Secure Web Gateway（SWG，安全 Web 网关）是位于组织用户与互联网之间的安全服务。它检查出站流量以执行安全策略、拦截威胁并防止数据丢失。SWG 的核心能力包括：
- URL 和域名过滤 – 控制用户可以访问哪些网站。
- 防恶意软件扫描 – 检查传输中的文件是否包含恶意代码。
- 应用程序控制 – 管理用户可以访问哪些应用程序以及可以执行哪些操作。
- 数据丢失防护（DLP） – 在敏感数据离开网络之前检测并拦截。
- 流量检查 – 解密并检查加密的（HTTPS）流量，以发现隐藏威胁。
传统网络安全依赖位于企业网络边界的硬件防火墙。该模型假设用户、应用程序和数据都位于同一网络边界内。现代组织面临不同的现实：
- 分布式劳动力 – 员工从家庭网络、公共 Wi-Fi 和移动设备连接，位于任何企业边界之外。
- 云和 SaaS 采用 – 业务关键应用程序和数据已迁移到 Microsoft 365、Google Workspace 和 Salesforce 等云平台。
- 不断扩大的威胁面 – 网络钓鱼、勒索软件、命令与控制僵尸网络以及数据外泄尝试会针对用户，无论其所在位置。
没有 SWG，组织会失去对用户访问了哪些网站和应用程序、哪些威胁到达用户设备，以及哪些数据离开组织的可见性。SWG 通过在云中、靠近用户的位置检查流量来恢复可见性和控制，而不是强制所有流量经过中央数据中心。
Cloudflare Gateway 是 Cloudflare 的 SWG，内置于 Cloudflare One ↗ SASE 平台中。它在 DNS、网络（第 4 层）和 HTTP（第 7 层）检查并过滤流量。
有关 SWG 工作原理的更多信息，请参阅 Cloudflare Learning Center ↗。
每个组织都需要一种方式来控制用户在互联网上可以到达的内容 —— 拦截恶意软件站点、限制高风险应用程序，以及决定流量如何离开企业网络。可以把流量策略看作一组安全检查点，每个检查点在允许流量通过之前检查不同的流量层。
如果你熟悉传统网络安全，Gateway 的策略层可以对应到熟悉的防火墙功能：
- DNS 策略 对应 DNS 层过滤（在建立连接之前拦截域名）。
- 网络策略 对应第 4 层有状态防火墙，有时称为 Firewall-as-a-Service（FWaaS），按 IP 地址、端口和协议进行过滤。
- HTTP 策略 对应第 7 层应用防火墙（带 TLS 解密和深度数据包检查的正向代理）。
与位于单一网络边界的硬件防火墙不同，Gateway 在 Cloudflare 全球网络上执行这些策略，无论用户从何处连接都能保护流量。
Gateway 支持多种策略类型，因为可以在不同层检查网络流量 —— 从原始数据包到完整的 HTTP 请求。每种策略类型在特定层提供控制：
DNS 策略
DNS 策略 检查用户发出的每个 DNS 查询。当查询匹配策略规则时，Gateway 可以阻止该域名解析 —— 站点永远不会加载，因为域名从未被翻译为 IP 地址。
DNS 策略作用于连接的最早阶段，在获取任何内容之前。这使其成为部署最快、覆盖范围最广的策略类型。有关 DNS 过滤 ↗ 的更多信息，请参阅 Cloudflare Learning Center。
使用 DNS 策略拦截恶意域名、限制内容类别，或阻止整个站点加载。为获得完整威胁防护，请将 DNS 策略与 HTTP 策略配对 —— DNS 拦截已知的恶意域名，而 HTTP 捕获隐藏在允许流量中的威胁。
网络策略
网络策略 检查单个 TCP、UDP 和通用路由封装（GRE）数据包。它们可以匹配 IP 地址、端口、协议，以及加密连接开始时发送的服务器名称（Server Name Indication，即 SNI）。
使用网络策略拦截对特定端口或 SSH、RDP 等非 HTTP 服务的访问。
HTTP 策略
HTTP 策略 检查 Web 请求的完整内容 —— 包括 URL、标头以及上传或下载的文件。Gateway 会解密 HTTPS 流量，以便检查 DNS 和网络策略无法看到的内容。这需要在用户设备上安装 Cloudflare 根证书。
使用 HTTP 策略拦截特定 URL、扫描文件上传中的敏感数据、拦截下载中的恶意软件、隔离可疑文件 以进行沙箱分析，并控制用户可以登录的账户。例如，允许公司的 Google Workspace 账户，但拦截个人 Gmail。
集成 Workers（beta）
使用 HTTP Forward（转发）操作 在允许的请求和响应上运行 Worker。Gateway 处理代理连接和路由，而你的 Worker 运行自定义转换或后台任务。请参阅集成 Workers。
解析器策略
解析器策略 将 DNS 查询发送到特定 DNS 服务器，而不是默认的 Cloudflare 解析器。
使用解析器策略解析内部网络上的私有主机名、出于合规将查询路由到你自己的 DNS 服务器，或在通过 Cloudflare One 连接时访问内部资源。
Gateway 策略可以超越网络属性（域名、IP、端口），将用户身份和设备健康状况纳入每项决策。
当用户通过 Cloudflare One Client 连接时，Gateway 可以评估：
- 用户身份 – 来自你的身份提供商的电子邮件地址、组成员资格和身份验证方法（例如 Okta、Microsoft Entra ID 或 Google Workspace）。
