配置或排障 Cloudflare One Zero…

适用于在 Cloudflare One 中设计、配置、排障或评审 Access、Gateway、WARP、Tunnel、DLP、CASB、WAN 等 Zero Trust/SASE 部署。

适用场景

解决思路

1. 迁移规划使用 cloudflare-one-migrations。
2. 在引用限制、设置、API 字段、category ID 或精确 UI 路径前，从 Cloudflare One docs、Cloudflare docs MCP server 或 Cloudflare API schema 获取当前信息。
3. 分类请求：architecture、configuration、troubleshooting、migration 或 review。
4. 收集上下文：account ID、users/sites/apps、identity provider、SCIM/group sync、device management、traffic path、compliance constraints、rollout blast radius。
5. 仅检索所涉产品当前文档：Access、Gateway、WARP/device client、Tunnel/Mesh、Cloudflare WAN、DLP、CASB、device posture 或 identity。
6. 如果有 account access，在提议或变更前检查现有资源：Access apps/policies/groups/IdPs、Gateway rules/lists/categories、device profiles/posture checks、tunnels/routes、DNS/resolver settings、locations/sites。
7. 提出变更集，包含 prerequisites、validation、rollback；对高风险变更，除非用户明确要求，否则先禁用或限定到 pilot group/site。
8. 使用评估提示避免直接跳配置；只询问与用户任务相关的问题。
9. 询问 sites/users：offices、branches、data centers、VPCs、remote users、contractors、用户数量、当前连接模型。
10. 询问 applications/destinations：SaaS、public apps、private apps、APIs、infrastructure targets、protocols、ports、hostnames、IP ranges。
11. 询问 connectivity：VPN、MPLS、SD-WAN、direct Internet breakout、centralized backhaul、site-to-site needs、private DNS architecture。
12. 询问 security stack：current SWG、NGFW、VPN/ZTNA、DLP、CASB、email security、logging、compliance requirements。
13. 询问 identity：IdP、SCIM/group sync、group naming、multi-IdP needs、service accounts、contractor/partner access。
14. 询问 rollout：pilot users/sites、blast radius、rollback path、support owners、success criteria。
15. 确认 app shape：web app、API、SSH/RDP/VNC、database、SaaS app、public hostname、private IP、private hostname；选择前检索 Access application type docs。
16. 确认 access model：clientless browser access、private networking with device client、peer to peer connectivity、service connections with service tokens or mutual TLS、SaaS SSO federation。
17. 确认 policy needs：user groups、device posture、session duration、mTLS、service tokens、app launcher visibility；配置 selectors 或 evaluation order 前检索 Access policy docs。
18. 确认 SaaS details：SAML vs OIDC support、ACS/redirect URLs、Entity IDs/client IDs、required attributes、tenant-control requirements。
19. 确认 sites/segments：哪些 data centers、VPCs、offices、network segments 需要连接。
20. 确认 HA：dev/test single connector、production multiple connectors、advanced multi-tunnel/site redundancy。
21. 确认 runtime：cloudflared 或 WARP Connector/Mesh 运行在 VM、container、Kubernetes、bare metal 或其他目标。
22. 确认 egress：connectors 能否通过所需 outbound ports/protocols 访问 Cloudflare；命名确切端点前检索 Tunnel connectivity prechecks。
23. 确认 origin reachability：connector 能否解析并访问每个 private origin。
24. 确认 routing：required CIDRs/hostnames、overlapping IP spaces、virtual networks、Split Tunnels、private DNS/resolver policy 需求。
25. 新部署优先使用 remotely managed/token-based tunnels，除非有明确理由使用本地配置。
26. 确认 traffic controls：DNS categories、HTTP URL/path inspection、L4 ports/protocols、egress IP requirements、custom lists、allow/block exceptions；检索 Gateway traffic policy docs 获取当前 selectors 和 order of enforcement。
27. 确认 identity：Gateway policies 是否需要 user/group selectors，用户是否通过 WARP/IdP context 认证；涉及 groups 时检查 Gateway identity selectors 和 SCIM provisioning。
28. 确认 TLS inspection：root CA deployment path、certificate-pinned applications、compliance exceptions、FIPS requirements；启用前检索 TLS decryption docs。
