Cloudflare 安全 与边缘网络。

我们通过边缘安全部署保护企业应用、保障远程访问安全，并加速内容分发——以新加坡为基地，提供从设计、部署到持续运营的 Cloudflare 托管服务。

网络边界直接部署在 Cloudflare 的全球网络之上，因此大流量攻击、恶意爬虫与 Web 漏洞利用行为在边缘节点即被 拦截，而非留待源站处理。访问控制与内容分发同属这一层级进行配置，使检测、路由与缓存行为在整个资产范围内 保持一致。

为什么网络边界应当设在边缘

每一个面向互联网的应用，其请求总要在某处接受检测。如果检测发生在源站——防火墙设备、负载均衡器或 Web 服务器本身—— 那么恶意流量在被拒绝之前，已经消耗了您的带宽与计算资源。足够大的流量攻击会在任何规则运行之前就把链路填满。

Cloudflare 将检测前移至网络边缘：三百多个城市的节点宣告同一组 Anycast 地址。DDoS 攻击被分散到整个网络， 而不是集中打向单一点；应用层规则——Web 应用防火墙、爬虫管理、速率限制——在任何字节到达源站之前就已执行。 源站可以配置为仅接受来自 Cloudflare 的连接，从而彻底消除直连 IP 的攻击面。

负责过滤流量的边缘，同时也负责缓存与路由。静态资源由离用户最近的节点提供，动态请求经由 Cloudflare 的私有骨干网 而非公共互联网传输，DNS 也从同一 Anycast 网络解析。安全与性能是同一套配置，而非两个产品。

我们配置什么

Web 应用防火墙。 托管规则集覆盖 OWASP 各类别与 Cloudflare 自有威胁情报，并依据应用的真实请求模式——URL 结构、 预期请求头、合法地理来源——编写自定义规则。规则先以仅记录模式部署，经真实流量复核后，再转为质询或拦截。

DDoS 缓解。 三层与四层防护始终开启，无需调优。七层缓解依据应用特性设置灵敏度，并对认证端点与 API 施加速率限制—— 在这些位置，即便请求量不大也可能构成滥用。

爬虫管理。 经验证的爬虫——搜索引擎、监控服务、合作方集成——被明确放行。其余流量按行为评分， 表现出自动化特征的流量依据端点的承受能力进行质询或拦截。

零信任访问。 内部应用通过 Cloudflare Access 发布，策略基于身份提供商的用户组、设备状态与地理位置。 Cloudflare Tunnel 以出站方式连接源站，无需在防火墙上开放任何入站端口。WARP 为远程员工提供客户端连接，取代 VPN 集中器。

CDN、DNS 与源站防护。 按路径与内容类型设置缓存规则，缓存刷新接入部署流水线，权威 DNS 启用 DNSSEC， 并通过源站身份验证拉取，使源站拒绝任何未携带 Cloudflare 客户端证书的连接。

适用对象

拥有面向公网的应用或 API、需要在攻击下保持可用的组织；正在以基于身份的访问替代 VPN、支持分布式办公的团队； 源站同时分布于 AWS 与 GCP、希望两者的流量检测保持一致的企业。我们既与企业内部的工程团队协作， 也服务于尚无网络安全职能的组织。

Cloudflare 是三层架构的最外层。在其之后，我们部署并管理流量所到达的 AWS 与 Google Cloud 环境， 使边界与计算作为同一条路径统一设计，而不是在两家供应商之间协调。