22 октября Cloudflare сообщила о поддержке нормализации URL в Tunnel начиная с cloudflared 2026.10.0. Обработка выполняется перед сопоставлением ingress-правил. На Mentoring.digital объясняем, почему это важно для маршрутов с проверкой Cloudflare Access.
Меняется выбор правила, а не путь к приложению
Нормализация приводит путь к форме, используемой при сравнении с правилами. При этом путь URL, отправляемый исходному серверу, остаётся прежним. Поэтому проверку соответствия ingress и поведение самого приложения нужно рассматривать отдельно.
По объявлению Cloudflare, изменение улучшает защиту туннелей с правилами, требующими проверки Access. Конфигурации без таких правил не затрагиваются описанным изменением. Из анонса нельзя вывести, что все туннели ранее пропускали неавторизованные запросы.
Когда настройка станет включаться по умолчанию
Сейчас функция выключена по умолчанию. В новых выпусках cloudflared, начиная с 25 января 2027 года, нормализация будет включаться автоматически. Это будущая смена поведения, а не уже выполненное массовое изменение настроек всех установок.
Для явного включения документация указывает значение TUNNEL_DISABLE_PATH_NORMALIZATION=false на каждой реплике с последующим перезапуском. У параметра отрицательное имя: значение false означает, что отключение нормализации не применяется. Перед изменением рабочего туннеля сверьте способ настройки своей установки.
Как подготовить проверку маршрутизации
Составьте небольшой список маршрутов: общедоступный путь, защищённый раздел и адрес, который должен отклоняться. Для каждого зафиксируйте ожидаемое правило и результат проверки доступа. Выполните сравнение в отдельном окружении до изменения рабочего сервиса.
Не ограничивайтесь проверкой, что главная страница открывается. Важен именно выбор нужного правила при разных представлениях пути. Если есть несколько реплик, отдельно проверьте единообразие настроек. Разобрать схему можно с ментором по инфраструктуре и DevOps. Редакция не меняла конфигурацию пользовательских туннелей.