29. 确认 DLP：sensitive data types、channels to inspect、TLS inspection readiness、DLP profiles、payload logging requirements、false-positive tolerance；创建 enforcement 前检索 DLP docs。
30. 确认 CASB：SaaS vendors、admin access level、scan policy、org size、remediation owner、是否需要 inline protection；推荐 remediation 前检索 CASB findings docs。
31. 确认 device posture：required checks、third-party EDR/MDM integrations、enrollment rules、device profiles、split tunnel alignment。
32. 确认 risk scoring：relevant behavior signals、false-positive sources such as VPNs or service accounts、risk 用于 investigation 还是 enforcement；在策略中使用 risk 前检索 user risk score docs。
33. 确认 site topology、on-ramp type、route ownership、tunnel redundancy、static vs BGP-managed routes、network firewall needs、appliance/profile ownership；提议 site connectivity 变更前检索 Cloudflare WAN 和 Cloudflare Network Firewall docs。
34. 区分 Access 控制 application authorization；Gateway 控制 traffic inspection/filtering；当需求跨 identity-aware app access 和 network/web security 时两者都用。
35. 对新 Access 部署，通过 reusable policy API `/access/policies` 创建策略并挂到 applications；不要在 application create/update 请求中发送 inline `policies`，除非当前 API 文档明确要求 app-scoped policy。
36. 将报告为 `reusable: false` 的 app-scoped policy 视为 legacy；用文档中的 `make_reusable` endpoint 迁移现有策略或替换为 reusable policies；不要创建新的 legacy policies；区分 legacy policies 和 deprecated legacy private-network application type。
37. Public hostname Access apps 可以 clientless；Private destination apps 需要 WARP/Device client 或其他 network on-ramp 加 routes 和 DNS resolution；配置 private destinations 前检索 self-hosted private app docs。
38. 记住 Cloudflare Tunnel 是从 private network 到 Cloudflare 的 off-ramp；Cloudflare WAN 和 Mesh 是其他 off-ramps，也可以作为 on-ramps。
39. 基于 group 的 policies 依赖 IdP group claims 或 SCIM；如果缺少 group sync，不要虚构 group selectors。
40. Private hostnames 需要显式 DNS routing/resolution；仅创建 Access app 不够；使用 resolver policies 并查阅 Connect a private hostname。
41. HTTP inspection 和 DLP for encrypted web traffic 需要 TLS inspection 和计划好的 Do Not Inspect exceptions。
42. Gateway DNS、Network、HTTP、Egress policies 有不同 evaluation semantics；解释 precedence 前检索 order of enforcement docs。
43. 启动 broad block/allow/DLP/TLS policies 时，先禁用并限制到 pilot 和具体 target users/groups，除非用户批准更广 rollout。
44. 区分 Access Groups 是 Cloudflare 对象；IdP/SCIM groups 是 identity claims；Gateway group selectors 使用 synced IdP groups，不是 Access Groups。
45. Group names 和 SAML/OIDC attributes 大小写敏感；创建 group-based rules 前验证确切 claim names 和 values。
46. SCIM changes 和 group membership 可能直到 sync 和 re-authentication 完成前是 stale；用用户最后认证身份排障，不只是 IdP 状态。
47. Access policies 默认拒绝；有 routes 但无 Allow policy 的 private app 仍会阻止访问。
48. Access policy selectors 可以使用 IP lists，不能用 Gateway domain 或 URL lists。
49. SaaS federation 处理进入 SaaS app 的 authentication；SaaS authorization 和 tenant restrictions 通常需要 SaaS-side roles 和/或 Gateway tenant controls。
50. Browser Rendering for SSH/VNC/RDP 是 Access capability；Browser Isolation 远程渲染一般 web content；不要混淆。
51. Cloudflare One device client 是用户设备的 on-ramp；两个组件控制它：enrollment rules 和 device profiles。
52. Enrollment rule 是类型 `warp` 的 Access application，不是 device setting；它接受 reusable Access policies；在 Access 中调试 enrollment，不是 Devices。
53. 对 headless 或 autonomous devices，使用 service token enrollment；非人类设备以 `non_identity@[team-domain].cloudflareaccess.com` 认证且没有 group membership；以 IdP groups 为目标的 device profiles 不会匹配它们；用 non-identity email、设备特定约定或让它们落入 default profile 来定位 headless devices。
