Что делает Cloudflare и как работает его платформа
Cloudflare — компания в сфере облачной связности. Ее глобальная платформа предоставляет сервисы для доставки сайтов, безопасности, надежности, сетевого взаимодействия, доступа сотрудников и разработки приложений. Компания может использовать один сервис Cloudflare, не внедряя всю платформу.
cloudflare.com — официальный сайт Cloudflare. На нем представлены продукты, документация, поддержка, сведения о компании и информация о доверии. Этот сайт не следует путать с самой платформой или с сайтом клиента, который использует Cloudflare.
Для чего используется Cloudflare
Cloudflare работает на нескольких уровнях интернет-инфраструктуры. Называя его только сетью доставки контента, поставщиком DNS или сервисом защиты от DDoS, мы упускаем важные части платформы.
Сайт или организация могут использовать Cloudflare, чтобы:
- Публиковать авторитетные записи DNS
- Направлять общедоступный веб-трафик через обратный прокси-сервер
- Кэшировать подходящий контент ближе к посетителям
- Фильтровать атаки и нежелательные запросы
- Балансировать трафик или улучшать сетевую маршрутизацию
- Управлять доступом сотрудников к частным приложениям
- Выполнять код приложений и хранить данные
- Защищать крупные сети и подключения к Интернету
Это возможные варианты использования, а не функции, автоматически включенные для каждого клиента. Владелец выбирает продукты и настройки для каждого домена, приложения, группы пользователей или сети.
Как работает обратный прокси-сервер
Для сайта, работающего через прокси, упрощенный путь запроса выглядит так:
- Посетитель запрашивает страницу.
- DNS возвращает адрес, связанный с сетью Cloudflare.
- Браузер подключается к Cloudflare, а не напрямую к исходному серверу.
- Cloudflare применяет сервисы, настроенные для этого трафика.
- Cloudflare обращается к исходному серверу, когда ему нужен ответ, который он не может предоставить самостоятельно.
- Ответ возвращается посетителю через Cloudflare.
Такая схема называется обратным прокси-сервером, поскольку прокси принимает запросы от имени исходного приложения. Это позволяет Cloudflare выполнять обработку на пути трафика, например завершать HTTPS-соединения, применять правила безопасности или отдавать кэшированный контент.
Эта модель не доказывает, что каждый ответ был кэширован или проверен каждым продуктом безопасности. Она также не доказывает, что исходный сервер недоступен по другому адресу. Эти результаты зависят от конфигурации клиента.
Cloudflare использует общие IP-адреса и маршрутизацию Anycast. Anycast позволяет объявлять один и тот же диапазон адресов из множества сетевых точек, чтобы трафик мог поступать в ближайшую точку Cloudflare. Поэтому адрес Cloudflare определяет общедоступный сетевой путь. Обычно он не определяет исходный хост клиента.
Записи только для DNS и проксируемые записи
Cloudflare может предоставлять авторитетный DNS без проксирования трафика сайта. Это одна из причин, по которой выражение «использует Cloudflare» требует контекста.
| Настройка | Что происходит | Чего это не доказывает |
|---|---|---|
| Только DNS | Cloudflare отвечает на DNS-запрос адресом назначения, настроенным владельцем домена | Обычный веб-трафик не проходит автоматически через HTTP-прокси Cloudflare |
| Через прокси | DNS возвращает адрес Cloudflare, и поддерживаемый трафик сначала поступает в Cloudflare | Не каждый ответ автоматически кэшируется, и не каждый необязательный продукт автоматически активен |
| Отдельный продукт платформы | Клиент использует этот сервис в соответствии с его собственной архитектурой | Остальная часть каталога Cloudflare необязательно используется |
В одном домене эти подходы могут сочетаться. Основной сайт может работать через прокси, почтовая запись может оставаться в режиме только DNS, а отдельное приложение может выполняться на платформе для разработчиков.
Основные части платформы
Cloudflare группирует продукты по различным задачам. Эти границы помогают объяснить платформу, не представляя ее одним огромным переключателем.
Производительность и безопасность приложений
Эти сервисы работают с общедоступными сайтами, API и приложениями. К ним относятся DNS, доставка контента, балансировка нагрузки, HTTPS, защита от DDoS, средства управления межсетевым экраном веб-приложений, ограничение частоты запросов, средства управления ботами и связанные продукты.
Каждый продукт решает отдельную задачу. Проксируемый домен не доказывает автоматически, что включены межсетевой экран веб-приложений, продукт для управления ботами или пользовательское ограничение частоты запросов. Владелец сайта должен настроить и протестировать средства управления, важные для приложения.
Zero Trust и SASE
Cloudflare также предоставляет сервисы, управляющие тем, как сотрудники, устройства и сети получают доступ к частным приложениям, общедоступному Интернету и программным сервисам. Эту область обычно описывают такими терминами, как Zero Trust, периферия сервисов безопасности или SASE.
Это отличается от размещения общедоступного сайта за обратным прокси-сервером. Компания может защищать своих сотрудников, не размещая общедоступный сайт на платформе для разработчиков, и может проксировать сайт, не используя продукты доступа сотрудников.
Сетевые сервисы
Некоторые продукты работают на более широких сетевых уровнях, а не только на уровне веб-приложений. Они могут защищать или соединять сети, маршрутизировать трафик либо поддерживать протоколы помимо обычного запроса браузера.
Поэтому одной схемой движения трафика невозможно описать каждый сервис Cloudflare. Проксируемый веб-запрос, обращение сотрудника к частному приложению и защита организацией IP-сети проходят по разным путям.
