← Data Localization Suite / data-localization

Regional Services

Regional Services vám umožňuje vyhovět regionálním omezením tím, že zvolíte, která podmnožina datových center bude dešifrovat a obsluhovat provoz HTTPS.

Regional Services přijímá a zpracovává provoz ve vymezených regionech pro zákazníky, kteří potřebují splnit regionální požadavky na compliance nebo preferují zachování regionální kontroly nad svými daty. Mezi příklady použití patří vyhovění regionálním omezením, jako například GDPR ↗ (General Data Protection Regulation), nebo plnění smluvních závazků vůči zákazníkům, které zahrnují geografická omezení toku dat nebo zpracování dat.

U Regional Services dochází k TLS terminaci, tedy k bodu, ve kterém se šifrovaný HTTPS provoz dešifruje, aby jej Cloudflare mohl zkontrolovat a uplatnit vaše bezpečnostní pravidla, pouze uvnitř nakonfigurovaného regionu. Pokud je například hostname nakonfigurován tak, aby byl regionalizován do Evropské unie (EU), jakýkoli požadavek HTTPS ze Spojených států (US) bude v šifrované podobě přeposlán do datového centra v EU ještě před dešifrováním.

Regional Services přijímá provoz v libovolném datovém centru Cloudflare kdekoli na světě a uplatňuje Mitigace útoků DDoS na vrstvě L3/L4 : ochrana síťové a transportní vrstvy, která blokuje objemové útoky bez nutnosti dešifrovat obsah provozu. Funkce zabezpečení, výkonu a spolehlivosti, které vyžadují přístup k dešifrovanému provozu, se naproti tomu uplatňují pouze v lokalitách Cloudflare uvnitř daného regionu.

Regional Services zajišťuje, že ve zvoleném regionu fungují mimo jiné všechny následující služby na aplikační vrstvě:

• Ukládání a načítání obsahu z Cache.
• Blokování škodlivých HTTP payloadů pomocí Web Application Firewall (WAF).
• Detekce a blokování podezřelé aktivity pomocí Bot Management.
• Spouštění skriptů Cloudflare Workers.
• Rozložení provozu pomocí Load Balancing na nejlepší origin servery (nebo jiné koncové body).

Regional Services je řešení pro compliance, nikoli optimalizaci výkonu. V rámci nastaveného regionu Cloudflare směruje požadavky do nejvýkonnějšího datového centra v daném regionu, a to pomocí bodovacího systému, který zohledňuje dostupná připojení, latenci a zátěž, přičemž nemusí jít nutně o nejbližší datové centrum. Další informace najdete v Geografické směrování provozu kde najdete další podrobnosti. U geograficky rozsáhlých regionů mohou být požadavky zpracovány v datovém centru vzdálenějším než nejbližší dostupná možnost v rámci regionu.

Následující diagram znázorňuje na obecné úrovni tok požadavku od koncového uživatele v USA, který se připojuje k webu využívajícímu Cloudflare Regional Services nastavené na EU.

sequenceDiagram
    participant User in US as End user in US
    participant CloudflarePoPNYC as Closest data center <br> in US
    participant CloudflarePoPDUB as Data center in EU
    participant EUOriginServer as Origin Server

    User in US->>CloudflarePoPNYC: TCP connection
    Note right of User in US: TLS encryption
    Note left of CloudflarePoPNYC: TCP connection<br> (no TLS unwrapping)
    Note right of CloudflarePoPNYC: L3 DDoS protection
    CloudflarePoPNYC-->>CloudflarePoPDUB: Forwards<br> encrypted request
    Note right of CloudflarePoPDUB: TLS termination (decryption)
    Note right of CloudflarePoPDUB: Applies security<br> and performance features<br> (for example, WAF, Configuration Rules, <br>Load Balancing)
    Note right of CloudflarePoPDUB: TLS encryption
    CloudflarePoPDUB-->>EUOriginServer: Requests content
    EUOriginServer-->>CloudflarePoPDUB: Response content
    Note right of CloudflarePoPDUB: TLS termination (decryption)
    Note right of CloudflarePoPDUB: Caches eligible static content<br> (on encrypted disks)
    Note right of CloudflarePoPDUB: TLS encryption
    CloudflarePoPDUB->>User in US: Forwards response with content

