← Data Localization Suite / data-localization / how-to

Zero Trust

Následující části popisují, jak nakonfigurovat produkty Zero Trust pomocí Data Localization Suite, včetně toho, které funkce podporují Regional Services a Customer Metadata Boundary.

Regional Services lze používat s Gateway ve všech podporované regiony. Mějte na paměti, že Regional Services se uplatňují pouze při používání Cloudflare One Client v režimu Traffic and DNS.

Zákazníci s plánem Enterprise si mohou zakoupit vyhrazená odchozí IP adresa (IPv4 a IPv6) nebo rozsah IP adres geolokalizovaných do jedné či více síťových lokalit Cloudflare. Díky tomu se váš odchozí provoz geolokalizuje do města vybraného ve vašem zásady Egress.

Zero Trust vyhrazené odchozí IP adresy řídí IP adresy používané provozem WARP a Gateway při odchodu z Cloudflare směrem do internetu. Liší se od Dedicated CDN Egress IPs, které určují IP adresy používané CDN Cloudflare při připojování k vašemu origin serveru. Zaručenou geolokaci odchozích IP adres z CDN Cloudflare k vašemu origin serveru najdete v Cache návod.

V rámci Regional Services bude Cloudflare Gateway provádět pouze dešifrování TLS při použití Cloudflare One Client (ve výchozím Traffic and DNS mode).

Můžete protokolovat payload odpovídajících pravidel DLP a zašifrujte je svým veřejným klíčem, abyste je později mohli zkontrolovat pouze vy.

Cloudflare nemůže dešifrovat šifrované payloady.

Regional Services určuje, kde Cloudflare provoz dešifruje. Protože většina provozu DNS není šifrovaná, Gateway DNS (filtrování doménových jmen) nelze pomocí Regional Services regionalizovat.

Viz Nastavení Cloudflare One Client sekci níže, kde najdete další informace.

Můžete použití vlastního certifikátu do Gateway, ty však zatím nelze omezit na konkrétní region.

Ve výchozím nastavení Cloudflare ukládá a doručuje protokoly z datových center v rámci naší globální sítě. Chcete-li si zachovat regionální kontrolu nad svými daty, můžete použít Customer Metadata Boundary a omezit ukládání dat na konkrétní geografický region. Další informace najdete v části o Podporované datové sady Logpush.

Zákazníci mají také možnost omezit protokoly, které Cloudflare ukládá:

• Můžete vyloučit PII z protokolů
• Můžete vypnout protokolování nebo protokolovat pouze blokované požadavky.

Chcete-li ověřit, že se vaše regionální mapa uplatňuje správně, zkontrolujte IngressColoName pole ve vašem Zero Trust Network Session logs. Toto pole zobrazuje název datového centra Cloudflare, kde provoz vstoupil do sítě. Protože se regionalizace uplatňuje ještě před Gateway, vstupní datové centrum bude ležet v rámci vaší nakonfigurované regionální mapy, což potvrzuje, že provoz je zpracováván ve správném regionu.

Chcete-li zajistit, aby všechny požadavky reverzní proxy pro aplikace chráněné Cloudflare Access probíhaly pouze v datových centrech vyhovujících FedRAMP, měli byste použít Regional Services s regionem nastaveným na FedRAMP.

--region parametr v cloudflared určuje, kde konektor tunelu naváže spojení s Cloudflare. Toto nastavení je oddělené od Regional Services, které určuje, kde se dešifruje a zpracovává uživatelský provoz.

U veřejných hostname obsluhovaných přes tunel se Regional Services konfiguruje na úrovni záznamu DNS. Region konektoru tunelu a region služby Regional Services fungují nezávisle na sobě.

Můžete použít nastavení WARP Local Domain Fallback abyste mohli použít soukromý DNS resolver, který si spravujete sami.

Split Tunnels umožňují rozhodnout, které IP adresy/rozsahy a/nebo domény jsou směrovány přes Cloudflare nebo z něj vyloučeny.