Платформа для разработчиков
Платформа Cloudflare для разработчиков позволяет командам выполнять код и использовать управляемые сервисы данных в ее сети. Распространенные компоненты включают:
| Продукт | Роль простыми словами |
|---|---|
| Workers | Выполняет код приложения без необходимости управлять для него обычным сервером |
| D1 | Предоставляет управляемое хранилище SQL |
| R2 | Хранит файлы и другие объекты |
| KV | Хранит значения, доступ к которым осуществляется по ключам |
| Durable Objects | Объединяет состояние с координируемыми вычислениями |
| Queues и Workflows | Поддерживает фоновые сообщения и многоэтапные задания |
Эти продукты можно комбинировать, но они не взаимозаменяемы. Реляционному приложению может понадобиться SQL, библиотеке изображений — объектное хранилище, а совместному сеансу — координируемое состояние.
Существование этих сервисов не означает, что каждый сайт за Cloudflare создан с помощью Workers или хранит данные в D1. Многие клиенты оставляют свое приложение у другого хостинг-провайдера и используют Cloudflare только перед ним.
Является ли Cloudflare хостинг-провайдером?
Он может размещать код приложений и данные с помощью своих продуктов для разработчиков, но один лишь IP-адрес Cloudflare не показывает, где работает исходный сервер сайта.
При использовании обратного прокси посетители видят общедоступный адрес прокси-сервера. Исходный сервер может находиться в частном центре обработки данных либо у другого облачного или хостинг-провайдера. Общие адреса прокси намеренно скрывают эту деталь от базовой проверки.
Используйте более точные формулировки:
- «Общедоступный трафик сайта проходит через Cloudflare», когда это подтверждается свидетельствами использования прокси.
- «Домен использует авторитетный DNS Cloudflare», когда это подтверждается данными о серверах имен.
- «Приложение работает на Workers» — только когда прямые свидетельства подтверждают такой вывод.
Кэширует ли Cloudflare каждую страницу?
Нет. Cloudflare предлагает средства управления кэшированием и доставкой контента, но фактическое поведение зависит от запроса, ответа, правил кэширования, продукта и конфигурации клиента.
Динамические или персонализированные ответы могут не подходить для общего кэширования. Клиент может отключить кэширование для выбранных путей или изменить срок хранения подходящего контента. Поэтому один ответ Cloudflare не позволяет определить политику кэширования всего сайта.
Та же осторожность необходима в отношении безопасности. Cloudflare предлагает множество средств управления, но присутствие в сети не доказывает, что каждая возможность приобретена, включена или правильно настроена.
Компромиссы в области конфиденциальности, безопасности и эксплуатации
Когда Cloudflare выступает обратным прокси-сервером, трафик поступает в его сеть до того, как достигает исходного сервера. Такое положение позволяет выполнять функции производительности и безопасности, а также делает обработку данных и управление доступом важными темами для оценки.
Cloudflare публикует политику конфиденциальности и центр доверия с актуальной информацией о защите данных, безопасности и соблюдении требований. Владельцу сайта следует изучить эти документы применительно к продуктам и регионам, которые он планирует использовать.
У владельца сайта по-прежнему остаются обязанности. Cloudflare не обеспечивает автоматически корректность кода приложения, минимальность разрешений, необходимость сбора данных или безопасность исходного сервера. Командам следует проверить:
- Какие записи и приложения проксируются
- Какие данные запросов и ответов проходят через сервис
- Принимает ли исходный сервер нежелательный прямой трафик
- Как управляются сертификаты, секреты и доступ администраторов
- Какие правила безопасности включены и протестированы
- Как долго хранятся журналы и кто имеет к ним доступ
- Что происходит при ошибке конфигурации или сбое сервиса
Многоуровневый сервис может снизить риск, одновременно становясь эксплуатационной зависимостью. Командам необходимы управление изменениями, мониторинг, резервные копии и план восстановления, соответствующие приложению.
Как оценить Cloudflare
Начинайте с проблемы, а не со списка продуктов. У небольшого сайта, внутреннего приложения, глобальной сети и бессерверной рабочей нагрузки разные требования.
Задайте вопросы:
- Нужны ли нам авторитетный DNS, проксирование или и то и другое?
- Какие имена хостов и типы трафика должен обрабатывать Cloudflare?
- Какую проблему производительности или безопасности мы пытаемся решить?
- Относится ли задача к общедоступному приложению, доступу сотрудников или сети?
- Подходит ли рабочая нагрузка для Workers и доступных сервисов данных?
- Какую информацию будет обрабатывать сервис?
- Какие функции, ограничения и варианты поддержки относятся к предполагаемому тарифному плану?
- Как мы будем тестировать изменения и восстанавливаться после ошибок?
Затем создайте репрезентативный пробный проект. Измерьте работу реальных страниц и запросов, протестируйте кэширование и средства безопасности, проверьте путь к исходному серверу и задокументируйте получившуюся конфигурацию. Актуальная документация продуктов надежнее универсального контрольного списка, поскольку тарифные планы и возможности меняются.
Cloudflare лучше всего понимать как широкую платформу связности. Она может решать одну конкретную задачу, например предоставлять авторитетный DNS, или объединять несколько сервисов для приложений и сетей. Правильное описание использования Cloudflare конкретным клиентом зависит от того, что этот клиент действительно настроил, а не от полного списка продуктов, предлагаемых Cloudflare.
Успешный ответ не гарантирует безопасность. Измерения отражают одно наблюдение в определённый момент времени.