Cloudflare vừa công bố đưa khả năng lập trình thực sự vào Cloudflare Gateway (secure web gateway) và DLP (Data Loss Prevention) bằng cách tích hợp trực tiếp với nền tảng edge compute Cloudflare Workers. Hai tính năng mới là Forward action cho Gateway và custom validation functions cho DLP, dành cho tất cả gói Zero Trust.
Nguồn: A fully programmable secure web gateway (Cloudflare Blog, 15/10/2026).
Giới hạn của secure web gateway truyền thống
Theo Cloudflare, gần 30 năm nay mọi secure web gateway đều vận hành theo cùng một mô hình: traffic khớp điều kiện thì kích hoạt một hành động cố định như Allow, Block, Isolate, Log. Mô hình này xử lý tốt các trường hợp phổ biến, nhưng có "trần" mà doanh nghiệp có môi trường phức tạp thường xuyên chạm tới.
Đội bảo mật vì vậy luôn phải chọn một trong hai:
- Tự vận hành firewall, proxy riêng để tùy biến tối đa, đổi lại chi phí bảo trì cao và khó di chuyển.
- Chấp nhận giới hạn của nhà cung cấp để giảm gánh nặng vận hành, nhưng mất sự linh hoạt cho các bài toán đặc thù.
Cloudflare nêu một số ví dụ quen thuộc:
- Cần chèn HTTP header dựa trên claim trong JWT từ nhà cung cấp danh tính, nhưng Gateway không đọc được JWT, nên đội ngũ phải dựng cả một cụm proxy NGINX chỉ để biến đổi header, rồi phải vá lỗi, giám sát và bảo vệ cụm đó vô thời hạn.
- Muốn nhận thông báo Slack ngay khi nhân viên đăng ký một dịch vụ SaaS mới, nhưng chính sách chỉ có Allow hoặc Block, nên phải xây pipeline Logpush sang SIEM rồi sang Slack với độ trễ 5 đến 15 phút và không đảm bảo gửi được.
- Muốn hiển thị trang cảnh báo yêu cầu người dùng nêu lý do trước khi truy cập đích nhạy cảm, nhưng phản hồi động, tùy biến từ policy engine rất khó làm.
Vì sao Cloudflare làm được điều này
Cloudflare Workers đã chạy logic của khách hàng tại hơn 330 địa điểm trên toàn cầu, và Cloudflare Gateway thực thi chính sách bảo mật tại chính những địa điểm đó, trên cùng máy chủ, trong cùng data center. Khi Gateway chuyển traffic sang một Worker, đó chỉ là một lời gọi hàm cục bộ: không vòng traffic qua nơi khác, không thêm độ trễ do vượt ranh giới mạng.
Theo Cloudflare, các nhà cung cấp SASE độc lập không có nền tảng compute riêng sẽ buộc khách hàng triển khai tự động hóa ở một cloud khác, cấu hình webhook thủ công và chấp nhận độ trễ round-trip khi ghép các hệ thống rời rạc.
Forward action: biến đổi traffic như một proxy
Forward là loại hành động mới trong chính sách Gateway, chuyển HTTP request khớp điều kiện tới một Worker. Worker đóng vai trò middleware nội tuyến: nhận đầy đủ header và body, có thể sửa request, chuyển tiếp tới origin, nhận response, sửa tiếp response rồi trả kết quả cuối cho người dùng.
Một số điểm đáng chú ý:
- Chính sách Forward được đánh giá cho traffic đã được các HTTP policy cho phép; rule Forward khớp đầu tiên sẽ được áp dụng.
- Gateway lo phần kết nối TCP, chấm dứt và mã hóa lại TLS, quản lý chứng chỉ và đàm phán phiên bản HTTP. Worker chỉ chịu trách nhiệm logic biến đổi, nên doanh nghiệp không phải tự vận hành một HTTP proxy truyền thống.
- Worker không bắt buộc phải sửa request. Một rule có thể chỉ nhằm gửi ngữ cảnh request sang Worker để chạy bất đồng bộ: gửi tin Slack, ghi vào R2, đẩy log ra pipeline ngoài, gọi webhook, cập nhật KV, trong khi traffic vẫn đi tiếp bình thường.
Forward action đang ở giai đoạn public beta từ ngày công bố.
Custom Functions: đưa logic riêng vào điều kiện chính sách
Custom Function gọi một Worker ngay trong quá trình Gateway đánh giá chính sách và nhận về một giá trị. Hàm này xuất hiện như một selector trong trình dựng chính sách Gateway, dùng được trong điều kiện của bất kỳ rule network hoặc HTTP nào, giống selector có sẵn như Source IP hay Content Category.
- Worker nhận ngữ cảnh của request: IP nguồn, đích, danh tính người dùng, device posture, HTTP header và các thông tin khác tùy giai đoạn đánh giá.
- Worker trả về một giá trị có kiểu (chuỗi, số hoặc boolean) để Gateway dùng trong điều kiện rule. Nguyên tắc đơn giản: dữ liệu vào, giá trị ra.
- Ví dụ trong bài: một hàm đọc JWT trong header Authorization và trả về vai trò người dùng; quản trị viên tạo rule "JWT Role chứa finance_contractor thì Allow".
- Custom Function không chỉ dành cho HTTP: vì nhận danh tính, device posture và metadata kết nối, nó dùng được cả trong Gateway Network policy cho traffic Layer 4 với port và giao thức bất kỳ.
- Bên trong Worker có thể gọi API ngoài, đọc KV hoặc D1, hay gọi Workers AI.
Custom Functions cho Gateway dự kiến ra mắt trước cuối năm.
