Cloudflare Gateway 정책에 Traffic Source selector 추가, WARP·Magic WAN·프록시 유입 경로별 제어 지원
Cloudflare는 Gateway HTTP 및 Network 정책에서 트래픽이 어떤 경로로 Cloudflare에 도달했는지 식별하는 Traffic Source selector를 추가했다. 이번 변경은 동일한 사용자나 애플리케이션 트래픽이라도 WARP 클라이언트, Magic WAN, 프록시 엔드포인트, 클라이언트리스 세션 등 유입 방식에 따라 상이한 접근 제어와 검사 정책을 나눌 수 있게 한다는 점이 핵심이다.
정책 조건에 유입 경로 구분값 추가
새 selector는 Gateway 정책에서 트래픽의 on-ramp 방식을 기준으로 조건을 작성할 수 있게 한다. Cloudflare가 제시한 대상에는 Cloudflare One Client(WARP), Cloudflare Mesh connector, Cloudflare WAN(Magic WAN), clientless RDP, proxy endpoint(PAC 파일), clientless Browser Isolation, MCP portal이 포함된다.
운영 측면에서는 기존에 사용자·디바이스·네트워크 대상 기준으로만 나누던 규칙을, 실제 유입 채널 기준으로 더 촘촘하게 분기할 수 있다. 예를 들어 동일한 사내 계정이라도 단말 에이전트 경유 트래픽과 프록시 엔드포인트 경유 트래픽을 서로 다른 검사 강도나 허용 범위로 분리하는 식의 설계가 가능해진다.
HTTP와 Network 정책 모두에서 사용 가능
이번 selector는 HTTP 정책과 Network 정책에 모두 적용된다. 따라서 웹 접근 제어뿐 아니라 네트워크 단위 정책에서도 동일한 유입 경로 속성을 참조해 일관된 정책 체계를 구성할 수 있다.
Cloudflare는 이 selector가 API 필드 net.onramp.type을 사용한다고 명시했다. 운영팀이 정책 자동화나 IaC 방식으로 Gateway 설정을 관리한다면, UI에만 의존하지 않고 해당 필드를 기준으로 정책 정의와 변경 이력을 관리할 수 있는지 확인할 필요가 있다.
운영자가 점검할 부분
접속 경로별로 이미 내부 표준이 있는 환경이라면 정책 중복이나 충돌 여부를 먼저 점검하는 것이 좋다. 특히 원격근무 단말은 WARP, 지사·회선 연동은 Magic WAN, 예외 접속은 프록시 엔드포인트처럼 구조가 나뉜 환경에서는 기존 허용 규칙이 새 조건 분기로 인해 의도치 않게 좁아지거나 넓어질 수 있다.
국내 또는 일본 거점과 본사망을 함께 운영하는 네트워크 환경에서도, 실제 IDC나 코로케이션 회선 자체를 제어하는 기능으로 해석하기보다는 Cloudflare로 유입되는 방식별 보안 정책 분리에 초점을 두는 편이 정확하다. 서버호스팅·기업망 운영자는 원격 접속, 브라우저 격리, 클라이언트리스 세션 같은 접속 형태가 서로 다른 보안 기준을 요구하는지부터 정리하는 것이 현실적인 적용 순서다.
핵심 포인트
- Gateway HTTP·Network 정책에 Traffic Source selector가 추가됐다.
- WARP, Mesh, Magic WAN, proxy endpoint, clientless RDP, clientless Browser Isolation, MCP portal 구분이 가능하다.
- 정책 조건은 net.onramp.type API 필드를 사용한다.
- 유입 경로별로 상이한 접근 제어·검사 정책을 설계할 수 있다.