuje dane w D1. Wielu klientów utrzymuje swoją aplikację u innego dostawcy hostingu i korzysta z Cloudflare wyłącznie jako warstwy pośredniej przed nią.
Czy Cloudflare jest dostawcą hostingu?
Może hostować kod aplikacji i dane za pośrednictwem swoich produktów dla programistów, ale sam adres IP Cloudflare nie wskazuje, gdzie działa źródło strony.
W konfiguracji z odwrotnym proxy odwiedzający widzą publiczny adres proxy. Źródło może znajdować się w prywatnym centrum danych albo u innego dostawcy usług chmurowych lub hostingowych. Współdzielone adresy proxy celowo ukrywają ten szczegół przed podstawowym wyszukiwaniem.
Używaj bardziej precyzyjnych sformułowań:
- „Publiczny ruch strony przechodzi przez Cloudflare”, gdy potwierdzają to dowody dotyczące proxy.
- „Domena korzysta z autorytatywnego DNS Cloudflare”, gdy potwierdzają to dane serwerów nazw.
- „Aplikacja działa na Workers” tylko wtedy, gdy bezpośrednie dowody potwierdzają taki wniosek.
Czy Cloudflare buforuje każdą stronę?
Nie. Cloudflare oferuje mechanizmy kontroli buforowania i dostarczania treści, ale faktyczne działanie zależy od żądania, odpowiedzi, reguł pamięci podręcznej, produktu i konfiguracji klienta.
Odpowiedzi dynamiczne lub spersonalizowane mogą nie nadawać się do współdzielonego buforowania. Klient może pominąć pamięć podręczną dla wybranych ścieżek lub zmienić czas przechowywania kwalifikujących się treści. Pojedyncza odpowiedź Cloudflare nie określa zatem zasad buforowania całej strony.
Ta sama ostrożność dotyczy bezpieczeństwa. Cloudflare oferuje wiele mechanizmów kontroli, ale obecność w jego sieci nie dowodzi, że każda opcja została zakupiona, włączona lub prawidłowo skonfigurowana.
Prywatność, bezpieczeństwo i kompromisy operacyjne
Gdy Cloudflare działa jako odwrotne proxy, ruch dociera do jego sieci przed dotarciem do źródła. Ta pozycja umożliwia realizowanie funkcji związanych z wydajnością i bezpieczeństwem, a zarazem sprawia, że przetwarzanie danych i kontrola dostępu stają się istotnymi tematami oceny.
Cloudflare publikuje politykę prywatności i centrum zaufania z aktualnymi informacjami o ochronie danych, bezpieczeństwie i zgodności. Właściciel strony powinien zapoznać się z tymi dokumentami w odniesieniu do produktów i regionów, z których planuje korzystać.
Właściciel strony nadal ponosi odpowiedzialność. Cloudflare nie gwarantuje domyślnie poprawności kodu aplikacji, ograniczenia uprawnień, zasadności gromadzenia danych ani bezpieczeństwa źródła. Zespoły powinny sprawdzić:
- Które rekordy i aplikacje korzystają z proxy
- Jakie dane żądań i odpowiedzi przechodzą przez usługę
- Czy źródło przyjmuje niezamierzony ruch bezpośredni
- Jak zarządza się certyfikatami, sekretami i dostępem administratorów
- Które reguły bezpieczeństwa są włączone i przetestowane
- Jak długo przechowywane są dzienniki i kto ma do nich dostęp
- Co dzieje się podczas błędu konfiguracji lub incydentu związanego z usługą
Usługa warstwowa może ograniczać ryzyko, a jednocześnie stać się zależnością operacyjną. Zespoły potrzebują kontroli zmian, monitorowania, kopii zapasowych i planu odzyskiwania odpowiedniego dla aplikacji.
Jak ocenić Cloudflare
Zacznij od problemu, a nie od listy produktów. Mała strona internetowa, aplikacja wewnętrzna, globalna sieć i zadanie bezserwerowe mają różne wymagania.
Zapytaj:
- Czy potrzebujemy autorytatywnego DNS, proxy, czy obu tych rozwiązań?
- Które nazwy hostów i typy ruchu powinny być obsługiwane przez Cloudflare?
- Jaki problem z wydajnością lub bezpieczeństwem próbujemy rozwiązać?
- Czy zadanie dotyczy publicznej aplikacji, dostępu pracowników, czy sieci?
- Czy zadanie pasuje do Workers i dostępnych usług danych?
- Jakie informacje będzie przetwarzać usługa?
- Które funkcje, limity i opcje pomocy technicznej dotyczą planowanego pakietu?
- Jak będziemy testować zmiany i usuwać skutki błędów?
Następnie przygotuj reprezentatywną wersję próbną. Wykonaj pomiary na rzeczywistych stronach i żądaniach, przetestuj działanie pamięci podręcznej i zabezpieczeń, zweryfikuj ścieżkę do źródła oraz udokumentuj powstałą konfigurację. Aktualna dokumentacja produktu jest bardziej wiarygodna niż ogólna lista kontrolna, ponieważ pakiety i możliwości się zmieniają.
Cloudflare najlepiej rozumieć jako szeroką platformę łączności. Może odpowiadać na jedną konkretną potrzebę, taką jak autorytatywny DNS, albo łączyć kilka usług obejmujących aplikacje i sieci. Właściwy opis sposobu korzystania z Cloudflare przez klienta zależy od tego, co klient faktycznie skonfigurował, a nie od pełnej listy produktów oferowanych przez Cloudflare.
Prawidłowa odpowiedź nie gwarantuje bezpieczeństwa. Pomiary opisują pojedynczą obserwację w określonym czasie.