54. Device profiles 控制 connection mode、split tunnel configuration、user permissions、auto-reconnect、captive portal behavior；Profiles 按 user group 或 device attributes 以 precedence order 匹配，first match wins，default profile 捕获其余。
55. Split tunnel mode 是最有影响的 client 设置；根据部署目标选择：VPN replacement only 用 Include；SWG only 用 Exclude；VPN replacement + SWG 用 Exclude；与另一个 VPN 共存用 Include；DNS filtering only 用 DNS-only mode。
56. Include vs exclude 是 per-profile，不是 per-entry；同一 profile 不能混合模式；部署中途切换模式需要重新评估每个 entry。
57. Split tunnel entries 必须与 tunnel routes 双向对齐；include list 中有 CIDR 但无匹配 tunnel route 会导致 black hole；有 tunnel route 但无匹配 device profile entry 意味着流量永不进入 tunnel。
58. MDM parameters（`mdm.xml` / managed preferences）会覆盖 dashboard 配置的 profile settings 中文件指定的任何设置；如果 dashboard 变更对 managed devices 看似无效，检查 MDM config；查 MDM deployment docs 获取平台特定文件位置和参数。
59. 如果另一个 VPN client 或 agent 控制设备 DNS，device client 的 DNS interception 会冲突；共存场景中使用 traffic only mode 避免 routing table 和 DNS 冲突。
60. Captive portal detection 检测到 portal 时会临时断开 client；这是常见终端用户摩擦来源，应谨慎管理。
61. Split tunnel mode 改变每个 route decision 的含义：Exclude mode 中流量未在 excludes 内就发送到 Cloudflare；Include mode 中只有加入 includes 才发送。
62. Virtual networks 主要当 IP subnets 重叠且不使用 hostname-based routing 时使用；也可用于控制其他用户连接行为，但推荐通过 security policies 管理。
63. 健康的 tunnel 只证明 cloudflared 能访问 Cloudflare；tunnel 必须有适当的 published application routes、network routes 或 hostname routes 才能连通。
64. Cloudflare Tunnel 和 Cloudflare Mesh 都可用于连接内部网络；Cloudflare WAN 也可以，但受 Enterprise subscriptions 限制；在 Tunnel 类型间权衡时检索 choose an on-ramp。
65. 生产 HA 运行多个 cloudflared connectors，最好在不同 hosts；token-based、remotely managed tunnels 是新部署默认。
66. `dns.domains` 匹配 domain 和 subdomains；`dns.fqdn` 仅 exact-match。
67. DNS pre-resolution selectors 和 post-resolution selectors 不像单一严格 precedence list；更改规则顺序前检索当前 evaluation docs。
68. HTTP Do Not Inspect rules 在 HTTP Allow/Block/Isolate 行为之前运行；后面的 block rule 不会覆盖前面的 inspection bypass。
69. Certificate-pinned apps 需要 Do Not Inspect exceptions 先于 broad TLS inspection；启用 inspection 前将 Cloudflare root CA 部署到 managed devices。
70. DLP profiles 仅是 detection definitions；直到被 Gateway HTTP policies 或 CASB scan settings 引用才起作用；带 body inspection 的规则在一次 pass 中可能被评估多次。
71. 适当从 payload logging 开始 DLP，调整 false positives，然后 block。
72. Gateway Network policies 是严格 L4 controls；identity-aware L4 matching 需要 authenticated device context。
73. API CASB 是 out-of-band 和 periodic；不提供实时 inline enforcement，尽管某些集成支持 remediation；对支持的应用程序使用 Gateway granular application controls 实现 inline CASB 能力；为特定 SaaS 应用中特定操作创建安全策略时检索 Granular application controls。
74. CASB findings 绑定到特定 assets 和 instances；推荐 remediation 前深入 affected assets。
75. 使用当前 Dashboard remediation guidance 进行 CASB 修复；大多数修复发生在 SaaS admin console，不是 Cloudflare。
76. 大型 SaaS integrations 初始扫描可能需要 24-48 小时；重新授权可能重启扫描状态；重新连接前检查 credential health。
77. User risk scores 基于行为且异步；CASB findings 不自动意味着高 user risk。
78. Zero Trust Infrastructure Access 是 purpose-built 用于通过 device client 进行 SSH access；提供 self-hosted apps 没有的能力：keystroke logging、控制用户如何认证到目标机器、short-lived certificates 替代静态 SSH keys 并绑定 Access identity、轻量 privileged access management；部署 device client 时 SSH 使用 Infrastructure Access apps。
