← Cloudflare Spectrum / spectrum / reference

Možnosti konfigurace

Spectrum je globální TCP a UDP proxy běžící na edge uzlech Cloudflare. Spojení neukončuje ve smyslu aplikační vrstvy. Na vrstvě L4 však Spectrum ukončuje TCP a UDP sokety v obou směrech. Užitečná data L4 v TCP segmentech a UDP datagramech se přenášejí tam a zpět beze změny.

To znamená, že Spectrum nekontroluje, neupravuje ani nepovyšuje protokoly aplikační vrstvy. Spectrum například nedokáže převést spojení HTTP na HTTPS, přidat HTTP hlavičky ani použít pravidla WAF na provoz TCP. Chcete-li přidat funkce vrstvy 7, jako je CDN, Workers nebo Bot Management, nastavte typ aplikace na HTTP/HTTPS.

Časté problémy a pokyny k jejich řešení najdete v Řešení problémů se Spectrum.

Typ aplikace určuje protokol, kterým data putují z edge k vašemu originu. Vyberte TCP/UDP pokud chcete proxovat přímo na origin. Pokud chcete nastavit produkty jako CDN, Workers nebo Bot management, musíte vybrat HTTP/HTTPS. V tomto případě je provoz směrován přes pipeline Cloudflare místo přímého připojení k vašemu origin serveru.

Při vytvoření aplikace Spectrum jí je přidělena jedinečná adresa IPv4 a IPv6, případně můžete aplikaci nastavit tak, aby používala pouze IPv6. Tyto adresy nejsou statické a mohou se v průběhu času měnit. Aktuální adresy nejlépe zjistíte pomocí DNS. Název DNS aplikace Spectrum vždy vrátí IP adresy, které jsou aplikaci momentálně přiděleny.

Adresy jsou šířeny pomocí anycastu ze všech datacenter Cloudflare, s výjimkou datacenter v Číně.

Spectrum může fungovat jako TCP load balancer před SMTP serverem, nebude však fungovat jako zprostředkující poštovní server. Data místo toho předává přímo vašemu originu. IP adresa klienta zobrazená u pošty bude edge IP adresa Cloudflare. Pokud poštovní server potřebuje znát skutečnou IP adresu klienta, měl by pomocí Proxy Protocol získat zdrojovou IP adresu od Cloudflare. Cloudflare doporučuje povolit Proxy Protocol u aplikací nakonfigurovaných pro proxování SMTP.

SMTP servery mohou provádět řadu kontrol serverů, které se přes ně pokoušejí odesílat zprávy. Účelem těchto kontrol je odfiltrovat požadavky od neoprávněných serverů.

Zprávy mohou být odmítnuty, pokud:

• Zpětné vyhledávání DNS pro IP adresu připojujícího se serveru vrací negativní odpověď.
• Reverzní DNS dotaz vrací jiný hostname, než jaký byl odeslán v SMTP HELO/EHLO zprávy.
• Reverzní DNS dotaz vrací jiný hostname, než jaký je uveden v banneru vašeho SMTP serveru.
• Výsledek reverzního DNS dotazu neodpovídá odpovídajícímu dopřednému DNS dotazu.

Aplikace Spectrum nemají záznamy reverzního DNS.

Servery SMTP navíc mohou provádět vyhledávání DNS, aby našly záznamy MX pro danou doménu. Zprávy z vašeho serveru mohou být odmítnuty, pokud je záznam MX vaší domény přiřazen k aplikaci Spectrum, protože IP adresa serveru neodpovídá IP adrese Spectrum.

Cloudflare podporuje všechny porty TCP.

Aplikace Spectrum lze nakonfigurovat tak, aby proxovaly provoz na rozsazích portů.

Pro přímé origin servery:

{
	"protocol": "tcp/1000-2000",
	"dns": {
		"type": "CNAME",
		"name": "range.example.com"
	},
	"origin_direct": ["tcp://192.0.2.1:3000-4000"]
}

Pro DNS origin servery:

{
	"protocol": "tcp/1000-2000",
	"dns": {
		"type": "CNAME",
		"name": "range.example.com"
	},
	"origin_dns": {
		"name": "origin.example.com",
		"ttl": 1200
	},
	"origin_port": "3000-4000"
}

Počet portů v rozsahu portů originu musí odpovídat počtu portů uvedených v protocol pole. Připojení k portu v rámci rozsahu portů na edge budou proxována na odpovídající posun portu v rozsahu originu. Například v konfiguracích výše bude připojení k range.example.com:1005 by byl proxyován na port 3005 na origin serveru.

