← Cloudflare Network Firewall / cloudflare-network-firewall / how-to

Добавьте пользовательские политики

По умолчанию можно создать не более 200 политик. Чтобы упростить управление политиками, рекомендуем создавать списки IP-адресов и ссылаться на них внутри политик.

1. В Cloudflare One ↗ панель управления, перейдите в Политики Firewall > Пользовательские политики.
2. Выберите Добавление политики.
3. Заполните информацию для новой политики. Все существующие политики применяются к IPv4. Вы можете использовать управляемый Список IP-адресов ↗ при заполнении Значение.
4. Когда закончите, выберите Добавить новую политику.

Когда вы добавляете новую политику, она Включено по умолчанию.

Чтобы создать Отключено политику, выполните действия, описанные в Добавление политики выше и переключите Включено в положение off. Пока политика находится в отключенном состоянии, она не будет выполнять действие, пока не будет установлено значение Включено.

Чтобы отключить существующую политику, на Пользовательские политики вкладке задайте Включено переключатель в положение «выкл».

1. В Cloudflare One ↗ панель управления, перейдите в Политики Firewall > Пользовательские политики.
2. Найдите политику, которую хотите изменить, и выберите три точки > Изменить.
3. Обновите политику со своими изменениями и выберите Save.

1. Найдите в списке политику, которую хотите удалить.
2. В конце строки выберите Удалить.
3. Выберите Удалить снова, чтобы подтвердить удаление.

Ниже вы найдете примеры использования API для выполнения определенных действий.

Приведённый ниже пример блокирует все TCP-порты, кроме одного (8080) с помощью действия skip.

curl https://api.cloudflare.com/client/v4/accounts/{account_id}/rulesets \
--header "Authorization: Bearer <API_TOKEN>" \
--header "Content-Type: application/json" \
--data '{
  "name": "Example ruleset",
  "kind": "root",
  "phase": "magic_transit",
  "description": "Example ruleset description",
  "rules": [
    {
      "action": "skip",
      "action_parameters": { "ruleset": "current" },
      "expression": "tcp.dstport in { 8080 } ",
      "description": "Allow port 8080"
    },
    {
      "action": "block",
      "expression": "tcp.dstport in { 1..65535 }",
      "description": "Block all TCP ports"
    }
  ]
}'

Приведённый ниже пример блокирует все пакеты, у которых IP-адрес источника или назначения относится к Бразилии, используя её двухбуквенный код страны в ISO 3166-1 Alpha 2 ↗ формате.

curl https://api.cloudflare.com/client/v4/accounts/{account_id}/rulesets \
--header "Authorization: Bearer <API_TOKEN>" \
--header "Content-Type: application/json" \
--data '{
  "name": "Example ruleset",
  "kind": "root",
  "phase": "magic_transit",
  "description": "Example ruleset description",
  "rules": [
    {
      "action": "block",
      "expression": "ip.src.country == \"BR\"",
      "description": "Block traffic from Brazil"
    }
  ]
}'

Cloudflare Network Firewall поддерживает использование списков в выражениях для ip.src и ip.dst поля. Поддерживаемые списки:

• $cf.anonymizer: Анонимизирующие прокси-серверы
• $cf.botnetcc: Канал управления и контроля ботнета
• $cf.malware: Источники вредоносного ПО
• $<IP_LIST_NAME>: Имя списка IP-адресов на уровне аккаунта

curl https://api.cloudflare.com/client/v4/accounts/{account_id}/rulesets \
--header "Authorization: Bearer <API_TOKEN>" \
--header "Content-Type: application/json" \
--data '{
  "name": "Example ruleset",
  "kind": "root",
  "phase": "magic_transit",
  "description": "Example ruleset description",
  "rules": [
    {
      "action": "block",
      "expression": "ip.src in $cf.anonymizer",
      "description": "Block traffic from anonymizer proxies"
    }
  ]
}'