Regional Services určuje, kde je provoz přijímán a zpracováván (dešifrován), nikoli odkud odchází k vašemu originu. Egresní IP adresy k vašemu originu jsou lokální IP adresy datového centra v daném regionu, kde byl požadavek zpracován. Pokud potřebujete zaručenou geolokaci egresních IP adres nebo zařazení originu na seznam povolených, použijte Dedicated CDN Egress IPs kromě Regional Services.

Pro Regional Hostnames, které používají sdílené vstupní IP adresy Cloudflare, mohou poskytovatelé geolokace IP třetích stran vracet polohu neodpovídající vašemu nakonfigurovanému regionu (často Spojené státy). Jde o omezení sdíleného adresování IP, které neovlivňuje místo, kde je váš provoz skutečně dešifrován a zpracován.

Regional Services regionalizuje provoz několika mechanismy v závislosti na tom, jakým způsobem se váš provoz dostává do Cloudflare. Většina zákazníků používá jen jeden z nich:

• Regionální hostitelské názvy : regionalizujte hostname směrované přes proxy. Region hostname přiřadíte prostřednictvím Regional Hostnames API nebo přes dashboard, přičemž Cloudflare pak směruje provoz pro daný hostname do datových center v rámci regionu. Jde o nejběžnější možnost, která je obecně dostupná. Postup nastavení najdete v Regionální hostitelské názvy.

• Regionalizované aplikace Spectrum : regionalizujte Spectrum aplikace HTTP/S. Aplikace Spectrum používají odlišný mechanismus regionalizace než Regional Hostnames API a fungují s oběma Spectrum Static IPs a Bring Your Own IP (BYOIP). Postup nastavení najdete v Regionalizované aplikace Spectrum.

• Regionalizované vazby IP : Svažte BYOIP prefixu k regionu, takže se provoz směřovaný na tyto IP adresy zpracovává v rámci regionu. Protože se bindingy spravují přes API jako address maps, tato možnost se dobře hodí pro rozsáhlé konfigurace (celé prefixy, zóny nebo účty) a po povolení příslušných oprávnění ji lze celou nastavit samoobslužně. Tato možnost vyžaduje oprávnění Regional Services a Regional Services for BYOIP. Postup nastavení najdete v Regionalizované vazby IP.

Následující tabulka porovnává tyto tři možnosti, aby vám usnadnila výběr:

Všechny tři možnosti podporují spravované regiony. Vlastní regiony jsou dostupné pro Regionalized Spectrum Applications a Regionalized IP Bindings, ale ne pro Regional Hostnames.

Nastavení služby Regional Services probíhá stejně bez ohledu na to, kterou možnost zvolíte:

Informace o dostupnosti a dohodách o úrovni služeb (SLA) najdete ve své smlouvě Cloudflare Enterprise. U konfigurací Regional Services omezených na jedinou zemi (kromě USA) obsahuje SLA společnosti Cloudflare konkrétní výjimky: protože provoz nemůže přejít na datová centra mimo danou zemi, neexistuje automatické převzetí služeb při selhání, pokud kapacita v dané zemi není dostupná. Regiony zahrnující více zemí (například Evropská unie) obvykle zachovávají standardní SLA.

Podrobnosti o produktech kompatibilních se službou Regional Services najdete v Kompatibilita produktů Cloudflare stránku. Pokud jste tyto produkty zakoupili jako součást svého předplatného Enterprise, bude Cloudflare ukončovat TLS spojení pro tyto produkty pouze v geografickém regionu, který jste pro Regional Services nakonfigurovali.