- 设备状况 – 操作系统版本、磁盘加密状态、防火墙状态，以及设备序列号是否匹配受管设备列表等信号。有关可用检查的完整列表，请参阅设备状况。
这些信号可以与流量选择器组合，以创建感知上下文的策略。例如，你可以创建 HTTP 策略，仅当用户属于特定组并且 设备已开启磁盘加密时，才允许访问敏感 SaaS 应用程序。
有关使用身份选择器构建策略的详细信息，请参阅基于身份的策略。
在创建 Cloudflare Gateway 流量策略之前，你需要连接要保护的设备或网络，并确认 Cloudflare Gateway 可以检查其流量。对于每种流量策略类型，请遵循此工作流程：
- 连接要保护的设备或网络。
- 验证 Gateway 正在接收来自设备的流量。
- 设置推荐的安全策略 —— 例如，使用 DNS 策略拦截所有安全威胁类别。
- 添加特定于你组织需求的策略。
例如，如果你的目标是防止员工访问已知恶意软件域名，可以先使用 Cloudflare One Client 注册设备（步骤 1），确认 Gateway 日志中出现 DNS 查询（步骤 2），然后创建拦截所有安全风险类别的 DNS 策略（步骤 3）。
下表将常见的流量过滤目标映射到最合适的 Cloudflare Gateway 策略类型：
| 过滤目标 | 策略类型 | 原因 |
|---|---|---|
| 按 URL 拦截网站 | HTTP | 检查完整 URL 路径，而不仅仅是域名 |
| 拦截域名（所有页面） | DNS | 阻止域名解析 |
| 拦截非 HTTP 流量（SSH、RDP） | 网络 | 检查任意端口上的 TCP/UDP 数据包 |
| 拦截恶意软件和威胁 | DNS 和 HTTP | DNS 拦截已知恶意域名。HTTP 捕获允许流量中的威胁。 |
| 对允许的 Web 流量运行自定义逻辑 | HTTP Forward（beta） | 调用 Worker 以转换请求或响应，或启动后台工作 |
| 分配静态出站 IP | 出站（Egress） | 让第三方服务识别你的组织 |
| 在其他策略运行之前丢弃流量 | 数据包过滤 | 按数据包属性拦截，无需用户上下文 |
| 将 DNS 路由到自定义名称服务器 | 解析器 | 覆盖默认 Cloudflare 解析器 |
选择 Cloudflare Gateway 策略类型后，继续使用匹配的设置指南创建适合你流量过滤目标的策略。
你使用的连接方法（接入方式，on-ramp）决定了 Gateway 可以执行的策略类型。下表总结了每种方法：
| 连接方法 | DNS 策略 | 网络策略 | HTTP 策略 | 最适合 |
|---|---|---|---|---|
| Cloudflare One Client (WARP) | 是 | 是 | 是 | 受管设备上的漫游用户（笔记本电脑、手机） |
| DNS 解析器 配置 | 是 | 否 | 否 | 非受管设备、整个网络或初始部署 |
| 代理端点（PAC 文件） | 否 | 否 | 是（仅浏览器） | 无需设备代理的浏览器级 HTTP 过滤 |
| 网络隧道（通过 Magic WAN 的 IPsec/GRE） | 是 | 是 | 是 | 分支机构、数据中心和站点级连接 |
- Cloudflare One Client 提供最广覆盖，是按设备部署的推荐方法。
- DNS 解析器 配置最容易部署（更改路由器或设备上的 DNS 设置）并提供即时保护，但只执行 DNS 策略。
- 代理端点 通过浏览器代理配置启用 HTTP 检查而无需安装客户端，但仅限于浏览器流量。
- 网络隧道 将所有站点流量路由经过 Gateway，最适合保护整个办公地点或数据中心。
你可以组合多种接入方式。例如，为远程员工使用 Cloudflare One Client，为分支机构使用网络隧道。
当用户发出请求时，Gateway 会在允许连接通过之前在多个层进行检查。下图显示端到端流程：
flowchart LR
accTitle: Gateway 流量流程
accDescr: 说明流量如何从用户设备经接入方式到达 Cloudflare Gateway 进行策略评估，然后到达目标。
A["用户设备"] --> B["接入方式"]
B --> C["Cloudflare 边缘<br/>（最近位置）"]
C --> D["策略评估"]
D --> E["目标<br/>服务器"]
E --> D
D --> C
C --> B
B --> A
- 用户设备发送请求（DNS 查询、TCP 连接或 HTTP 请求）。
- 请求通过接入方式 到达 Cloudflare —— Cloudflare One Client、DNS 解析器配置、代理端点或网络隧道。
- Cloudflare 在最近的边缘位置 处理请求，而不是集中式数据中心。无论用户从何处连接，这都能保持低延迟。
- Gateway 按照执行顺序根据你配置的策略评估请求：先 DNS 策略，然后网络策略，然后 HTTP 策略。
- 对于允许的 HTTP 请求，Gateway 会调用由第一条匹配策略通过 Forward（转发）操作 选择的 Worker。没有 Forward 匹配的允许流量会被直接代理。Gateway 在返回路径上检查最终响应。
有关 Gateway 如何代理流量并建立连接的详细信息，请参阅代理。
有关解决 Cloudflare Gateway 策略常见问题的帮助，请参阅问题排查。