Cloudflare One 是做什么的？
在引用限制、设置、API字段、类别ID或精确的UI路径之前，请从Cloudflare One文档、Cloudflare文档MCP服务器或Cloudflare API模式中检索最新信息。
工作流程
- 对请求进行分类：架构、配置、故障排除、迁移或审查。
- 收集上下文：账户ID、用户/站点/应用程序、身份提供商、SCIM/组同步、设备管理、流量路径、合规约束和部署影响范围。
- 仅检索所涉及产品所需的当前文档：Access、Gateway、WARP/设备客户端、Tunnel/Mesh、Cloudflare WAN、DLP、CASB、设备状态或身份。
- 如果账户访问可用，在提出或进行更改之前检查现有资源：Access应用/策略/组/IdP、Gateway规则/列表/类别、设备配置文件/状态检查、隧道/路由、DNS/解析器设置以及位置/站点。
- 提出变更集，包括先决条件、验证和回滚。对于有风险的更改，除非用户明确要求，否则在禁用状态下或限制在试点组/站点范围内进行部署。
评估提示
使用以下提示以避免直接跳到配置。仅询问与用户任务相关的提示。
架构和当前状态
- 站点和用户：办公室、分支机构、数据中心、VPC、远程用户、承包商、用户数量以及当前连接模式。
- 应用程序和目标：SaaS、公共应用、私有应用、API、基础设施目标、协议、端口、主机名和IP范围。
- 连接：VPN、MPLS、SD-WAN、直接互联网出口、集中回程、站点到站点需求以及私有DNS架构。
- 安全栈：当前SWG、NGFW、VPN/ZTNA、DLP、CASB、电子邮件安全、日志记录和合规要求。
- 身份：IdP、SCIM/组同步、组命名、多IdP需求、服务账户以及承包商/合作伙伴访问。
- 部署：试点用户/站点、影响范围、回滚路径、支持负责人和成功标准。
Access和SaaS联合
- 应用形态：Web应用、API、SSH/RDP/VNC、数据库、SaaS应用、公共主机名、私有IP或私有主机名。在选择之前检索Access应用程序类型文档。
- 访问模型：无客户端浏览器访问、带有设备客户端的私有网络、点对点连接、带有服务令牌或相互TLS的服务连接，或SaaS SSO联合。
- 策略需求：用户组、设备状态、会话时长、mTLS、服务令牌和应用启动器可见性。在配置选择器或评估顺序之前检索Access策略文档。
- SaaS详细信息：SAML与OIDC支持、ACS/重定向URL、实体ID/客户端ID、所需属性以及租户控制要求。
隧道和私有网络
- 站点和段：哪些数据中心、VPC、办公室或网段需要连接。
- 高可用性：开发/测试单个连接器、生产环境多个连接器，或高级多隧道/站点冗余。
- 运行时：cloudflared或WARP Connector/Mesh将在何处运行：虚拟机、容器、Kubernetes、裸机或其他目标。
- 出口：连接器是否可以通过所需的出站端口/协议到达Cloudflare。在指定确切端点之前检索隧道连接预检查文档。
- 源可达性：连接器是否可以解析并到达每个私有源。
- 路由：所需的CIDR/主机名、重叠IP空间、虚拟网络、拆分隧道和私有DNS/解析器策略需求。
- 管理模式：对于新部署，除非有明显理由使用本地配置，否则优先使用远程管理/基于令牌的隧道。
Gateway、TLS和DLP
- 流量控制：DNS类别、HTTP URL/路径检查、L4端口/协议、出口IP要求、自定义列表以及允许/阻止例外。检索Gateway流量策略文档以获取当前选择器和执行顺序。
- 身份：Gateway策略是否需要用户或组选择器，以及用户是否将通过WARP/IdP上下文进行身份验证。当涉及组时检查Gateway身份选择器和SCIM配置。
- TLS检查：根CA部署路径、证书固定应用程序、合规例外和FIPS要求。在启用之前检索TLS解密文档。
- DLP：敏感数据类型、要检查的渠道、TLS检查就绪状态、DLP配置文件、有效载荷日志记录要求和误报容忍度。在创建执行之前检索DLP文档。
CASB、设备状态和风险
- CASB：SaaS供应商、管理访问级别、扫描策略、组织规模、修复负责人以及是否需要内联保护。在推荐修复之前检索CASB发现文档。
- 设备状态：所需检查、第三方EDR/MDM集成、注册规则、设备配置文件和拆分隧道对齐。
- 风险评分：相关行为信号、误报来源（如VPN或服务账户），以及风险是用于调查还是强制执行。在策略中使用风险之前检索用户风险评分文档。
Cloudflare WAN / 站点连接
- 站点拓扑、入口类型、路由所有权、隧道冗余、静态与BGP管理路由、网络防火墙需求以及设备/配置文件所有权。在提出站点连接更改之前检索Cloudflare WAN和Cloudflare Network Firewall文档。
防护栏
- Access控制应用程序授权；Gateway控制流量检查/过滤。当需求跨越身份感知应用程序访问和网络/Web安全性时，同时使用两者。
- 对于新的Access部署，通过可重用策略API (
/access/policies) 创建策略并将其附加到应用程序。除非当前API文档明确要求应用程序范围的策略，否则不要在应用程序创建/更新请求中发送内联policies。 - 将报告为
