← Cloudflare Network Firewall / cloudflare-network-firewall / about

Logika sady pravidel

Pravidla Cloudflare Network Firewall (dříve Magic Firewall) se uplatňují až po použití ochrany Cloudflare proti útokům DDoS. Oba systémy fungují nezávisle na sobě, takže povolení provozu v Cloudflare Network Firewall neznamená jeho povolení i v rámci ochrany proti útokům DDoS. Provoz může být přesto zablokován ochranou proti útokům DDoS, která se v toku dat přes systémy Cloudflare uplatňuje dříve.

Cloudflare Network Firewall standardně povoluje veškerý provoz, dokud jej pravidlo výslovně neblokuje. Pokud nejsou nakonfigurována žádná pravidla, je po uplatnění mechanismů Cloudflare pro zmírnění DDoS útoků povolen veškerý provoz.

Pro konfiguraci bezpečnostní zásady máte dvě možnosti:

• Prosazujte pozitivní model zabezpečení: povolte pouze potřebný provoz a všechno ostatní blokujte.
• Začněte s minimální sadou pravidel, která blokuje konkrétní provoz, a ve výchozím nastavení je vše ostatní povoleno.

Provoz se porovnává v pořadí, v jakém jsou pravidla nakonfigurována. Jakmile ho zachytí povolené pravidlo, dál se už neporovnává s dalšími pravidly, zatímco zakázanými pravidly provoz jednoduše prochází. Na dashboardu v části Cloudflare Network Firewall, pořadí pravidel začíná nahoře a postupuje dolů seznamem pravidel.

Pokud by pravidlo č. 4 povolovalo veškerý provoz TCP, znamenalo by to, že je povolen veškerý provoz TCP. Pravidlo č. 5, které blokuje provoz pro IP adresu x.x.x.x by se nekontrolovalo.

Osvědčené postupy pro konfiguraci bezpečnostní zásady najdete v Osvědčené postupy.

Provoz pocházející od Cloudflare rovněž podléhá pravidlům Cloudflare Network Firewall, která nakonfigurujete. Pokud zablokujete veškerý provoz ICMP, zablokujete tím i kontroly stavu endpointu. Při blokování provozu ICMP se ujistěte, že vaše pravidla nejprve povolují ICMP pocházející z veřejných IP adres Cloudflare směrem k IP adresám endpointu vašeho prefixu, než použijete pravidlo pro blokování ICMP.

Seznam veřejných IP adres Cloudflare najdete v Rozsahy IP ↗.

Cloudflare Network Firewall zpracovává provoz ve dvou fázích: v první fázi porovnává pakety s pravidly ve fázi Custom. Ve druhé fázi porovnává pakety s pravidly ve fázi Managed.

Fáze Custom v Cloudflare Network Firewall představuje sadu pravidel definovaných uživatelem. Uživatel může přizpůsobit výraz, pořadí i akce těchto pravidel.

Uživatelé mohou v této vlastní fázi navíc přidat pravidlo, které přepíše chování pravidla ve fázi Managed.

Sady pravidel spravované fáze aktualizuje a spravuje Cloudflare, který tato pravidla vytváří na základě osvědčených postupů, známých škodlivých vzorů a dalších kritérií.

Cloudflare spravuje výrazy a pořadí spouštění pravidel ve fázi Managed. Pravidla lze povolit, zakázat nebo nastavit tak, aby zaznamenávala shodující se pakety.

Viz Povolte spravované sady pravidel s dalšími informacemi.