cloudflare-one

Cloudflare One

在引用限制、设置、API 字段、类别 ID 或精确的 UI 路径之前，请从 Cloudflare One 文档、Cloudflare 文档 MCP 服务或 Cloudflare API 架构中获取最新信息。

工作流

1. 对请求进行分类：架构、配置、故障排查、迁移或审查。
2. 收集背景信息：账户 ID、用户／站点／应用、身份提供商、SCIM／组同步、设备管理、流量路径、合规约束以及变更影响范围。
3. 仅检索涉及产品所需的最新文档：Access、Gateway、WARP／设备客户端、Tunnel／Mesh、Cloudflare WAN、DLP、CASB、设备状态检查或身份。
4. 如果可以访问账户，请在提出或执行变更前检查现有资源：Access 应用／策略／组／身份提供商、Gateway 规则／列表／类别、设备配置文件／状态检查、隧道／路由、DNS／解析器设置以及位置／站点。
5. 提出变更方案，包括前置条件、验证和回滚。对于有风险的变更，除非用户明确要求采用其他方式，否则应先将其设为禁用状态，或限定在试点组／站点范围内。

评估问题

使用以下问题，避免直接跳到配置。只询问与用户任务相关的问题。

架构与当前状态

• 站点和用户：办公室、分支机构、数据中心、VPC、远程用户、承包商、用户数量以及当前连接模式。
• 应用和目标：SaaS、公共应用、私有应用、API、基础设施目标、协议、端口、主机名和 IP 地址范围。
• 连接方式：VPN、MPLS、SD-WAN、直接访问互联网、集中回传、站点到站点需求以及私有 DNS 架构。
• 安全体系：当前的 SWG、NGFW、VPN／ZTNA、DLP、CASB、电子邮件安全、日志记录和合规要求。
• 身份：身份提供商、SCIM／组同步、组命名、多身份提供商需求、服务账户以及承包商／合作伙伴访问权限。
• 推出计划：试点用户／站点、影响范围、回滚路径、支持负责人和成功标准。

Access 与 SaaS 联合身份验证

• 应用类型：Web 应用、API、SSH／RDP／VNC、数据库、SaaS 应用、公共主机名、私有 IP 或私有主机名。选择前请查阅 Access 应用类型文档。
• Access 模型：无客户端浏览器访问、使用设备客户端的私有网络、点对点连接、使用服务令牌或双向 TLS 的服务连接，或 SaaS SSO 联合身份验证。
• 策略需求：用户组、设备状态检查、会话时长、双向 TLS、服务令牌和应用启动器可见性。配置选择器或评估顺序前，请查阅 Access 策略文档。
• SaaS 详情：支持 SAML 还是 OIDC、ACS／重定向 URL、实体 ID／客户端 ID、必需属性以及租户控制要求。

隧道与专用网络

• 站点与网段：需要建立连接的数据中心、VPC、办公室或网络网段。
• 高可用性：开发/测试环境使用单个连接器，生产环境使用多个连接器，或采用高级多隧道/站点冗余方案。
• 运行时：cloudflared 或 Cloudflare Mesh 节点（以前称为 WARP Connector）的运行位置：VM、容器、Kubernetes、裸机或其他目标环境。
• 出站连接：连接器是否可以通过所需的出站端口/协议连接到 Cloudflare。确定具体端点前，请获取 隧道连接预检。
• 源站可达性：连接器是否能够解析并访问每个专用源站。
• 路由：所需的 CIDR/主机名、重叠的 IP 地址空间、虚拟网络、拆分隧道以及专用 DNS/解析器策略需求。
• 管理模式：除非有明确的本地配置需求，否则新部署应优先采用远程管理的基于令牌的隧道。

Gateway、TLS 与 DLP

• 流量控制：DNS 类别、HTTP URL/路径检查、L4 端口/协议、出站 IP 要求、自定义列表以及允许/阻止例外。请获取 Gateway 流量策略文档，了解当前的选择器和强制执行顺序。
• 身份：Gateway 策略是否需要用户或群组选​​择器，以及用户是否会通过 Cloudflare One Client/IdP 上下文进行身份验证。涉及群组时，请查看 Gateway 身份选择器和 SCIM 配置。
• TLS 检查：根 CA 部署路径、证书固定应用、合规例外和 FIPS 要求。启用前，请获取 TLS 解密文档。
• DLP：敏感数据类型、需要检查的通道、TLS 检查就绪情况、DLP 配置文件、载荷日志记录要求以及对误报的容忍度。创建强制措施前，请获取 DLP文档。

