“隨選隨配”的自定義區域：Cloudflare 推出細粒度數據駐留控制

作者 | Renato Losio

譯者 | 馬可薇

Cloudflare 最近推出了 自定義區域，這是對其區域服務的一次擴展，讓客戶可以精確定義數據在哪些地方被處理。通過按國家或地區選擇特定的數據中心組合，客戶可以確保 TLS 終止和應用層處理始終發生在指定的地理范圍內，從而滿足合規和數據控制需求。

這個新功能要求客戶完成三件事：定義區域成員范圍、將流量路由到區域內的目標節點，以及在邊緣側強制執行這些限制。Cloudflare 的系統工程師 Andrew Berglund 和產品負責人 Erik Engstrom 表示：

雖然我們預定義的 35 個區域已經能滿足很多客戶的需求，但數字世界并不是“一刀切”的。我們聽到了大家的反饋：你們希望指定某個國家、組合多個國家，甚至從一個區域中排除某些國家。

根據官方介紹，自定義區域可以通過任意地理組合來定義。例如，一個區域可以包含北美（加拿大、美國和墨西哥），也可以排除這三個國家。甚至還可以基于一些“非傳統”的標準來劃分，比如所有使用華氏溫度的國家（包括美國、巴哈馬、開曼群島、馬紹爾群島和利比里亞）。Berglund 和 Engstrom 補充說：

區域服務的核心其實很簡單：TLS 終止和第 7 層處理只會發生在你指定的區域內。而自定義區域則進一步擴展了這個能力，讓你可以自定義“區域”本身的定義方式。

在 區域流量 處理上，Cloudflare 的思路和 Azure、AWS 不太一樣。傳統云廠商通常是“以區域為中心”（region-first），在固定地理區域內的一部分數據中心部署資源；而 Cloudflare 是“以邊緣為中心”（edge-first），在全球邊緣網絡上運行工作負載。不過，對于需要滿足區域合規或希望控制數據駐留范圍的客戶，Cloudflare 仍然支持在指定區域內處理流量。

Cloudflare 對區域邊界的執行方式是這樣的：流量會先在離用戶最近的數據中心接入并進行基礎防護（包括全局接入和三層或四層的 DDoS 防護），然后系統會判斷該請求是否屬于配置的區域。如果屬于，就在本地處理；如果不屬于，就轉發到符合條件的數據中心，在那里完成 TLS 終止和第 7 層處理。

雖然開發者通常很喜歡 Cloudflare“默認全球化”的簡單體驗，但這種引入區域限制的能力，往往被視為一種為了滿足合規要求而做的權衡。在領英上，R5 Inteligência Digital 評論道：

當合規和延遲都變得重要時，細粒度的區域邊界正在成為董事會層面的需求。自定義區域有助于團隊把“策略意圖”轉化為可執行的運行控制。

來源：Cloudflare 博客

Custom Regions 的配置流程基于三個核心步驟：定義區域成員范圍、選擇區域內的目標節點，以及在邊緣執行邊界控制。

與 Cloudflare 管理的預定義區域不同，自定義區域通過表達式來定義區域成員。例如，可以使用 country_code（數據中心所在國家的 ISO 代碼）來寫規則。工程師可以定義包含規則，比如：country_code == "TR" 或 country_code in ["DE", "FR", "NL"]。也可以定義排除規則，比如：!(country_code in ["US", "CA", "MX"]) 。系統會根據這些表達式，對數據中心的元數據進行匹配，從而確定區域范圍。

在選擇區域內最佳目標節點時，Cloudflare 會在一組預先允許的數據中心中進行篩選，并結合每個入口點的實時網絡質量、容量和健康狀態等指標，選出最優的處理位置。

目前，這項新功能還不支持自助開通，客戶需要聯系對應的賬戶團隊才能使用。

聲明：本文為 InfoQ 翻譯，未經許可禁止轉載。