79. Browser Rendering 提供 clientless SSH、RDP、VNC through browser，无需 device client；clientless RDP 包括 session recording 和 file transfer controls；当无法安装 device client 时使用 clientless access，通常不作为已安装 client 的 managed users 默认。
80. Audit SSH 是 Gateway Network policy action，记录 SSH commands 而不阻止；要求 session 通过 Cloudflare 代理。
81. Short-lived certificates 需要在 target host 上配置 CA，并配置 `sshd` 信任 Cloudflare CA public key；配置前检索 short-lived certificate setup docs。
82. 对私有网络后的 kubectl 和 database access，使用 device client 加 private destination routing；目前没有 Infrastructure Access 或 browser-rendered equivalent 用于任意 TCP protocols。
83. Gateway activity logs 记录 DNS、HTTP 和 Network policy decisions；按 rule name、user identity、destination、action、time range 过滤；这是排障为什么被阻止或允许的主要工具。
84. Access audit logs 记录每个 app 的 authentication decisions：谁认证、匹配哪个 policy、session details；用于验证 policy 行为并调查 access failures。
85. Shadow IT discovery 使用 Gateway HTTP logs 暴露 unmanaged SaaS applications；HTTPS 可见性需要 TLS inspection。
86. DEX 提供 fleet-level 和 per-device connectivity diagnostics；使用 DEX tests（HTTP、traceroute）主动监控到 critical origins 和 internal apps 的 reachability；Fleet status 显示 device client health、connection mode、connectivity state across enrolled population。
87. Logpush 导出 Gateway、Access、Network、DEX logs 到外部 SIEM 或 storage；如果客户要求 centralized log retention 或 compliance reporting，在 go-live 前配置。
88. 排障时从 logs 到 config 工作：找到显示失败的 log entry，然后追溯到负责的 rule、route 或 policy。
89. Cloudflare WAN 是 connectivity，不是 security service；需要时用 Gateway 和 Network Firewall 应用 inspection 和 policy。
90. WAN firewall expressions 与 Gateway wirefilter expressions 不是同一种语言；编辑前检索当前 syntax。
91. 生成的 IPsec PSKs 和某些 OAuth/client secrets 只返回一次；立即存储。
92. Designs 输出：current assumptions、target architecture、product responsibilities、rollout phases、validation、open decisions。
93. Configuration work 输出：prerequisites、exact resources to inspect/create/change、test cases、rollback。
94. Troubleshooting 输出：traffic path、likely failure point、evidence to collect、next test。
95. Access 验证：测试 authorized、unauthorized、posture-failing、service-token、multi-IdP flows；检查 logs 和 policy precedence；对新 policies，验证它们通过 reusable policy collection 管理，而不是返回为 `reusable: false` app-scoped policies。
96. Private network access 验证：验证 route lookup、tunnel health、origin reachability、split tunnel behavior、DNS resolution、end-to-end access from device client test device。
97. Gateway 验证：启用广泛前验证 rule type、action、traffic expression、precedence/evaluation phase、referenced lists、Gateway settings。
98. TLS/DLP 验证：启用 inspection 前测试 Do Not Inspect exceptions 和 root CA trust；用 known samples 测试 DLP 并在 blocking 前监控 false positives。
99. CASB/risk 验证：宣告 remediation 完成前确认 integration health、credential expiry、asset discovery、scan timing、finding instances、risk-score signal latency。
100. Cloudflare WAN 验证：验证 tunnel health、route priority/ownership、traffic flow、firewall expression syntax、connector/appliance telemetry。
101. 当 MCP tools 可用时使用 fully qualified MCP tool names。
102. 绝不猜测 category IDs、application IDs、wirefilter fields 或 API request bodies；检索当前 schema/docs 和现有 account objects。
103. 没有明确批准，不要启用 broad production policies。

适用边界 · 注意事项

• 需要从其他厂商做迁移规划时，应使用 cloudflare-one-migrations，而不是仅依赖本经验。
• 没有 Cloudflare One 账号、订阅或访问 Cloudflare docs/API/MCP 的权限时，无法执行其中的检查与变更。
• 只需要通用 Zero Trust/SASE 概念教育、不涉及 Cloudflare One 具体产品配置或排障时，本经验过重。