Cloudflare Gateway giờ đây chạy mã của bạn trực tiếp cho các logic bảo mật tùy chỉnh

Cloudflare đã công bố một sự mở rộng đáng kể cho nền tảng Zero Trust của mình, cho phép các nhà phát triển thực thi mã tùy chỉnh trực tiếp trong đường dẫn đánh giá chính sách cổng web bảo mật. Được phát hành vào ngày 15 tháng 10 năm 2026, bản cập nhật này tích hợp Cloudflare Workers với các dịch vụ Gateway và Data Loss Prevention (DLP), cho phép chạy logic bất kỳ trực tiếp tại edge mạng.

Chuyện gì đã xảy ra

Trong nhiều thập kỷ, các cổng web bảo mật hoạt động theo một mô hình cứng nhắc: lưu lượng truy khớp với một điều kiện được xác định trước, và hệ thống thực thi một hành động cuối cùng như cho phép, chặn hoặc ghi log. Mặc dù hiệu quả đối với các trường hợp sử dụng tiêu chuẩn, cách tiếp cận này gặp khó khăn với các yêu cầu phức tạp, đặc thù theo môi trường. Các đội ngũ bảo mật thường phải đối mặt với lựa chọn nhị phân giữa việc duy trì cơ sở hạ tầng proxy tùy chỉnh tốn kém để có tính linh hoạt tối đa hoặc chấp nhận các ràng buộc từ nhà cung cấp, hạn chế khả năng giải quyết các vấn đề độc đáo.

Để giải quyết điều này, Cloudflare đang giới thiệu hai khả năng mới: hành động Forward và Custom Functions. Hành động Forward, hiện có ở phiên bản beta công khai hôm nay, định tuyến các yêu cầu HTTP khớp tới một Cloudflare Worker, đóng vai trò như middleware trực tiếp. Điều này cho phép các nhà phát triển sửa đổi header, biến đổi body của yêu cầu hoặc kích hoạt các hành động bất đồng bộ như ghi log tới các hệ thống bên ngoài trước khi lưu lượng truy cập đến đích. Custom Functions, dự kiến ra mắt trước cuối năm nay, sẽ cho phép Workers trả về các giá trị có kiểu dữ liệu cụ thể trong quá trình đánh giá chính sách, qua đó tạo ra các bộ chọn động dựa trên dữ liệu nội bộ hoặc logic phức tạp.

Sự tích hợp này tận dụng cơ sở hạ tầng hiện có của Cloudflare, nơi Gateway và Workers chạy trên cùng các máy chủ tại hơn 330 địa điểm toàn cầu. Vì việc chuyển giao là một lời gọi hàm cục bộ thay vì một bước nhảy mạng, không có độ trễ bổ sung do việc gửi lưu lượng quay vòng (hairpinning) tới một môi trường đám mây riêng biệt. Kiến trúc này nhằm mục đích cung cấp khả năng tùy chỉnh của các proxy tự quản lý mà không kèm theo chi phí vận hành cho việc quản lý cơ sở hạ tầng.

Cách thức hoạt động

Hành động Forward biến đổi một Cloudflare Worker thành một proxy có thể lập trình. Khi một chính sách Gateway khớp với một yêu cầu, nó chuyển tiếp toàn bộ ngữ cảnh HTTP—bao gồm header và body—tới Worker được chỉ định. Worker có thể kiểm tra yêu cầu, sửa đổi nó và sau đó chuyển tiếp lên phía thượng nguồn bằng hàm next(). Nó cũng có thể sửa đổi phản hồi trước khi trả về cho người dùng. Gateway xử lý các kết nối TCP cơ sở, chấm dứt TLS và quản lý chứng chỉ, trong khi Worker tập trung hoàn toàn vào logic cấp ứng dụng.

Custom Functions hoạt động khác đi bằng cách tích hợp trực tiếp vào engine ra quyết định chính sách. Một Worker nhận được ngữ cảnh như IP nguồn, danh tính người dùng và trạng thái thiết bị, sau đó trả về một chuỗi, số hoặc boolean đơn giản. Giá trị trả về này trở thành một bộ chọn mới trong trình xây dựng chính sách Gateway. Ví dụ, một hàm có thể phân tích một JSON Web Token để trích xuất vai trò của người dùng và trả về dưới dạng chuỗi. Quản trị viên sau đó có thể viết các quy tắc như "Cho phép nếu Custom Function Role bằng finance_contractor", kết hợp các bộ chọn tích hợp sẵn với dữ liệu tùy chỉnh, được tính toán.

