零信任 / SASE
Cloudflare Gateway（安全 Web 网关）
在 DNS 与 HTTP 层面对员工的上网流量做过滤与管控，配合 Access 构成完整的 SASE 控制平面。
Cloudflare Gateway（安全 Web 网关）
它解决什么问题
员工上网这条路径长期缺少管控：访问了什么网站、往哪里传了什么数据，企业基本是盲的。Gateway 把 DNS 解析和 HTTP 流量都纳入策略引擎，配合 DLP 可以做内容检查。
能力边界
- DNS 过滤：按类别或自定义名单阻断域名解析，部署最轻。
- HTTP 检查：需要 WARP 客户端或代理配置，能看到完整 URL 与内容类型。
- DLP：基于模式匹配识别敏感数据外传。
- 与 Access 联动：同一个策略引擎同时管“访问内部应用”和“访问互联网”。
需要注意
- 仅做 DNS 过滤可被绕过（如 DoH），需要结合客户端。
- HTTPS 解密涉及证书部署和隐私合规，上线前要和法务、员工沟通清楚。
我们的建议
先只开 DNS 过滤并观察一两周的日志，摸清员工实际上网画像，再逐步收紧策略。一开始就上严格策略，误杀会直接摧毁项目口碑。