作者 | Renato Losio

譯者 | 馬可薇

Cloudflare 最近推出了 自定義區(qū)域，這是對其區(qū)域服務(wù)的一次擴(kuò)展，讓客戶可以精確定義數(shù)據(jù)在哪些地方被處理。通過按國家或地區(qū)選擇特定的數(shù)據(jù)中心組合，客戶可以確保 TLS 終止和應(yīng)用層處理始終發(fā)生在指定的地理范圍內(nèi)，從而滿足合規(guī)和數(shù)據(jù)控制需求。

這個(gè)新功能要求客戶完成三件事：定義區(qū)域成員范圍、將流量路由到區(qū)域內(nèi)的目標(biāo)節(jié)點(diǎn)，以及在邊緣側(cè)強(qiáng)制執(zhí)行這些限制。Cloudflare 的系統(tǒng)工程師 Andrew Berglund 和產(chǎn)品負(fù)責(zé)人 Erik Engstrom 表示：

雖然我們預(yù)定義的 35 個(gè)區(qū)域已經(jīng)能滿足很多客戶的需求，但數(shù)字世界并不是“一刀切”的。我們聽到了大家的反饋：你們希望指定某個(gè)國家、組合多個(gè)國家，甚至從一個(gè)區(qū)域中排除某些國家。

根據(jù)官方介紹，自定義區(qū)域可以通過任意地理組合來定義。例如，一個(gè)區(qū)域可以包含北美（加拿大、美國和墨西哥），也可以排除這三個(gè)國家。甚至還可以基于一些“非傳統(tǒng)”的標(biāo)準(zhǔn)來劃分，比如所有使用華氏溫度的國家（包括美國、巴哈馬、開曼群島、馬紹爾群島和利比里亞）。Berglund 和 Engstrom 補(bǔ)充說：

區(qū)域服務(wù)的核心其實(shí)很簡單：TLS 終止和第 7 層處理只會(huì)發(fā)生在你指定的區(qū)域內(nèi)。而自定義區(qū)域則進(jìn)一步擴(kuò)展了這個(gè)能力，讓你可以自定義“區(qū)域”本身的定義方式。

在 區(qū)域流量 處理上，Cloudflare 的思路和 Azure、AWS 不太一樣。傳統(tǒng)云廠商通常是“以區(qū)域?yàn)橹行摹保╮egion-first），在固定地理區(qū)域內(nèi)的一部分?jǐn)?shù)據(jù)中心部署資源；而 Cloudflare 是“以邊緣為中心”（edge-first），在全球邊緣網(wǎng)絡(luò)上運(yùn)行工作負(fù)載。不過，對于需要滿足區(qū)域合規(guī)或希望控制數(shù)據(jù)駐留范圍的客戶，Cloudflare 仍然支持在指定區(qū)域內(nèi)處理流量。

Cloudflare 對區(qū)域邊界的執(zhí)行方式是這樣的：流量會(huì)先在離用戶最近的數(shù)據(jù)中心接入并進(jìn)行基礎(chǔ)防護(hù)（包括全局接入和三層或四層的 DDoS 防護(hù)），然后系統(tǒng)會(huì)判斷該請求是否屬于配置的區(qū)域。如果屬于，就在本地處理；如果不屬于，就轉(zhuǎn)發(fā)到符合條件的數(shù)據(jù)中心，在那里完成 TLS 終止和第 7 層處理。

雖然開發(fā)者通常很喜歡 Cloudflare“默認(rèn)全球化”的簡單體驗(yàn)，但這種引入?yún)^(qū)域限制的能力，往往被視為一種為了滿足合規(guī)要求而做的權(quán)衡。在領(lǐng)英上，R5 Inteligência Digital 評論道：

當(dāng)合規(guī)和延遲都變得重要時(shí)，細(xì)粒度的區(qū)域邊界正在成為董事會(huì)層面的需求。自定義區(qū)域有助于團(tuán)隊(duì)把“策略意圖”轉(zhuǎn)化為可執(zhí)行的運(yùn)行控制。

來源：Cloudflare 博客

Custom Regions 的配置流程基于三個(gè)核心步驟：定義區(qū)域成員范圍、選擇區(qū)域內(nèi)的目標(biāo)節(jié)點(diǎn)，以及在邊緣執(zhí)行邊界控制。

與 Cloudflare 管理的預(yù)定義區(qū)域不同，自定義區(qū)域通過表達(dá)式來定義區(qū)域成員。例如，可以使用 country_code（數(shù)據(jù)中心所在國家的 ISO 代碼）來寫規(guī)則。工程師可以定義包含規(guī)則，比如：country_code == "TR" 或 country_code in ["DE", "FR", "NL"]。也可以定義排除規(guī)則，比如：!(country_code in ["US", "CA", "MX"]) 。系統(tǒng)會(huì)根據(jù)這些表達(dá)式，對數(shù)據(jù)中心的元數(shù)據(jù)進(jìn)行匹配，從而確定區(qū)域范圍。

在選擇區(qū)域內(nèi)最佳目標(biāo)節(jié)點(diǎn)時(shí)，Cloudflare 會(huì)在一組預(yù)先允許的數(shù)據(jù)中心中進(jìn)行篩選，并結(jié)合每個(gè)入口點(diǎn)的實(shí)時(shí)網(wǎng)絡(luò)質(zhì)量、容量和健康狀態(tài)等指標(biāo)，選出最優(yōu)的處理位置。

目前，這項(xiàng)新功能還不支持自助開通，客戶需要聯(lián)系對應(yīng)的賬戶團(tuán)隊(duì)才能使用。

聲明：本文為 InfoQ 翻譯，未經(jīng)許可禁止轉(zhuǎn)載。