← Data Localization Suite / data-localization

Regional Services

Regional Services позволяет учитывать региональные ограничения, выбирая, какое подмножество центров обработки данных расшифровывает и обслуживает HTTPS-трафик.

Regional Services принимает и обрабатывает трафик в пределах назначенных регионов для клиентов, которым необходимо соответствовать региональным требованиям соответствия или которые хотят сохранять региональный контроль над своими данными. Примеры сценариев использования включают учёт региональных ограничений, таких как GDPR ↗ (Общий регламент по защите данных), либо для соблюдения договорных обязательств перед клиентами, которые включают географические ограничения на потоки данных или их обработку.

При использовании Regional Services завершение TLS-соединения (момент, когда зашифрованный HTTPS-трафик расшифровывается, чтобы Cloudflare мог проверить его и применить ваши правила безопасности) происходит только внутри настроенного региона. Например, если хост настроен на регионализацию в Европейский союз (EU), любой HTTPS-запрос из США (US) будет переслан в зашифрованном виде в дата-центр EU, прежде чем будет расшифрован.

Глобальное управление трафиком

Regional Services принимает трафик в любом центре обработки данных Cloudflare по всему миру и применяет Защита от DDoS на уровнях L3/L4 : защита на сетевом и транспортном уровнях, которая блокирует объёмные атаки без расшифровки содержимого трафика. При этом функции безопасности, производительности и надёжности, которым требуется доступ к расшифрованному трафику, применяются только в локациях Cloudflare внутри региона.

Regional Services обеспечивает работу всех перечисленных ниже сервисов уровня приложений (и не только их) в пределах выбранного региона:

Сохранение и получение содержимого из Cache.
Блокировка вредоносных HTTP-запросов с помощью брандмауэра веб-приложений (WAF).
Обнаружение и блокировка подозрительной активности с помощью Bot Management.
Выполнение скриптов Cloudflare Workers.
Направление трафика через Load Balancing к оптимальным исходным серверам (или другим конечные точки).

Regional Services является решением для соответствия требованиям, а не оптимизацией производительности. В пределах настроенного региона Cloudflare направляет запросы в наиболее производительный центр обработки данных внутри региона (используя систему оценки, учитывающую доступные соединения, задержку и нагрузку), который не обязательно является ближайшим. См. Географическая маршрутизация трафика подробнее. Для географически больших регионов запросы могут обрабатываться в дата-центре, расположенном дальше, чем ближайший вариант внутри региона.

Пример потока запросов

Следующая диаграмма показывает упрощённый пример прохождения запроса от конечного пользователя, находящегося в США, к веб-сайту, использующему Cloudflare Regional Services со значением EU.

sequenceDiagram
    participant User in US as End user in US
    participant CloudflarePoPNYC as Closest data center <br> in US
    participant CloudflarePoPDUB as Data center in EU
    participant EUOriginServer as Origin Server

    User in US->>CloudflarePoPNYC: TCP connection
    Note right of User in US: TLS encryption
    Note left of CloudflarePoPNYC: TCP connection<br> (no TLS unwrapping)
    Note right of CloudflarePoPNYC: L3 DDoS protection
    CloudflarePoPNYC-->>CloudflarePoPDUB: Forwards<br> encrypted request
    Note right of CloudflarePoPDUB: TLS termination (decryption)
    Note right of CloudflarePoPDUB: Applies security<br> and performance features<br> (for example, WAF, Configuration Rules, <br>Load Balancing)
    Note right of CloudflarePoPDUB: TLS encryption
    CloudflarePoPDUB-->>EUOriginServer: Requests content
    EUOriginServer-->>CloudflarePoPDUB: Response content
    Note right of CloudflarePoPDUB: TLS termination (decryption)
    Note right of CloudflarePoPDUB: Caches eligible static content<br> (on encrypted disks)
    Note right of CloudflarePoPDUB: TLS encryption
    CloudflarePoPDUB->>User in US: Forwards response with content

Поведение исходящего трафика и входящие IP-адреса

Regional Services определяет, где трафик принимается и обрабатывается (расшифровывается), а не то, где он выходит к вашему источнику. Исходящие IP-адреса к источнику являются локальными IP-адресами площадки из центра обработки данных внутри региона, где обрабатывался запрос. Если вам нужна гарантированная геолокация исходящих IP-адресов или внесение источника в список разрешённых, используйте Dedicated CDN Egress IPs в дополнение к Regional Services.

Если для Regional Hostnames используются общие входящие IP-адреса Cloudflare, сторонние поставщики геолокации по IP-адресу могут определять местоположение, не совпадающее с настроенным вами регионом (чаще всего это Соединённые Штаты). Это ограничение адресации с общими IP-адресами, оно не влияет на то, где фактически расшифровывается и обрабатывается ваш трафик.

