云网洞察 · 每周归档

云网赛道洞察周报

2026 年 10 月 13 日至 10 月 19 日公有云网络官方更新与判断

云网络控制面开始承载更细的路由与策略边界
Cloudflare 本周提高 Tunnel 路由容量，并把 BGP 过滤、自定义应用和边缘代码接入现有控制面。扩容后的配置治理与变更审计需要同步补齐。
覆盖厂商1
确认事项6
官方来源7
下载 Word 版 查看来源
统计窗口 2026-10-13 ～ 2026-10-19
总览结论 云网络控制面开始承载更细的路由与策略边界
官方来源数量 7
一、行业大势：连接规模提升后，策略控制继续下沉二、客户需求：策略对象要适配自定义业务与会话边界三、竞品研判：SASE 策略面开始允许客户代码介入四、技术供给：DNS 权威服务和入口防护同时更新五、机遇风险：本周行动清单

一、行业大势：连接规模提升后，策略控制继续下沉

隧道规模

  • Cloudflare 将每账号 Tunnel 和 Mesh 路由默认上限从 1,000 条提高到 50,000 条，CIDR 路由和主机名路由共用这一额度。公开应用不计入该上限。[Cloudflare]
  • 单账号仍默认包含 1,000 个隧道。超过该数量需购买 Tunnels for Platforms，容量规划应分别核对路由条目、隧道数量和单隧道配置规模。[Cloudflare]

路由控制

  • Cloudflare WAN 和 Magic Transit 的 IPsec、GRE 隧道新增 BGP 导入与导出过滤。过滤配置支持允许或拒绝动作，并可按精确前缀、更具体前缀和前缀长度匹配。[Cloudflare]
  • 每条隧道可绑定一个导入过滤配置和一个导出过滤配置，修改配置不重置 BGP 会话。变更速度更快，也要求平台保留审批、版本和回退记录。[Cloudflare]

二、客户需求：策略对象要适配自定义业务与会话边界

自定义应用

  • Cloudflare Application Library 支持创建自定义应用，可用主机名、IP 子网或两者组合定义，并通过 TCP、UDP 端口进一步收窄范围。对象可直接用于 Gateway DNS、Network 和 HTTP 策略。[Cloudflare]
  • 自定义应用减少了按域名和网段重复编写策略的工作量。上线前仍需处理域名漂移、共享 IP 和端口复用，避免应用对象覆盖过宽。[Cloudflare]

SSH 会话

  • Cloudflare Access 基础设施应用新增可配置会话时长，默认 24 小时。时长到期后，活动 SSH 连接会关闭，用户需要重新连接。[Cloudflare]
  • 同一目标匹配多个基础设施应用时采用最短会话时长。运维侧需要把会话期限与堡垒机审批、长任务执行和紧急访问流程一起核对。[Cloudflare]

三、竞品研判：SASE 策略面开始允许客户代码介入

Gateway 与 Workers

  • Cloudflare Gateway 与 Workers 集成进入公开测试。Gateway HTTP 策略可通过 Forward 动作把已允许的流量交给 Worker，执行请求和响应改写、提示页返回或后台通知。[Cloudflare]
  • Gateway 继续负责代理连接、TLS 解密和上游路由，并在转发前后执行策略检查。竞品比较可增加代码执行位置、上下文范围、失败处理、时延和费用五项。[Cloudflare]

四、技术供给：DNS 权威服务和入口防护同时更新

自定义权威 DNS

  • Cloudflare 面向企业账号测试 nameserver sets，可将 2 至 5 个自定义权威 DNS 名称组成可复用对象，并分配给同账号下的多个域。[Cloudflare]
  • 每个名称最多可分配 3 个 IPv4 和 3 个 IPv6 地址。对象创建后不可修改，新增或删除名称需要新建对象再切换，可减少共享配置被原地改动带来的连锁影响。[Cloudflare]

紧急 WAF 规则

  • Cloudflare 10 月 14 日紧急增加一条通用远程代码执行检测并直接设为阻断，用于拦截利用无效路径序列触发命令执行的在野攻击。[Cloudflare]
  • 该规则只覆盖入口请求特征。受影响框架仍需按厂商公告修复，并检查主机、应用和身份日志中的入侵迹象。[Cloudflare]

五、机遇风险：本周行动清单

建议推进

  • 盘点每个账号的隧道、CIDR 路由和主机名路由数量，为接近原 1,000 条上限的租户补做命名、归属和回收规则。[Cloudflare]
  • 为 BGP 导入和导出过滤建立模板，测试误拒绝、误放行和回退流程，并把过滤配置版本纳入网络变更记录。[Cloudflare]
  • 选取一类自定义应用验证 Gateway 策略和 Worker 扩展，记录新增时延、错误处理、日志字段和费用。[Cloudflare] [Cloudflare]

风险边界

  • 50,000 条默认路由提高了容量，没有消除重叠前缀、无主配置和批量误发布风险。[Cloudflare] [Cloudflare]
  • Gateway 与 Workers 集成仍处于公开测试，生产引入前需确认服务等级、资源限制和异常旁路方式。[Cloudflare]
  • nameserver sets 仍处于测试阶段，且对象不可修改。域名迁移方案需要预留新旧对象并行和 DNS 缓存收敛时间。[Cloudflare]

附录：来源链接清单

更新于 2026-11-09 08:43:29 · insight.zskmm.cn