Chi tiết chính

• Forward Action: Định tuyến lưu lượng HTTP khớp tới một Worker để biến đổi trực tiếp, có sẵn trong phiên bản beta công khai bắt đầu từ ngày 15 tháng 10 năm 2026.
• Custom Functions: Cho phép Workers trả về các giá trị có kiểu dữ liệu để sử dụng trong các điều kiện chính sách, dự kiến ra mắt trước cuối năm 2026.
• Zero Latency Overhead: Việc chuyển giao tới một Worker là một lời gọi hàm cục bộ trên cùng máy chủ, tránh các vòng lặp mạng.
• Universal Availability: Cả hai tính năng sẽ có sẵn trên tất cả các gói Zero Trust, bao gồm các bậc Free, Paid và Enterprise.
• Billing: Lưu lượng truy cập được chuyển tới Workers được tính phí như các yêu cầu Worker tiêu chuẩn, tuân theo các giới hạn thời gian thực thi và số lượng yêu cầu hàng ngày hiện có.
• Fallback Safety: Custom Functions yêu cầu các giá trị mặc định để đảm bảo hành vi xác định nếu mã thất bại hoặc hết thời gian chờ.

Tại sao điều này quan trọng

Đối với các kỹ sư phần mềm và trưởng nhóm bảo mật, sự thay đổi này loại bỏ nhu cầu triển khai và duy trì các proxy NGINX riêng biệt hoặc các pipeline webhook phức tạp cho những biến đổi lưu lượng nhỏ. Các tác vụ trước đây đòi hỏi phải dựng cơ sở hạ tầng chuyên dụng—chẳng hạn như chèn header HTTP dựa trên các claim JWT hoặc tạo dấu vết kiểm toán cho các truy cập nhạy cảm—giờ đây có thể được xử lý bằng vài dòng TypeScript trong một Worker. Điều này giảm nợ vận hành và đẩy nhanh việc triển khai các chính sách bảo mật đặc thù cho các công cụ và quy trình làm việc nội bộ của tổ chức.

Khả năng chạy mã bất kỳ trực tiếp cũng nâng cao độ phản hồi theo thời gian thực. Thay vì dựa vào các log chậm trễ được gửi tới SIEM để cảnh báo, một hành động Forward có thể kích hoạt thông báo ngay lập tức tới Slack hoặc PagerDuty khi một quy tắc DLP được kích hoạt. Hơn nữa, Custom Functions cho phép kiểm soát truy cập tinh tế hơn bằng cách tích hợp các nguồn dữ liệu bên ngoài, chẳng hạn như hệ thống chấm điểm rủi ro nội bộ, trực tiếp vào quy trình ra quyết định của tường lửa mà không cần phơi bày các hệ thống đó ra internet công cộng.

Bạn có thể làm gì

• Đánh giá phiên bản beta công khai của hành động Forward để thử nghiệm chèn header trực tiếp hoặc sửa đổi yêu cầu cho các ứng dụng nội bộ của bạn.
• Xác định các tác vụ proxy thủ công hiện tại, chẳng hạn như phân tích JWT hoặc ghi log tùy chỉnh, có thể di chuyển sang Cloudflare Workers.
• Thiết kế các Custom Functions tích hợp với cơ sở dữ liệu hoặc API nội bộ để tạo ra các bộ chọn chính sách động dựa trên ngữ cảnh người dùng theo thời gian thực.
• Xem xét lại các chính sách DLP hiện có của bạn để xác định xem logic xác thực tùy chỉnh có thể giảm false positives bằng cách kiểm tra mức độ liên quan của dữ liệu so với hồ sơ nội bộ hay không.
• Theo dõi các giới hạn thực thi và chi phí của Worker, đặc biệt nếu bạn dự định định tuyến lưu lượng lớn qua các hành động Forward.
• Chuẩn bị cho bản phát hành Custom Functions vào cuối năm bằng cách lập kế hoạch cho các logic đánh giá phức tạp hiện đang yêu cầu xử lý hậu kỳ bên ngoài.