reusable: false的应用程序范围策略视为遗留策略。使用文档化的make_reusable端点迁移现有策略或用可重用策略替换它们；不要创建新的遗留策略。区分遗留策略与已弃用的遗留私有网络应用程序类型。 - 公共主机名Access应用程序可以无客户端访问。私有目标应用程序需要WARP/设备客户端或其他网络入口以及路由和DNS解析。在配置私有目标之前检索自托管私有应用文档。
- Cloudflare Tunnel是从私有网络到Cloudflare的出口。Cloudflare WAN和Mesh是其他出口，也可以是入口。
- 基于组的策略依赖于IdP组声明或SCIM。如果缺少组同步，请不要编造组选择器。
- 私有主机名需要显式的DNS路由/解析；仅创建Access应用程序是不够的。使用解析器策略并查看连接私有主机名
- 对于加密Web流量的HTTP检查和DLP需要TLS检查和计划的“不检查”例外。
- Gateway DNS、网络、HTTP和出口策略具有不同的评估语义。在解释优先级之前检索执行顺序文档。
- 除非用户批准更广泛的部署，否则从禁用状态开始，将广泛的阻止/允许/DLP/TLS策略限制在具有特定目标用户或组的试点范围内。
身份和访问
- Access组是Cloudflare对象；IdP/SCIM组是身份声明。Gateway组选择器使用同步的IdP组，而不是Access组。
- 组名称和SAML/OIDC属性区分大小写。在创建基于组的规则之前验证确切的声明名称和值。
- SCIM更改和组成员身份可能在同步和重新身份验证完成之前过时。使用用户上次已验证的身份进行故障排除，而不仅仅是IdP状态。
- Access策略默认拒绝。具有路由但没有允许策略的私有应用程序仍然会阻止访问。
- Access策略选择器可以使用IP列表，但不能使用Gateway域名或URL列表。
- SaaS联合处理向SaaS应用程序的身份验证。SaaS授权和租户限制通常需要SaaS端角色和/或Gateway租户控制。
- 用于SSH/VNC/RDP的浏览器渲染是一种Access功能。浏览器隔离远程渲染通用Web内容。不要混淆它们。
设备客户端部署
-
Cloudflare One设备客户端是用户设备的入口。两个组件控制它：注册规则（谁可以连接）和设备配置文件（客户端注册后的行为）。
-
注册规则是类型为
warp的Access应用程序，而不是设备设置。它接受可重用的Access策略。在Access中查找注册调试，而不是在设备中。 -
对于无头或自主设备（服务、信息亭、Linux主机），使用服务令牌注册。非人类设备作为
non_identity@[team-domain].cloudflareaccess.com进行身份验证，并且没有组成员身份——针对IdP组的设备配置文件将无法匹配它们。使用非身份电子邮件显式定位无头设备、设备的特定约定（操作系统信息等），或让它们落到默认配置文件。 -
设备配置文件控制连接模式、拆分隧道配置、用户权限（禁用、切换锁定）、自动重新连接和强制门户行为。配置文件按用户组或设备属性按优先级顺序匹配——第一个匹配获胜，默认配置文件捕获其余部分。
-
拆分隧道模式是影响最大的单个客户端设置。根据部署目标选择模式：
目标 模式 理由 仅VPN替换（私有应用） 包含 仅通过客户端路由指定的私有CIDR和主机名。其他所有内容直接访问。影响范围最小。 仅SWG（互联网安全） 排除 所有流量通过客户端。仅排除导致问题的内容（本地打印机、证书固定的应用程序）。 VPN替换 + SWG 排除 所有流量通过客户端。最常见的企业配置。 与另一个VPN共存 包含 避免与另一个VPN的隧道接口和DNS控制冲突。 仅DNS过滤 仅DNS模式 只有DNS查询发送到Gateway。无流量代理。 -
包含与排除是每个配置文件的，而不是每个条目的。您不能在同一配置文件中混合模式。在部署中间切换模式需要重新评估每个条目。
-
拆分隧道条目必须与隧道路由双向对齐。包含列表中的CIDR如果没有匹配的隧道路由会导致黑洞。隧道路由如果没有匹配的设备配置文件条目意味着流量永远不会进入隧道。
-
MDM参数（
mdm.xml/ 托管首选项）会覆盖仪表板配置的配置文件设置（对于文件中指定的任何设置）。如果仪表板更改似乎对托管设备没有影响，请检查MDM配置。检索MDM部署文档以获取特定于平台的文件位置和参数。 -
如果另一个VPN客户端或代理控制设备上的DNS，设备客户端的DNS拦截将发生冲突。在共存场景中，使用“仅流量”模式以避免路由表和DNS冲突。
-
强制门户检测在检测到门户（酒店WiFi、机场）时会暂时断开客户端的连接。这是导致终端用户摩擦的常见来源，应谨慎管理。
私有网络
- 拆分隧道模式会改变每个路由决策的含义：排除模式在从排除中移除时会向Cloudflare发送流量；包含模式仅在添加到包含中时才会发送流量。
- 主要应仅在IP子网重叠且不使用基于主机名的路由时使用虚拟网络。它可用于控制其他用户连接行为，但建议通过安全策略进行管理。
- 健康的隧道仅证明cloudflared可以到达Cloudflare。隧道必须具有适当的...