TYO Reach vs Cloudflare Access
Cloudflare Access (một phần của Zero Trust) đặt một bức tường đăng nhập trước các ứng dụng nội bộ của bạn. TYO Reach cung cấp cho nhóm của bạn một điểm đầu ra được quản lý cho lưu lượng đi ra internet công cộng. Họ bảo vệ các đầu đối diện của kết nối.
Bảo vệ đầu vào vs Kiểm soát đầu ra
Cloudflare Access — bảo vệ ứng dụng của bạn khỏi internet
Access đặt Cloudflare trước các công cụ nội bộ của bạn. Một thành viên nhóm đi đến URL của ứng dụng của bạn, Cloudflare chặn, xác minh danh tính qua IdP của bạn (Google, Okta, Azure AD) và chỉ cho phép họ qua nếu họ vượt qua. Ứng dụng của bạn không bao giờ bị tấn công trực tiếp.
TYO Reach — kiểm soát nơi lưu lượng của bạn đi ra
Reach nằm giữa các thiết bị của nhóm bạn và internet công cộng. Tất cả lưu lượng trình duyệt và ứng dụng đi ra từ một IP cổng cố định. Các công cụ SaaS bên ngoài thấy IP đó — không phải IP tại nhà của người dùng của bạn. Reach cũng thực thi MFA khi đăng nhập và cho phép bạn đặt các quy tắc định tuyến tập trung.
Đặt cạnh nhau
| Feature | TYO Reach | Cloudflare Access |
|---|---|---|
| IP đầu ra tĩnh cho lưu lượng đầu ra của nhómCF: IP đầu ra chuyên dụng chỉ có trên các gói Enterprise | có | một phần |
| Cổng internet — kiểm soát định tuyến đầu raCF: WARP + Gateway có sẵn nhưng phức tạp để cấu hình | có | một phần |
| Bảo vệ ứng dụng nội bộ bằng proxy nhận diện danh tínhReach không bảo vệ ứng dụng của bạn khỏi các yêu cầu đầu vào | không | có |
| Liên kết IdP (Google, Okta, Azure AD) | sắp có | có |
| MFA trên mọi lần đăng nhập | có | có |
| Quy tắc định tuyến tên miền theo ứng dụngCF: qua các chính sách DNS/HTTP của Gateway | có | có |
| Danh tính được lưu trữ tại ÚcDanh tính Cloudflare được lưu trữ tại Mỹ | có | không |
| Hoạt động trên máy được quản lý (không có trình điều khiển kernel)CF: ứng dụng WARP cài đặt một bộ điều hợp mạng cấp kernel | có | một phần |
| Gói người tiêu dùng / cá nhânCloudflare là sản phẩm chỉ dành cho nhóm | có | không |
| Gói miễn phí (nhóm nhỏ) | có (cá nhân 2 GB) | có (lên đến 50 người dùng) |
| Nhật ký kiểm tra | sắp có | có |
| Kiểm tra tư thế thiết bị | không | có |
| Đường hầm mạng đến LAN riêng của bạnCF: Cloudflare Tunnel; Reach ZTNA sắp có | sắp có | có |
| Giá cả | Mỗi chỗ ngồi (giá SMB) | Miễn phí ≤50 người dùng; $7/người dùng/tháng Pay-As-You-Go; Enterprise tùy chỉnh |
Khi nào chọn cái nào
Chọn Reach nếu…
Bạn cần lưu lượng của nhóm mình đi ra từ một địa chỉ IP tĩnh, có thể kiểm tra — cho danh sách cho phép IP SaaS, yêu cầu địa lý APAC hoặc chính sách đầu ra được kiểm soát. Cũng là lựa chọn đúng nếu bạn đang sử dụng máy Windows được bảo vệ điểm cuối nơi trình điều khiển kernel của WARP sẽ bị chặn.
Chọn Cloudflare Access nếu…
Bạn tự lưu trữ các công cụ nội bộ (wiki, môi trường phát triển, bảng điều khiển quản trị) và cần chặn chúng sau SSO mà không mở cổng tường lửa. Proxy danh tính đầu vào của Cloudflare là tốt nhất trong phân khúc cho trường hợp sử dụng này.
Sử dụng cả hai nếu…
Hầu hết các nhóm trưởng thành đều làm vậy. Cloudflare Access bảo vệ các ứng dụng nội bộ hướng đầu vào của bạn; Reach quản lý nơi lưu lượng đầu ra của nhóm bạn xuất hiện. Chúng bổ sung cho nhau một cách tự nhiên.
Cloudflare Gateway có thể thay thế TYO Reach không?
Cloudflare Gateway (phần lọc đầu ra của Zero Trust) chồng chéo với các khả năng định tuyến của Reach, nhưng nó yêu cầu ứng dụng WARP — một bộ điều hợp mạng cấp kernel thường bị chặn trên các máy được bảo vệ điểm cuối. Reach sử dụng phương pháp proxy không gian người dùng hoạt động mà không cần quyền quản trị hoặc mô-đun kernel. Gateway cũng yêu cầu Cloudflare làm trình phân giải DNS của bạn, điều mà một số tổ chức thích giữ nội bộ.
TYO Reach có bảo vệ các ứng dụng nội bộ của tôi như Cloudflare Access không?
Chưa. Reach ZTNA (truy cập đường hầm ngược vào tài nguyên LAN) nằm trong lộ trình nhưng chưa có sẵn hôm nay. Nếu bạn cần chặn các ứng dụng nội bộ sau một proxy nhận diện danh tính ngay bây giờ, Cloudflare Access hoặc một giải pháp tương tự là lựa chọn đúng cho phần đó.
Tôi có thể sử dụng TYO ID với Cloudflare Access không?
Cloudflare Access hỗ trợ bất kỳ nhà cung cấp danh tính tương thích OIDC nào. TYO ID tương thích với OIDC — liên kết với Cloudflare Access về mặt kỹ thuật là có thể, mặc dù chưa được ghi lại là một đường dẫn được hỗ trợ. Nếu điều này quan trọng với thiết lập của bạn, hãy liên hệ với [email protected].