Pokud IP Access rules jsou povoleny pro aplikaci Spectrum, Cloudflare bude respektovat pravidla IP Access nakonfigurovaná pro tuto doménu. Cloudflare u aplikací Spectrum respektuje pouze pravidla vytvořená pro konkrétní IP adresy, bloky IP adres, země nebo ASN. Spectrum také respektuje pouze pravidla vytvořená s akcemi allow nebo block.

Jakmile pro svou aplikaci zapnete Argo Smart Routing, provoz se automaticky bude směrovat po nejrychlejší a nejspolehlivější dostupné síťové cestě. Argo Smart Routing je k dispozici pro aplikace TCP a UDP (beta).

Aplikace Spectrum mohou směrovat origin_direct provoz k privátnímu origin serveru přes Cloudflare Tunnel virtuální síť. Nastavte virtual_network_id u aplikace na ID virtuální sítě, v rámci které je IP adresa originu směrovatelná. Provoz do aplikace je doručován přes konektor přiřazený k dané virtuální síti, obvykle Cloudflare Tunnel nebo Cloudflare WAN (dříve Magic WAN) připojení.

Chcete-li vytvořit virtuální síť a připojit trasu pokrývající IP adresu vašeho originu, podívejte se na Správa virtuálních sítí a Připojení IP/CIDR.

Následující omezení platí, když virtual_network_id je nastaveno:

• Typ aplikace musí být TCP nebo UDP. Aplikace HTTP/HTTPS nepodporují originy virtuální sítě.
• Origin musí být zadán pomocí origin_direct. Origin servery typu hostname (origin_dns) nejsou podporovány.
• origin_direct musí obsahovat přesně jednu adresu. Více adres není podporováno.
• Port originu musí být jediný port. Rozsahy portů nejsou podporovány.
• IP adresa originu musí být směrovatelná v rámci zadané virtuální sítě. Virtuální síť už musí mít trasu pokrývající tuto IP adresu.
• Proxy Protocol není podporováno. proxy_protocol musí být nastaven na off.

Kódy validačních chyb vracené při porušení těchto omezení najdete v Kódy chyb.

Originy virtuální sítě Spectrum jsou určeny pouze pro provoz TCP a UDP. Pro provoz HTTP/HTTPS na privátní originy použijte Application Services for Private Origins, který poskytuje WAF, CDN cachování a celý proxy stack Cloudflare.

Pokud povolíte Edge TLS Termination pro aplikaci Spectrum, Cloudflare bude šifrovat provoz aplikace na Edge. Přepínač Edge TLS Termination platí pouze pro aplikace TCP.

Spectrum nabízí tři režimy ukončení TLS: 'Flexible', 'Full' a 'Full (Strict)'.

'Flexible' umožňuje ukončení klientského připojení na edge, ale neaktivuje TLS mezi Cloudflare a vaším origin serverem. Provoz bude šifrovaně odeslán z klienta na Cloudflare, ale ne z Cloudflare na origin server.

'Full' určuje, že provoz z Cloudflare na origin server bude rovněž šifrovaný, ale bez ověření certifikátu. Při nastavení 'Full (Strict)' bude provoz z Cloudflare na origin server šifrovaný a certifikát origin serveru bude přísně ověřován.

Spectrum podporuje verze TLS 1.1, TLS 1.2 a TLS 1.3.

Můžete to spravovat prostřednictvím aplikace Spectrum v dashboardu Cloudflare, nebo pomocí Endpoint Spectrum API.

Níže jsou uvedeny sady šifer, které Cloudflare předkládá origin serverům během handshake SSL/TLS. Sady šifer podporované na naší edge síti nebo předkládané prohlížečům a dalším user agentům najdete v Šifrovací sady.

Níže uvedené sady šifer jsou seřazené v pořadí, ve kterém se objevují ve zprávě ClientHello, čímž originu sdělují naši preferenci. Zákazníci nemohou šifry používané Spectrum měnit.