Cloudflare One
在引用限制、設定、API 欄位、類別 ID 或確切 UI 路徑之前，請從 Cloudflare One 文件、Cloudflare 文件 MCP 伺服器或 Cloudflare API 架構檢索最新資訊。
工作流程
- 分類請求：架構、配置、疑難排解、遷移或審查。
- 收集背景資訊：帳戶 ID、使用者/站點/應用程式、身分提供者、SCIM/群組同步、裝置管理、流量路徑、合規限制以及部署影響範圍。
- 僅檢索所涉及產品所需的當前文件：Access、Gateway、WARP/裝置客戶端、Tunnel/Mesh、Cloudflare WAN、DLP、CASB、裝置態勢或身分識別。
- 如果可存取帳戶，請在提出或進行變更前檢查現有資源：Access 應用程式/政策/群組/IdP、Gateway 規則/清單/類別、裝置設定檔/態勢檢查、Tunnel/路由、DNS/解析器設定以及位置/站點。
- 提出變更集，附上先決條件、驗證與回滾步驟。對於有風險的變更，請以停用狀態或僅限於試點群組/站點範圍內進行，除非使用者明確要求其他方式。
評估提示
使用這些提示以避免直接跳到配置。僅詢問與使用者任務相關的提示。
架構與當前狀態
- 站點與使用者：辦公室、分支機構、資料中心、VPC、遠端使用者、承包商、使用者數量以及當前連線模式。
- 應用程式與目標：SaaS、公開應用程式、私有應用程式、API、基礎設施目標、協定、連接埠、主機名稱與 IP 範圍。
- 連線能力：VPN、MPLS、SD-WAN、直接網際網路中斷、集中式回程、站點對站點需求以及私有 DNS 架構。
- 安全堆疊：當前 SWG、NGFW、VPN/ZTNA、DLP、CASB、電子郵件安全、記錄與合規要求。
- 身分識別：IdP、SCIM/群組同步、群組命名、多 IdP 需求、服務帳戶以及承包商/合作夥伴存取權。
- 部署：試點使用者/站點、影響範圍、回滾路徑、支援負責人與成功標準。
Access 與 SaaS 聯合
- 應用程式型態：Web 應用程式、API、SSH/RDP/VNC、資料庫、SaaS 應用程式、公開主機名稱、私有 IP 或私有主機名稱。在選擇前請檢索 Access 應用程式類型 文件。
- 存取模型：無用戶端瀏覽器存取、使用裝置客戶端的私有網路、點對點連線、使用服務令牌或相互 TLS 的服務連線，或 SaaS SSO 聯合。
- 政策需求：使用者群組、裝置態勢、工作階段持續時間、mTLS、服務令牌與應用程式啟動器可見性。在配置選擇器或評估順序之前，請檢索 Access 政策 文件。
- SaaS 詳細資訊：SAML 與 OIDC 支援、ACS/重新導向 URL、實體 ID/用戶端 ID、必要屬性以及租戶控制要求。
Tunnel 與私有網路
- 站點與區段：哪些資料中心、VPC、辦公室或網路區段需要連線能力。
- 高可用性：開發/測試單一連接器、生產環境多個連接器，或進階多 Tunnel/站點備援。
- 執行環境：cloudflared 或 WARP Connector/Mesh 將在何處執行：VM、容器、Kubernetes、裸機或其他目標。
- 出口：連接器是否能透過所需的連出連接埠/協定連線到 Cloudflare。在指定確切端點之前，請檢索 Tunnel 連線能力預檢查 文件。
- 來源可達性：連接器是否能解析並連線到每個私有來源。
- 路由：所需的 CIDR/主機名稱、重疊的 IP 空間、虛擬網路、分割隧道 以及私有 DNS/解析器政策 需求。
- 管理模式：對於新部署，除非有明確理由使用本地配置，否則偏好遠端管理/基於令牌的 Tunnel。
Gateway、TLS 與 DLP
- 流量控制：DNS 類別、HTTP URL/路徑檢查、L4 連接埠/協定、出口 IP 要求、自訂清單以及允許/封鎖例外。請檢索 Gateway 流量政策 文件以了解目前的選擇器和執行順序。
