← Data Localization Suite / data-localization / how-to

Zero Trust

В следующих разделах описано, как настроить продукты Zero Trust вместе с Data Localization Suite, включая то, какие функции поддерживают Regional Services и Customer Metadata Boundary.

Regional Services можно использовать с Gateway во всех поддерживаемые регионы. Учтите, что Regional Services применяются только при использовании Cloudflare One Client в режиме Traffic and DNS.

Клиенты с планом Enterprise могут приобрести выделенный исходящий IP-адрес (IPv4 и IPv6) или диапазон IP-адресов, географически привязанных к одной или нескольким сетевым точкам Cloudflare. Благодаря этому ваш исходящий трафик может определяться как находящийся в городе, выбранном в вашей Политики Egress.

Zero Trust выделенные исходящие IP-адреса определяют IP-адреса, которые используются для трафика WARP и Gateway при выходе из Cloudflare в интернет. Они отличаются от Dedicated CDN Egress IPs, которые определяют IP адреса, используемые Cloudflare CDN при подключении к вашему источнику. Для гарантированной геолокации исходящих IP адресов от Cloudflare CDN к вашему источнику см. Кеш руководство.

В рамках Regional Services Cloudflare Gateway выполняет только Расшифровка TLS при использовании Cloudflare One Client (в стандартном Режим Traffic and DNS).

Вы можете регистрировать полезную нагрузку запросов, соответствующих правилам DLP и зашифруйте их своим открытым ключом, чтобы впоследствии их могли просмотреть только вы.

Cloudflare не может расшифровать зашифрованные данные.

Regional Services определяет, где Cloudflare расшифровывает трафик. Поскольку большая часть DNS-трафика не зашифрована, Gateway DNS (фильтрацию доменных имён) невозможно регионализировать с помощью Regional Services.

См. Настройки Cloudflare One Client раздел ниже, где приведена дополнительная информация.

Вы можете использование собственного сертификата в Gateway, но их пока нельзя ограничить конкретным регионом.

По умолчанию Cloudflare хранит и доставляет журналы из дата-центров по всей своей глобальной сети. Чтобы сохранить региональный контроль над своими данными, вы можете использовать Customer Metadata Boundary и ограничить хранение данных конкретным географическим регионом. Дополнительные сведения см. в разделе о Поддерживаемые наборы данных Logpush.

У клиентов также есть возможность уменьшить объем логов, которые хранит Cloudflare:

• Вы можете исключить PII из журналов
• Вы можете отключить логирование или регистрировать только заблокированные запросы.

Чтобы проверить, что ваша региональная карта применяется правильно, проверьте IngressColoName поле в Zero Trust Network Session logs. В этом поле отображается название дата-центра Cloudflare, через который трафик поступил в сеть. Поскольку регионализация применяется до Gateway, дата-центр входа будет находиться в пределах настроенной региональной карты, что подтверждает, что трафик обрабатывается в нужном регионе.

Чтобы все запросы обратного прокси для приложений, защищённых Cloudflare Access, выполнялись только в дата-центрах, соответствующих FedRAMP, используйте Regional Services с регионом, настроенным на FedRAMP.

--region параметр в cloudflared управляет тем, где коннектор туннеля устанавливает соединение с Cloudflare. Эта настройка отделена от Regional Services, которая определяет, где расшифровывается и обрабатывается трафик пользователей.

Для публичных хостов, обслуживаемых через туннель, Regional Services настраивается на уровне записи DNS. Регион коннектора туннеля и регион Regional Services работают независимо друг от друга.

Вы можете использовать настройку WARP Local Domain Fallback чтобы использовать частный DNS-резолвер, которым вы можете управлять самостоятельно.

Split Tunnels позволяют выбирать, какие IP-адреса, диапазоны адресов и (или) домены будут направляться через Cloudflare или исключаться из маршрутизации через Cloudflare.