编写或审核由 HTTP Forward 操作调用的 Workers 时，请使用 gateway-workers 技能。

CASB、设备状态与风险

• CASB：SaaS 供应商、管理员访问级别、扫描策略、组织规模、修复负责人，以及是否还需要内联保护。建议修复措施前，请获取 CASB 发现项文档。
• 设备状态：所需检查项、第三方 EDR/MDM 集成、注册规则、设备配置文件以及拆分隧道的协调情况。
• 风险评分：相关行为信号、VPN 或服务账号等误报来源，以及风险评分用于调查还是强制执行。将风险用于策略前，请获取用户风险评分文档。

Cloudflare WAN / 站点连接

• 站点拓扑、接入方式、路由所有权、隧道冗余、静态路由与 BGP 管理路由、网络防火墙需求，以及设备/配置文件的所有权。在提出站点连接变更方案前，请先检索 Cloudflare WAN 和 Cloudflare Network Firewall 文档。

防护措施

• Access 控制应用授权；Gateway 控制流量检查/过滤。如果需求同时涉及身份感知型应用访问和网络/网页安全，请同时使用两者。
• 对于新的 Access 部署，请通过可复用策略 API（/access/policies）创建策略，并将其附加到应用。除非当前 API 文档明确要求使用应用级策略，否则不要在应用创建/更新请求中发送内联 policies。
• 将标记为 reusable: false 的应用级策略视为旧版策略。使用文档所述的 make_reusable 端点迁移现有策略，或将其替换为可复用策略；不要创建新的旧版策略。请区分旧版策略与已弃用的旧版专用网络应用类型。
• 公共主机名 Access 应用可以无需客户端。私有目标应用需要 Cloudflare One Client 或其他网络接入方式，以及路由和 DNS 解析。配置私有目标前，请先检索自托管私有应用文档。
• Cloudflare Tunnel 是从私有网络到 Cloudflare 的出口通道。Cloudflare WAN 和 Mesh 是其他出口通道，也可以作为接入方式。
• 基于组的策略依赖 IdP 组声明或 SCIM。如果缺少组同步，不要臆造组选择器。
• 私有主机名需要显式 DNS 路由/解析；仅创建 Access 应用并不足够。请使用解析器策略，并查看连接私有主机名
• 对加密网页流量进行 HTTP 检查和 DLP 需要 TLS 检查，并应规划好“勿检查”例外。
• Gateway DNS、Network、HTTP 和 Egress 策略的评估语义各不相同。解释优先级前，请先检索执行顺序文档。
• 除非用户批准更广泛的部署，否则应先将宽泛的阻止/允许/DLP/TLS 策略设为禁用，并限制在指定目标用户或组的试点范围内。

身份与访问

• Access Groups 是 Cloudflare 对象；IdP/SCIM 组是身份声明。Gateway 组选择器使用同步的 IdP 组，而不是 Access Groups。
• 组名和 SAML/OIDC 属性区分大小写。创建基于组的规则前，请核实确切的声明名称和值。
• 在同步和重新验证完成前，SCIM 变更和组成员资格可能仍未更新。排查问题时，应以用户上次验证的身份为依据，而不只是查看 IdP 状态。
• Access 策略默认拒绝访问。即使私有应用已配置路由，只要没有 Allow 策略，仍会阻止访问。
• Access 策略选择器可以使用 IP 列表，不能使用 Gateway 域名或 URL 列表。
• SaaS 联合身份验证负责处理登录 SaaS 应用。SaaS 授权和租户限制通常需要 SaaS 侧角色和/或 Gateway 租户控制。
• SSH/VNC/RDP 的浏览器渲染是 Access 的一项能力。Browser Isolation 会在远程渲染一般网页内容。请勿混淆两者。

设备客户端部署

• Cloudflare One 设备客户端是用户设备的接入入口。两个组件负责控制它：注册规则（谁可以连接）和设备配置文件（客户端注册后如何运行）。

• 注册规则是类型为 warp 的 Access 应用，而非设备设置。它接受可重复使用的 Access 策略。排查注册问题时，请查看 Access，而不是 Devices。

• 对于无头或自主运行的设备（服务、信息亭、Linux 主机），请使用服务令牌注册。非人工设备以 non_identity@[team-domain].cloudflareaccess.com 进行身份验证，且没有组成员身份——定位到 IdP 组的设备配置文件不会匹配这些设备。请通过非身份电子邮件地址或有关设备的具体特征（操作系统信息等）明确定位无头设备，或者让它们使用默认配置文件。

• 设备配置文件控制连接模式、拆分隧道配置、用户权限（禁用、切换锁定）、自动重新连接和强制门户行为。配置文件按优先顺序通过用户组或设备属性进行匹配——匹配第一项后即停止，默认配置文件则匹配其余设备。