- 身分識別：Gateway 政策是否需要使用者或群組選擇器，以及使用者是否將透過 WARP/IdP 上下文進行驗證。當涉及群組時，請檢查 Gateway 身分選擇器 和 SCIM 佈建 文件。
- TLS 檢查：根 CA 部署路徑、憑證鎖定應用程式、合規例外以及 FIPS 要求。在啟用前請檢索 TLS 解密 文件。
- DLP：敏感資料類型、要檢查的管道、TLS 檢查準備就緒、DLP 設定檔、有效負載記錄要求以及誤報容忍度。在建立強制執行規則前，請檢索 DLP 文件。
CASB、裝置態勢與風險
- CASB：SaaS 供應商、管理員存取層級、掃描政策、組織規模、補救負責人，以及是否也需要內嵌保護。在建議補救措施之前，請檢索 CASB 發現結果 文件。
- 裝置態勢：必要檢查、第三方 EDR/MDM 整合、註冊規則、裝置設定檔以及分割隧道對齊。
- 風險評分：相關行為訊號、誤報來源（例如 VPN 或服務帳戶），以及風險是用於調查還是強制執行。在將風險用於政策之前，請檢索 使用者風險評分 文件。
Cloudflare WAN / 站點連線
- 站點拓撲、上線類型、路由擁有權、Tunnel 備援、靜態與 BGP 管理路由、網路防火牆需求以及設備/設定檔擁有權。在提議站點連線變更之前，請檢索 Cloudflare WAN 和 Cloudflare Network Firewall 文件。
護欄
- Access 控制應用程式授權；Gateway 控制流量檢查/過濾。當需求涵蓋感知身分的應用程式存取與網路/Web 安全性時，請同時使用兩者。
- 對於新的 Access 部署，請透過可重複使用的政策 API (
/access/policies) 建立政策，並將其附加到應用程式。除非當前的 API 文件明確要求應用程式範圍的政策，否則不要在應用程式建立/更新請求中傳送內嵌policies。 - 將回報為
reusable: false的應用程式範圍政策視為舊版。使用文件記錄的make_reusable端點遷移現有政策，或將其替換為可重複使用的政策；請勿建立新的舊版政策。區分舊版政策與已棄用的舊版私有網路應用程式類型。 - 公開主機名稱的 Access 應用程式可以是無用戶端的。私有目標應用程式需要 WARP/裝置用戶端或其他網路存取點，加上路由與 DNS 解析。在配置私有目標之前，請檢索 自託管私有應用程式 文件。
- Cloudflare Tunnel 是從私有網路到 Cloudflare 的出口。Cloudflare WAN 和 Mesh 是其他出口，也可作為入口。
- 基於群組的政策依賴於 IdP 群組宣告或 SCIM。如果缺少群組同步，請不要憑空創造群組選擇器。
- 私有主機名稱需要明確的 DNS 路由/解析；僅建立 Access 應用程式是不夠的。請使用 解析器政策 並查閱連接私有主機名稱。
- 針對加密 Web 流量的 HTTP 檢查和 DLP 需要 TLS 檢查以及規劃好的「不檢查」例外。
- Gateway DNS、網路、HTTP 和出口政策具有不同的評估語義。在解釋優先順序之前，請檢索執行順序 文件。
- 除非使用者核准更大規模的部署，否則應從封鎖/允許/DLP/TLS 政策開始，將其停用並僅限於包含特定目標使用者或群組的試點方案。
身分識別與存取
- Access 群組是 Cloudflare 物件；IdP/SCIM 群組是身分宣告。Gateway 群組選擇器使用同步的 IdP 群組，而非 Access 群組。
- 群組名稱與 SAML/OIDC 屬性區分大小寫。在建立基於群組的規則之前，請驗證確切的宣告名稱與值。
- SCIM 變更和群組成員資格可能因同步和重新驗證未完成而過時。請使用使用者最後驗證的身分進行疑難排解，而不僅僅是 IdP 狀態。
