← Cloudflare Network Firewall / cloudflare-network-firewall / how-to

Включите Managed Rulesets

С управляемые наборы правил, вы можете быстро развернуть правила, которые поддерживает Cloudflare, а также использовать Cloudflare Network Firewall (ранее Magic Firewall), чтобы управлять тем, какие правила включены.

Чтобы включить или отключить правило, укажите, какие свойства нужно переопределить. Переопределения применяются в фазе Managed, в наборе правил типа root. В настоящее время в наборе правил типа root может быть только одно правило, но это правило может содержать несколько переопределений.

Существует несколько способов включения правил:

Выберите отдельное правило и включите его.
Включите несколько правил, включив их по категориям в magic-transit-phase.
Включите весь набор правил.

API

1. Создайте Managed phase Managed kind ruleset

Чтобы создать управляемый набор правил, сначала сформируйте запрос со следующими параметрами:

managed_ruleset_id: ID управляемого набора правил в управляемой фазе, который содержит правило, которое вы хотите включить.
managed_rule_id: ID правила, которое требуется включить.

Кроме того, вам понадобятся свойства, которые нужно переопределить. К переопределяемым свойствам относятся:

enabled: Это значение можно установить на true или false. Если задано значение true, правило соответствует пакетам и применяет действие по умолчанию для правила, если действие не переопределено. При значении false, правило отключено и не соответствует ни одному пакету.
action: Значение можно установить на log чтобы правило только создавало записи в журнале, а не применяло действие по умолчанию.

enabled и action свойства правила задаются в наборе правил фазы Managed типа Managed. В настоящее время все правила фазы Managed по умолчанию отключены.

Приведённый ниже пример содержит запрос набора правил Managed Kind для фазы Managed phase.

Пример запроса: создание Managed phase Managed Kind ruleset

curl https://api.cloudflare.com/client/v4/accounts/{account_id}/rulesets
--header "Authorization: Bearer <API_TOKEN>" \
--header "Content-Type: application/json" \
--data '{
  "name": "execute ruleset",
  "description": "Ruleset containing execute rules",
  "kind": "root",
  "phase": "magic_transit_managed",
  "rules": [
    {
      "expression": "true",
      "action": "execute",
      "description": "Enable one rule ",
      "action_parameters": {
        "id": "<MANAGED_RULESET_ID>",
        "version": "latest",
        "overrides": {
          "rules": [
            {
              "id": "<MANAGED_RULE_ID>",
              "enabled": true,
              "action": "log"
            }
          ]
        }
      }
    }
  ]
}'

2. Измените Managed phase Managed kind ruleset

Чтобы гарантировать, что в наборе правил типа root находится только одно правило, примените PATCH к правилу, чтобы включить новые управляемые правила.

На основе примера из предыдущего шага следующий пример показывает, как категория может выбирать несколько правил вместо одного. Для категории будет установлено значение log режиме, что означает, что правило может создавать журналы, но не принимает и не отбрасывает пакеты.

Пример запроса: изменение Managed phase Managed kind ruleset

curl --request PATCH \
https://api.cloudflare.com/client/v4/accounts/{account_id}/rulesets/{root_kind_ruleset}/rules/{root_kind_rule} \
--header "Authorization: Bearer <API_TOKEN>" \
--header "Content-Type: application/json" \
--data '{
  "expression": "true",
  "action": "execute",
  "action_parameters": {
    "id": "<MANAGED_RULESET_ID>",
    "version": "latest",
    "overrides": {
      "rules": [
        {
          "id": "<MANAGED_RULE_ID>",
          "enabled": true
        }
      ],
      "categories": [
        {
          "category": "simple",
          "enabled": true,
          "action": "log"
        }
      ]
    }
  }
}'

3. Включите все правила

Чтобы включить полный набор правил или все правила, отправьте запрос ниже.

Пример запроса для включения всех правил

curl --request PATCH \
https://api.cloudflare.com/client/v4/accounts/{account_id}{account_id}/rulesets/{root_kind_ruleset}/rules/{root_kind_rule} \
--header "Authorization: Bearer <API_TOKEN>" \
--header "Content-Type: application/json" \
--data '{
  "expression": "true",
  "action": "execute",
  "action_parameters": {
    "id": "<MANAGED_RULESET_ID>",
    "version": "latest",
    "overrides": {
      "enabled": true
    }
  }
}'

4. Удалите набор правил

Чтобы удалить набор правил, обратитесь к Удалите правило в наборе правил.

Панель управления Cloudflare

Управляемые наборы правил также можно включить через панель управления.

На панели управления Cloudflare перейдите к разделу Политики межсетевого экрана ↗ страницу.
В Управляемые наборы правил вкладке выберите Развёртывание управляемого набора правил.
Страница обновится и покажет наборы правил, настроенные Cloudflare и доступные для вашей учётной записи. Выберите нужный набор правил с помощью Управление. Если нужный набор правил не отображается, обратитесь к менеджеру по работе с клиентами, чтобы получить список всех управляемых наборов правил Network Firewall.
В разделе Настройка набора правил, настройте Действие набора правил из выпадающего меню. Cloudflare рекомендует изменить это значение на Log чтобы оценить, как набор правил влияет на ваш трафик, прежде чем принять решение о действии. Дополнительную информацию см. в Переопределение управляемого набора правил.
Ещё под Настройка набора правил, выберите Включено из выпадающего меню для Статус набора правил. Это применит переопределение статуса по умолчанию для всех правил набора правил.
Выберите Save чтобы развернуть управляемый набор правил Network Firewall без переопределений на уровне правил.

Добавьте переопределения на уровне правил

Переопределение на уровне правила позволяет настроить поведение управляемого набора правил. Если вы применили указанную выше рекомендацию Cloudflare по конфигурации набора правил, для правил будет задан Log действие и Включено статус.

Если же на предыдущем шаге вы не воспользовались рекомендацией Cloudflare, набор правил применяется со всеми настройками по умолчанию.

Чтобы добавить переопределения на уровне правила в панели управления:

На панели управления Cloudflare перейдите к разделу Политики межсетевого экрана ↗ страницу.
В Управляемые наборы правил вкладке найдите управляемый набор правил Network Firewall, для которого нужно добавить переопределения правил, и выберите Управление.
Выберите Browse rules.
В правиле, которое нужно изменить, выберите значение Действие из выпадающего меню, чтобы изменить действие, или используйте переключатель, чтобы отключить или включить правило.
Выберите Далее.
Выберите Save.

Теперь в панели управления Cloudflare должно отображаться заданное вами переопределение на уровне правила.

Удалите управляемый набор правил Network Firewall

На панели управления Cloudflare перейдите к разделу Политики межсетевого экрана ↗ страницу.
В Управляемые наборы правил вкладке найдите управляемый набор правил Network Firewall, который нужно удалить, и выберите Управление.
Выберите Удаление развертывания.

Управляемый набор правил Cloudflare Network Firewall удалён.