更新日志

Cloudflare Gateway 现在支持在允许策略上进行高级请求头控制。管理员可以使用静态值或动态变量来添加、重写或删除匹配请求上的请求头。

使用“允许”（Allow）操作的 Gateway HTTP 策略在 rule_settings 中支持三种操作：

Gateway 按以下顺序应用操作：首先删除，然后重写，最后添加。

请求头的值可以包含使用 @{...} 语法的动态变量。Gateway 会在请求时根据身份、设备和网络上下文解析变量。

您可以在单个请求头值中混合使用静态文本和动态变量。例如，user-@{identity.email} 会解析为 [email protected]。

有关更多信息，请参阅自定义请求头。

内部 DNS 现在已正式发布。内部 DNS 在您已用于公共 DNS、Zero Trust 和应用程序服务的同一个全球网络和控制平面上，为私有网络提供权威和递归 DNS 服务。

• 整合 DNS 运营。 公共和私有 DNS 运行在同一个平台上，拥有统一的 API、审计跟踪和策略设置入口。
• 简化水平分割 DNS。 内部和外部解析被定义为共享区域上独立的视图，并从单个控制平面进行管理 — 因此无需排查配置偏差。
• 将 Zero Trust 扩展到 DNS。 解析器策略决定哪些用户和设备针对哪个视图进行解析，并由已经监管您其余流量的同一个 Gateway 来执行。

设置内部 DNS 需要三个步骤：创建区域、创建视图并定义解析器策略。

POST /zones
{
  "account": {
    "id": "<ACCOUNT_ID>"
  },
  "name": "corp.internal",
  "type": "internal"
}

内部 DNS 已包含在面向企业级客户的 Cloudflare Gateway 中。要开始使用，请参阅 Internal DNS documentation。

您现在可以为 Cloudflare Gateway 防火墙策略和 Zero Trust 列表分配细粒度的资源作用域角色。管理员可以委派对特定策略类型或列表管理的访问权限，而无需授予账户范围或产品范围的控制权。

当您添加成员或创建权限策略时，现在可以使用以下资源作用域角色：

这些角色允许您：

• 仅向网络工程师授予网络策略的写入权限，而不暴露 DNS 或 HTTP 策略配置。
• 允许安全分析师以只读模式查看所有 Gateway 策略以进行审计。
• 将列表管理委托给维护阻止和允许列表的团队，而不授予他们访问策略配置的权限。

您现在还可以分配 资源作用域角色。这些角色是对现有账户级别角色的补充，允许您授予对特定资源（例如单个 Gateway 策略或 Cloudflare One 列表）的访问权限。现有的账户级别角色继续有效。 拥有 Cloudflare Gateway 或 Cloudflare Zero Trust 角色的成员将保留对所有 Gateway 资源的完全访问权限。这确保了与现有自动化和 API 令牌的向后兼容性。

• 查看 Cloudflare 角色参考上的资源作用域角色。
• 了解如何创建使用这些角色的权限策略。

使用 VPC 网络（VPC Network） 绑定（binding）与 network_id: "cf1:network" 的 Workers 现在可以通过 Cloudflare Gateway 出口到公共互联网目标。这意味着您现有的 Zero Trust 流量策略 —— DNS、HTTP、网络和出口（egress）—— 将延伸到源自您的 Workers 的流量，就像今天对 WARP 用户所做的那样。

您默认获得的内容：

• 可见性。 Worker 出口流量与您的其他流量一起显示在 Gateway DNS、HTTP 和 网络 日志中，以便您可以审计您的 Workers 在何时调用了什么。
• 强制执行。 任何其选择器与 Worker 请求相匹配的现有 Gateway 策略都将适用 —— 包括允许/阻止列表、DNS 类别过滤和 HTTP 目标规则。如果您已经为您的员工屏蔽了某个类别，您的 Workers 将继承该屏蔽。

{
	"vpc_networks": [
		{
			"binding": "EGRESS",
			"network_id": "cf1:network",
			"remote": true,
		},
	],
}

[[vpc_networks]]
binding = "EGRESS"
network_id = "cf1:network"
remote = true

// Egress to a public destination — subject to your Gateway policies and logged
const response = await env.EGRESS.fetch("https://api.example.com/data");

// Egress to a public destination — subject to your Gateway policies and logged
const response = await env.EGRESS.fetch("https://api.example.com/data");

有关配置选项，请参阅 VPC 网络（VPC Networks）。有关策略编写，请参阅 Cloudflare Gateway 流量策略。

支持正则表达式的 Cloudflare Gateway 策略选择器现在可以在仪表板中使用自然语言编写。当使用基于正则表达式的选择器（例如 matches regex）构建策略时，您可以用简明英语描述您想要匹配的内容，Cloudflare Agent 将生成并验证相应的正则表达式。

要开始使用，请在 Gateway 策略构建器中选择兼容正则表达式的选择器，然后选择该图标。您将看到一个用于输入自然语言的字段，例如“以 /api/v1 开头的任何 URL”或“主机中包含 gooogle 的 .com、.net 和 .app 主机”。

您还可以使用该工具来解释现有的正则表达式。如果策略中已包含正则表达式模式，您可以立即生成通俗易懂的语言描述。

内置的反馈机制允许您对每次交互进行评分，以帮助随着时间推移提高输出质量。

有关更多信息，请参阅 Cloudflare One 防火墙策略，并期待很快在数据防泄露（DLP）配置文件中支持相同的功能。

Cloudflare Gateway 现在支持针对 DNS、HTTP 和 网络防火墙策略使用自然语言创建策略。管理员可以用纯文本描述他们想要的结果，Cloudflare 将生成一个完整的策略规则来填充策略生成器表单。

要使用自然语言创建策略，请在任何 Gateway 防火墙策略选项卡上选择 Create with AI（使用 AI 创建）。选择策略类型，描述该策略应执行的操作，随后一个完整配置的规则将显示在策略生成器中以供审查。您可以在保存之前编辑任何字段，或使用不同的提示词重新生成。

生成的策略结合了您的账户上下文（包括列表、DLP 配置文件、应用和设备状态检查），从而自动解析对现有资源的引用。

内置的反馈机制允许您对每个生成的策略进行评分并提供可选评论，Cloudflare 会使用这些评论来不断改进输出质量。

有关更多信息，请参阅 Gateway 防火墙策略。