Способы использования Regional Services

Regional Services регионализирует трафик с помощью нескольких механизмов, в зависимости от того, как ваш трафик попадает в Cloudflare. Большинство клиентов использует только один из них:

Региональные имена хостов : регионализация проксируемых хостов. Вы назначаете регион хосту через Regional Hostnames API или через панель управления, и Cloudflare направляет трафик для этого хостнейма в дата-центры внутри региона. Это самый распространённый вариант, доступный всем. Чтобы настроить его, см. Региональные имена хостов.
Регионализированные приложения Spectrum : регионализируйте Spectrum приложения HTTP/S. Приложения Spectrum используют отдельный механизм регионализации, отличный от API Regional Hostnames, и работают как с Spectrum Static IPs и Использование собственного IP (BYOIP). Инструкции по настройке см. в Регионализированные приложения Spectrum.
Регионализированные привязки IP : Привяжите BYOIP префикс к региону, чтобы трафик, предназначенный для этих IP-адресов, обрабатывался внутри региона. Поскольку привязки управляются через API в виде address maps, этот вариант хорошо подходит для широких конфигураций (целых префиксов, зон или аккаунтов) и полностью доступен для самостоятельной настройки после включения соответствующих прав доступа. Для этого варианта требуются права доступа Regional Services и Regional Services for BYOIP. Чтобы настроить его, см. Регионализированные привязки IP.

В следующей таблице сравниваются три варианта, чтобы помочь вам выбрать:

Предложение	Принцип адресации трафика	Гранулярность	Статический IP / BYOIP	API	Доступность	Подходит для
Региональные имена хостов	Общие IP-адреса Cloudflare	На хост	Не поддерживается	Regional Hostnames API	GA	Большинство развёртываний; регионализация отдельных проксируемых хостов
Регионализированные приложения Spectrum	Выделенный IP через приложение Spectrum	На зону (все приложения Spectrum HTTP/S)	Статические IP и BYOIP	Spectrum API	GA	Трафик, адресуемый по IP, которому требуются Static IPs или BYOIP
Регионализированные привязки IP	Префикс BYOIP на уровне IP	На CIDR-блок или префикс IP-адресов (масштабируется до целых префиксов)	Только BYOIP	Data Localization Suite API	GA	Масштабная самостоятельная регионализация с помощью Address Maps

Все три варианта поддерживают управляемые регионы. Пользовательские регионы доступны для Regionalized Spectrum Applications и Regionalized IP Bindings, но не для Regional Hostnames.

Примечание об именовании

Раньше эти варианты обозначались номерами версий (Regional Services v1 и v2). Cloudflare отказывается от такой маркировки: номера версий создавали впечатление, что каждый следующий вариант заменяет предыдущий, хотя на самом деле это разные подходы со своими компромиссами. Ни один из них не является однозначно лучше остальных: правильный выбор зависит от того, как ваш трафик поступает в Cloudflare, и какую задачу вам нужно решить. Текущие названия описывают, что делает каждый вариант, чтобы вы могли выбрать нужный.

В следующей таблице текущие названия сопоставлены с терминами, которые вы могли встречать раньше:

Текущее имя	Ранее известно как	Доступность
Региональные имена хостов	Regional Services v2 (RSv2)	GA
Регионализированные приложения Spectrum	Regional Services v1 (RSv1)	GA
Регионализированные привязки IP	Regional Services for BYOIP, регионализированные карты адресов	GA

Начало работы

Настройка Regional Services выполняется одинаково независимо от выбранного варианта:

Убедитесь, что у вас есть необходимые права доступа. Regional Services является надстройкой уровня Enterprise. Свяжитесь с командой, отвечающей за ваш аккаунт, чтобы подтвердить наличие необходимых прав. Для некоторых опций действуют дополнительные требования: например, для Regionalized Spectrum Applications также нужен Spectrum, а для Regionalized IP Bindings также требуется разрешение Regional Services for BYOIP.
Выберите вариант, который соответствует тому, как ваш трафик попадает в Cloudflare. Используйте сравнительная таблица чтобы выбрать один из трёх вариантов.
Следуйте руководству по настройке для выбранного варианта.
Проверьте регионализацию. Убедитесь, что трафик обрабатывается в настроенном вами регионе. См. Проверить поведение Regional Services.

Доступность и SLA

Сведения о доступности и соглашениях об уровне обслуживания (SLA) приведены в вашем контракте Cloudflare Enterprise. Для конфигураций Regional Services, ограниченных одной страной (кроме США), в SLA Cloudflare предусмотрены отдельные исключения: поскольку трафик не может переключаться на дата-центры за пределами этой страны, автоматическое переключение при нехватке мощностей внутри страны не выполняется. Для регионов, охватывающих несколько стран (например, Европейский союз), как правило, действует стандартный SLA.

Дополнительная информация

Подробный список продуктов, совместимых с Regional Services, приведён в Совместимость продуктов Cloudflare страницу. Если вы приобрели эти продукты в рамках подписки Enterprise, Cloudflare будет завершать TLS-соединения для этих продуктов только в том географическом регионе, который вы настроили для Regional Services.