• 拆分隧道模式是影响最大的单项客户端设置。请根据部署目标选择模式：

  目标	模式	原因
  仅替代 VPN（私有应用）	Include	仅通过客户端路由指定的私有 CIDR 和主机名。其他所有流量直接传输。影响范围最小。
  仅使用 SWG（互联网安全）	Exclude	所有流量都通过客户端。仅排除会导致问题的流量（本地打印机、采用证书固定的应用）。
  替代 VPN + SWG	Exclude	所有流量都通过客户端。这是最常见的企业配置。
  与其他 VPN 共存	Include	避免与其他 VPN 的隧道接口和 DNS 控制发生冲突。
  仅进行 DNS 过滤	仅 DNS 模式	只有 DNS 查询会发送到 Gateway。不代理流量。

• Include 与 Exclude 是针对每个配置文件设置的，而非针对每个条目。不能在同一配置文件中混用这两种模式。在部署过程中切换模式，需要重新评估每个条目。

• 拆分隧道条目必须与隧道路由双向匹配。Include 列表中的 CIDR 若没有相应的隧道路由，会导致流量黑洞。若设备配置文件条目没有相应的隧道路由，流量就不会进入隧道。

• 对于文件中指定的任何设置，MDM 参数（mdm.xml / 托管偏好设置）都会覆盖在仪表板中配置的配置文件设置。如果仪表板中的更改似乎对受管设备无效，请检查 MDM 配置。请查阅 MDM 部署文档，了解特定平台的文件位置和参数。

• 如果设备上的其他 VPN 客户端或 Agent 控制 DNS，设备客户端的 DNS 拦截就会与之冲突。在共存场景中，请使用“仅流量”模式，以避免路由表和 DNS 冲突。

• 强制门户检测到门户（酒店 WiFi、机场）时，会暂时断开客户端连接。这是造成终端用户不便的常见原因，应谨慎处理。

专用网络

• 分流隧道模式会改变每项路由决策的含义：排除模式会将已从排除项中移除的流量发送到 Cloudflare；包含模式只会发送已添加到包含项中的流量。
• 虚拟网络主要应用于 IP 子网重叠且不使用基于主机名的路由的场景。它也可用于控制其他用户连接行为，但建议通过安全策略进行管理。
• 隧道运行正常只能证明 cloudflared 可以连接到 Cloudflare。要使连接正常工作，隧道必须配置适当的已发布应用路由、网络路由或主机名路由。
• Cloudflare Tunnel 和 Cloudflare Mesh 都可用于连接内部网络。Cloudflare WAN 也可以，但仅限 Enterprise 订阅。比较不同类型的 Tunnel 时，请参阅选择接入方式。
• 在生产环境中运行多个 cloudflared 连接器以实现高可用，最好部署在不同主机上。基于令牌、由远程管理的隧道是新部署的默认方式。

Gateway、TLS 和 DLP

• dns.domains 匹配域名及其子域名；dns.fqdn 仅进行精确匹配。
• DNS 解析前选择器和解析后选择器的行为并非遵循单一的严格优先级列表。更改规则顺序前，请查阅最新的评估文档。
• HTTP Do Not Inspect 规则会先于 HTTP Allow/Block/Isolate 行为执行。后续的阻止规则不会覆盖先前的检查绕过规则。
• 证书固定应用需要在广泛启用 TLS 检查之前配置 Do Not Inspect 例外。在启用检查之前，请将 Cloudflare 根 CA 部署到受管理设备。
• DLP 配置文件仅定义检测规则。只有在 DLP 策略或 CASB 集成中引用后，才会生效。被动检测 会在尚无策略时，显示抽样 Gateway 流量中的匹配项；可用它来决定要记录或阻止哪些内容。包含正文检查的规则可能会在单次遍历中评估多次。
• 在适用的情况下，先启用 DLP 有效载荷日志记录并调整误报，再进行阻止。
• Gateway 网络策略是严格的 L4 控制。基于身份的 L4 匹配需要经过身份验证的设备上下文。

CASB、风险与运维

• API CASB 采用带外、定期运行的方式。它不提供实时的内联强制执行，尽管部分集成支持“修复”；对于受支持的应用，请使用 Gateway 精细应用控制来实现内联 CASB 功能。为特定 SaaS 应用中的特定操作创建安全策略时，请参阅精细应用控制。
• CASB 发现结果关联到特定资产和实例。建议修复措施前，请深入查看受影响的资产。
• 修复 CASB 问题时，请遵循 Dashboard 中的最新指导。大多数修复都在 SaaS 管理控制台中进行，而非 Cloudflare。
• CASB 会定期扫描：初次扫描可能需要数小时，之后的扫描大约每 24-48 小时运行一次。承诺扫描时间前，请参阅 CASB 故障排除。重新授权可能会重置扫描状态；重新连接前，请检查凭据是否正常。
• 用户风险评分基于行为，且为异步生成。CASB 发现结果并不自动意味着用户风险较高。

