← Cloudflare Network Firewall / cloudflare-network-firewall / about

Логика набора правил

Правила Cloudflare Network Firewall (ранее Magic Firewall) применяются уже после того, как сработала защита Cloudflare от DDoS-атак. Обе системы работают независимо друг от друга, поэтому разрешение трафика в Cloudflare Network Firewall не означает, что он также будет разрешён в рамках защиты от DDoS-атак. Трафик всё равно может быть заблокирован защитой от DDoS-атак, которая применяется раньше в потоке данных через системы Cloudflare.

По умолчанию Cloudflare Network Firewall пропускает весь трафик, пока он явно не заблокирован правилом. Если правила не настроены, весь трафик пропускается после применения средств защиты Cloudflare от DDoS-атак.

Есть два способа настроить политику безопасности:

• Применяйте модель позитивной безопасности: разрешайте только необходимый трафик, а всё остальное блокируйте.
• Начните с минимального набора правил, блокирующего конкретный трафик, при этом по умолчанию весь остальной трафик разрешен.

Трафик сопоставляется с правилами в порядке их настройки. Как только он совпадает с включённым правилом, дальнейшая проверка по последующим правилам прекращается, а трафик, совпадающий с отключёнными правилами, проходит без блокировки. В панели управления в разделе Cloudflare Network Firewall, порядок правил начинается сверху и идёт вниз по списку правил.

Например, разрешение всего TCP-трафика в правиле №4 означает, что весь TCP-трафик будет разрешен. Правило №5, блокирующее трафик для IP-адреса x.x.x.x не будет проверяться.

Рекомендации по настройке политики безопасности см. в Рекомендации.

Трафик, исходящий от Cloudflare, также подчиняется настроенным вами правилам Cloudflare Network Firewall. Если вы заблокируете весь трафик ICMP, вы также заблокируете проверки работоспособности конечных точек. При блокировке трафика ICMP убедитесь, что ваши правила сначала разрешают трафик ICMP от публичных IP-адресов Cloudflare к IP-адресам конечных точек вашего префикса, и только потом применяйте правило блокировки ICMP.

Список публичных IP-адресов Cloudflare см. в Диапазоны IP-адресов ↗.

Cloudflare Network Firewall обрабатывает трафик в два этапа: на первом этапе сравнивает пакеты с правилами фазы Custom. На втором этапе сравнивает пакеты с правилами фазы Managed.

Фаза Custom в Cloudflare Network Firewall представляет собой набор правил, заданных пользователем. Пользователь может настраивать выражение, порядок и действия этих правил.

Кроме того, пользователи могут добавить правило в этой пользовательской фазе, чтобы переопределить поведение правила в управляемой фазе.

Наборы правил фазы Managed обновляются и поддерживаются компанией Cloudflare: она создаёт эти правила на основе лучших практик, известных вредоносных паттернов и других критериев.

Cloudflare управляет выражениями и порядком выполнения правил на фазе Managed. Правила можно включать, отключать или настраивать так, чтобы они регистрировали совпадающие пакеты.

См. Включить управляемые наборы правил, где это описано подробнее.