- Access 政策預設為拒絕。具有路由但沒有允許政策的私有應用程式仍會封鎖存取。
- Access 政策選擇器可以使用 IP 清單，但不能使用 Gateway 網域或 URL 清單。
- SaaS 聯合處理 SaaS 應用程式內的驗證。SaaS 授權和租戶限制通常需要 SaaS 端角色和/或 Gateway 租戶控制。
- SSH/VNC/RDP 的瀏覽器渲染是一種 Access 功能。瀏覽器隔離則是在遠端渲染一般 Web 內容。請勿混淆兩者。
裝置用戶端部署
-
Cloudflare One 裝置用戶端 是用戶裝置的入口。兩個組件控制它：註冊規則（誰可以連線）和裝置設定檔（用戶端在註冊後的行為方式）。
-
註冊規則是類型為
warp的 Access 應用程式，而非裝置設定。它接受可重複使用的 Access 政策。請在 Access 中尋找註冊除錯資訊，而非裝置頁面。 -
對於無頭或自主裝置（服務、資訊站、Linux 主機），請使用服務令牌註冊。非人類裝置以
non_identity@[team-domain].cloudflareaccess.com身分進行驗證，且沒有群組成員資格 - 針對 IdP 群組的裝置設定檔將不會比對到它們。請明確地以非身分電子郵件、關於裝置的特定慣例（例如作業系統資訊等）來鎖定無頭裝置，或讓它們落到預設設定檔。 -
裝置設定檔控制連線模式、分割隧道 配置、使用者權限（停用、切換鎖定）、自動重新連線以及強制入口網站行為。設定檔按使用者群組或裝置屬性的優先順序進行比對 - 第一個符合的優先，預設設定檔捕捉其餘部分。
-
分割隧道模式是影響最大的用戶端設定。根據部署目標選擇模式：
目標 模式 理由 僅 VPN 替代（私有應用程式） 包含 僅將指定的私有 CIDR 和主機名稱透過用戶端路由。其他所有流量直接連線。影響範圍最小。 僅 SWG（網際網路安全性） 排除 所有流量透過用戶端。僅排除會中斷的項目（本地印表機、憑證鎖定的應用程式）。 VPN 替代 + SWG 排除 所有流量透過用戶端。最常見的企業配置。 與另一個 VPN 共存 包含 避免與其他 VPN 的隧道介面和 DNS 控制發生衝突。 僅 DNS 過濾 DNS-only 模式 僅 DNS 查詢送往 Gateway。不進行流量代理。 -
「包含」與「排除」是每個設定檔的屬性，而非每個條目。您無法在同一個設定檔中混合模式。在部署中途切換模式需要重新評估每個條目。
-
分割隧道條目必須與 Tunnel 路由雙向對齊。包含清單中的 CIDR 若沒有相符的 Tunnel 路由，會導致黑洞。Tunnel 路由若沒有相符的裝置設定檔條目，則流量永遠不會進入隧道。
-
MDM 參數（
mdm.xml/ 受管偏好設定）會覆蓋儀表板配置的設定檔設定（針對檔案中指定的任何設定）。如果儀表板變更對受管裝置似乎沒有生效，請檢查 MDM 配置。請檢索 MDM 部署 文件以了解特定平台的文件位置和參數。 -
如果另一個 VPN 用戶端或代理程式控制裝置上的 DNS，裝置用戶端的 DNS 攔截將會發生衝突。在共存情境中，請使用「僅流量」模式以避免路由表與 DNS 衝突。
-
強制入口網站偵測會在偵測到入口網站（飯店 WiFi、機場）時暫時中斷用戶端連線。這是導致終端使用者摩擦的常見原因，應謹慎管理。
私有網路
- 分割隧道模式會改變每個路由決策的含義：排除模式會在從排除清單中移除時將流量傳送到 Cloudflare；包含模式僅在加入包含清單時才將流量傳送出去。
- 虛擬網路應主要在 IP 子網路重疊且未使用基於主機名稱的路由時使用。它也可以用來控制其他使用者連線行為，但建議透過安全政策進行管理。
- 正常的 Tunnel 僅證明 cloudflared 可以連線到 Cloudflare。Tunnel 必須具有適當的...
[已截斷以進行翻譯]