Cloudflare nâng tầm Secure Web Gateway với khả năng lập trình toàn diện

Trong gần 30 năm qua, các giải pháp Secure Web Gateway (SWG) trên thị trường đều vận hành theo một mô hình cố định: kiểm tra traffic dựa trên điều kiện, sau đó thực hiện các hành động như Cho phép (Allow), Chặn (Block), Cách ly (Isolate) hoặc Ghi nhật ký (Log). Mặc dù mô hình này hiệu quả với các nhu cầu cơ bản, nhưng nó lại trở thành rào cản đối với các doanh nghiệp có môi trường hạ tầng phức tạp.

Đưa lập trình vào trung tâm bảo mật

Cloudflare vừa chính thức giới thiệu khả năng lập trình thực thụ cho Cloudflare Gateway và DLP (Data Loss Prevention) thông qua việc tích hợp sâu với nền tảng điện toán biên (edge computing). Với sự ra đời của hành động Forward và các Custom Functions, người dùng có thể sử dụng Cloudflare Workers để can thiệp, biến đổi traffic hoặc đưa dữ liệu tùy chỉnh vào quá trình đánh giá chính sách bảo mật ngay tại thời điểm thực thi.

Thay vì phải duy trì các cụm proxy NGINX riêng biệt để xử lý header, xác thực JWT hay gửi thông báo thời gian thực, giờ đây các đội ngũ bảo mật có thể thực hiện mọi logic này trực tiếp trên mạng lưới toàn cầu của Cloudflare mà không cần thêm hạ tầng quản lý.

Hai phương thức triển khai chính

Cloudflare cung cấp hai cách tiếp cận để kết nối Gateway với Workers:

• Hành động Forward: Cho phép định tuyến các yêu cầu HTTP đã khớp với chính sách đến một Worker. Worker đóng vai trò như một middleware nội tuyến, có khả năng sửa đổi header, nội dung request hoặc thực hiện các tác vụ bất đồng bộ (như gửi log, cập nhật KV store) mà không làm gián đoạn luồng traffic chính.
• Custom Functions: Cho phép gọi Worker ngay trong quá trình đánh giá chính sách (inline). Worker sẽ nhận các ngữ cảnh như IP nguồn, danh tính người dùng, trạng thái thiết bị và trả về một giá trị (string, number, boolean) để Gateway sử dụng làm điều kiện lọc. Điều này giúp việc xây dựng các chính sách bảo mật phức tạp trở nên linh hoạt hơn bao giờ hết.

Lợi thế về hiệu năng

Điểm khác biệt cốt lõi là Gateway và Workers cùng chạy trên một hạ tầng tại hơn 330 địa điểm của Cloudflare. Việc chuyển tiếp traffic từ Gateway sang Worker chỉ là một lệnh gọi hàm cục bộ (local function call), loại bỏ hoàn toàn độ trễ do phải chuyển hướng mạng (hairpinning) hay đi qua các đám mây khác.

Ứng dụng thực tế

Với khả năng mới này, doanh nghiệp có thể dễ dàng triển khai:

• Trang xác nhận mục đích: Yêu cầu người dùng cung cấp lý do trước khi truy cập vào các tài nguyên nhạy cảm.
• Kiểm tra file nâng cao: Tự động gửi file tải xuống đến dịch vụ sandbox bên thứ ba để phân tích hoặc lưu trữ vào R2.
• Cảnh báo thời gian thực: Gửi thông báo tức thì qua Slack hoặc PagerDuty khi phát hiện vi phạm chính sách DLP.
• Logic đánh giá phức tạp: Sử dụng các hệ thống chấm điểm rủi ro nội bộ để đưa ra quyết định truy cập dựa trên nhiều nguồn dữ liệu khác nhau.

Hiện tại, hành động Forward đã có sẵn dưới dạng public beta, trong khi Custom Functions dự kiến sẽ ra mắt trước cuối năm nay. Cả hai tính năng đều sẽ được áp dụng cho tất cả các gói dịch vụ Zero Trust của Cloudflare.

Nguồn tham khảo: Cloudflare Blog