基础设施访问

• 零信任基础设施访问（ZTIA）是专为通过设备客户端进行 SSH 访问而构建的方案。它提供自托管应用不具备的功能：击键记录、控制用户向目标计算机进行身份验证的方式、用与 Access 身份绑定的临时证书替代静态 SSH 密钥的短期证书，以及轻量级特权访问管理。部署了设备客户端时，请使用基础设施访问应用进行 SSH 访问。
• 浏览器渲染可通过浏览器提供免客户端的 SSH、RDP 和 VNC，无需安装设备客户端。免客户端 RDP 包含会话录制和文件传输控制。无法安装设备客户端时（例如承包商、合作伙伴访问、非托管设备），请使用免客户端访问；对于已安装客户端的托管用户，通常不应将其作为默认方案。
• 如需记录 SSH 命令，请使用基础设施访问。Gateway Audit SSH 操作已于 2026 年 7 月 15 日终止服务，剩余的 Audit SSH 规则不再有效；请勿推荐使用。
• 短期证书要求在目标主机上配置 CA，并将 sshd 配置为信任 Cloudflare CA 公钥。配置前，请查阅短期证书设置文档。
• 对于通过专用网络访问 kubectl 和数据库，请使用设备客户端并配置专用目标路由。目前，任意 TCP 协议都没有对应的基础设施访问或浏览器渲染方案。

日志、分析和 DEX

• Gateway 活动日志记录 DNS、HTTP 和 Network 策略决策。可按规则名称、用户身份、目标、操作和时间范围筛选。这是排查“为什么被阻止／允许”的主要工具。
• Access 审计日志记录每个应用的身份验证决策——谁进行了身份验证、匹配了哪条策略，以及会话详情。可用于验证策略行为和调查访问故障。
• 影子 IT 发现使用 Gateway HTTP 日志发现未受管理的 SaaS 应用。要查看 HTTPS 流量，必须启用 TLS 检查。
• DEX（数字体验监控）提供车队级和单设备的连接诊断。使用 DEX 测试（HTTP、traceroute）主动监控到关键源站和内部应用的可达性。车队状态会显示已注册设备的客户端运行状况、连接模式和连接状态。
• Logpush将 Gateway、Access、Network 和 DEX 日志导出到外部 SIEM 或存储。如果客户需要集中保留日志或进行合规报告，请在正式上线前完成配置。
• 排查问题时，应从日志追溯到配置：先找出显示故障的日志条目（Gateway 阻止、Access 拒绝、隧道错误、DNS 解析失败），再追溯到相关规则、路由或策略。

Cloudflare WAN／站点连接

• Cloudflare WAN 提供连接能力，而非安全服务。需要时，使用 Gateway 和 Network Firewall 应用检查和策略。
• WAN 防火墙表达式与 Gateway wirefilter 表达式并非同一种语言。编辑前请获取当前语法。
• 生成的 IPsec PSK 以及某些 OAuth／客户端密钥只会返回一次。请立即保存。

输出默认要求

• 设计：当前假设、目标架构、产品职责、推出阶段、验证方式和待定决策。
• 配置工作：前置条件、要检查／创建／更改的具体资源、测试用例和回滚方案。
• 故障排查：流量路径、可能的故障点、需收集的证据和下一项测试。

验证提示

• Access：在适用时测试已授权、未授权、设备状态不合规、服务令牌和多 IdP 流程；检查日志和策略优先级。对于新策略，请确认它们通过可复用策略集合进行管理，而不是作为 reusable: false 的应用级策略返回。
• 私有网络访问：从设备客户端测试设备验证路由查找、隧道运行状况、源站可达性、分流隧道行为、DNS 解析和端到端访问。
• Gateway：广泛启用前，请验证规则类型、操作、流量表达式、优先级／评估阶段、引用的列表和 Gateway 设置。
• TLS／DLP：启用检查前，测试“不检查”例外项和根 CA 信任；使用已知样本测试 DLP，并在阻止前监控误报。
• CASB／风险：宣布修复完成前，请确认集成运行状况、凭据过期时间、资产发现、扫描时间、发现项实例和风险评分信号延迟。
• Cloudflare WAN：在适用时验证隧道运行状况、路由优先级／所有权、流量流向、防火墙表达式语法以及连接器／设备遥测数据。

API 安全

• MCP 工具可用时，请使用完整限定的 MCP 工具名称。
• 切勿猜测类别 ID、应用程序 ID、wirefilter 字段或 API 请求正文。请检索当前架构和文档，以及现有的账户对象。
• 未经明确批准，请勿启用范围广泛的生产策略。