Cloudflare khuyến nghị dùng Custom Function cho các phép đánh giá nhanh, có giới hạn, không trạng thái; còn Forward action dành cho các phép biến đổi request và response phức tạp, cần thiết kế cẩn thận để không ảnh hưởng trải nghiệm người dùng.
Doanh nghiệp có thể xây gì
Cloudflare đưa ra các ví dụ ứng dụng:
- Trang yêu cầu nêu lý do truy cập: Worker chặn request tới đích nhạy cảm, hiển thị trang yêu cầu người dùng ghi lý do; lưu phiên vào KV với TTL để chỉ hỏi một lần mỗi chu kỳ, và ghi danh tính cùng lý do vào D1 làm nhật ký kiểm toán (hoặc qua Hyperdrive vào database nội bộ sẵn có). Cloudflare cho biết đây là một trong những tính năng được yêu cầu nhiều nhất suốt hơn bốn năm.
- Chèn HTTP header động: đọc vai trò hoặc nhóm từ JWT rồi đặt header như
X-App-Rolecho request đi tới ứng dụng, không cần cụm proxy NGINX. - Kiểm tra và lưu trữ file: khi file tải xuống khớp tiêu chí, Worker gửi file sang dịch vụ sandbox bên thứ ba để phân tích, hoặc lưu toàn bộ file vào R2 để kiểm tra sau mà file không rời mạng Cloudflare.
- Cảnh báo theo thời gian thực: khi một DLP profile khớp, Worker gửi tin tới Slack hoặc PagerDuty kèm email người dùng, rule đã kích hoạt và URL đích.
- Logic đánh giá phức tạp: dùng Custom Function làm phần mở rộng tính toán cho hệ thống chấm điểm rủi ro nội bộ hoặc sơ đồ người dùng, nhóm, điều kiện thành viên phức tạp, rồi trả một giá trị duy nhất cho Gateway.
DLP custom validation functions: giảm cảnh báo sai
DLP của Cloudflare vốn đã tích hợp với Gateway, AI Gateway, Email Security và nhiều dịch vụ khác. Theo Cloudflare, các công cụ bảo vệ dữ liệu thường dựa vào mẫu (regex, danh sách từ, keyword) nên chỉ biết dữ liệu "trông giống" dữ liệu nhạy cảm, chứ không biết lần xuất hiện cụ thể đó có thực sự là rò rỉ hay không. Giải pháp exact data match lại buộc doanh nghiệp chuẩn bị, duy trì và chuyển các bộ dữ liệu tham chiếu nhạy cảm cho nhà cung cấp.
Custom validation functions cho DLP có sẵn từ ngày công bố, cho phép doanh nghiệp tự định nghĩa logic xác thực dựa trên nguồn dữ liệu của chính mình, chạy trong Cloudflare Worker và áp dụng ở mọi nơi dùng DLP.
Ví dụ trong bài: khi DLP phát hiện thứ trông như GitHub secret, Worker kiểm tra trạng thái của key đó với GitHub trước khi ra quyết định. Key còn hiệu lực thì DLP match; key không hợp lệ thì bỏ qua. Nhờ vậy đội bảo mật chỉ xử lý những secret thật sự còn hoạt động.
Hiệu năng, độ tin cậy và chi phí
- Gateway và Workers chạy trên cùng máy chủ nên việc gọi Worker không thêm bước nhảy mạng; ảnh hưởng hiệu năng chỉ là thời gian chạy code của Worker.
- Khi Custom Function lỗi, quá thời gian hoặc trả giá trị không mong đợi, quản trị viên cấu hình hành vi dự phòng cho từng hàm; giá trị mặc định là bắt buộc trong hợp đồng của hàm.
- Khi GA, cả hai tính năng sẽ có cho mọi khách hàng ở mọi gói.
- Traffic gửi sang Worker được tính như request Worker tiêu chuẩn, dùng được với Workers Free, Workers Paid và Workers for Enterprise. Gói Workers Free có giới hạn thời gian chạy và số request mỗi ngày, cần cân nhắc khi lượng traffic Gateway gửi sang Worker tăng.
Tiếp theo
Cloudflare cho biết đang mở rộng thêm các điểm có thể gọi logic tùy biến trên toàn bộ bộ Cloudflare One, với Email Security là bước tiếp theo.
Ý nghĩa với doanh nghiệp Việt Nam
Với doanh nghiệp đang dùng hoặc cân nhắc Cloudflare Zero Trust:
- Có thể thay các cụm proxy, script hay pipeline "chắp vá" quanh gateway bằng Worker chạy ngay trên mạng Cloudflare, giảm hạ tầng phải tự vận hành.
- Có thể đưa dữ liệu và quy tắc nội bộ (vai trò, mức rủi ro, trạng thái key) vào quyết định chính sách thay vì chỉ dựa vào các selector có sẵn.
- DLP chính xác hơn giúp đội bảo mật tập trung vào rủi ro thật, nhất là khi dữ liệu và secret có thể lộ qua công cụ AI và SaaS.
Kết luận
Với Forward action (public beta) và Custom Functions (dự kiến trước cuối năm) cho Gateway, cùng custom validation functions cho DLP (có sẵn ngay), Cloudflare biến secure web gateway thành nền tảng có thể lập trình bằng Workers: mọi thứ Worker làm được giờ có thể trở thành một phần chính sách bảo mật.
LionTech là đối tác Cloudflare tại Việt Nam. Nếu bạn muốn đánh giá Cloudflare Zero Trust, Gateway, DLP hoặc Workers cho hệ thống hiện tại, liên hệ LionTech để được tư vấn phù hợp.
Bài viết dựa trên thông tin công bố tại blog.cloudflare.com/programmable-gateway-dlp.
