前言¶
企業從 Zscaler、Palo Alto、傳統 VPN 或 SWG 遷到 Cloudflare One，難點往往不在「會不會配 Gateway」，而是源端策略體量、對象依賴、身份與 TLS/DLP 是否就緒，以及每條規則在目標側有沒有等價物。單靠通用對話很容易漏掉 parity gap，或在未覈對官方文檔與 API 的情況下寫出看似完整、實則無法落地的配置。
下面介紹 Cloudflare 官方倉庫中的 Agent Skill cloudflare-one-migrations：它把遷移評估、策略映射、rollout 順序和常見陷阱寫成固定工作流，並在生成具體配置前要求先拉取 Cloudflare 文檔、API schema 與源廠商導出說明。
這是什麼¶
cloudflare-one-migrations 是 Cloudflare Skills 集合裏的一條 Skill，由 Cloudflare 維護，面向 Agent Skills 標準（上下文匹配時由 Agent 加載）。
官方描述爲：評估並規劃從現有 VPN、SWG 或 SASE 平臺遷移到 Cloudflare One，包括策略映射、parity 缺口分析與 rollout。
適用對象主要是做 Cloudflare One 設計、實施或評審的工程師與架構師，尤其是正在處理 Zscaler ZIA/ZPA、Palo Alto NGFW/Prisma/GlobalProtect，或 legacy VPN/SWG/SD-WAN 替換的同學。
核心功能¶
Skill 正文強調：在生成精確配置之前，應先檢索當前 Cloudflare 文檔、Cloudflare API schema，以及源廠商的 export 文檔。
七步工作流¶
- 識別源棧：Zscaler ZIA、Zscaler ZPA、Palo Alto NGFW/Prisma/GlobalProtect、legacy VPN/SWG/SD-WAN，或其他。
- 先索要導出與日誌再映射：優先結構化 export，避免只靠截圖或文字摘要。
- 建清單（inventory）：身份與組、應用、目的地、connector/tunnel、DNS/URL/防火牆/DLP/TLS 策略、對象與列表、location/site、例外、命中計數、合規日誌等。
- 產出映射計劃：源對象、Cloudflare One 目標資源、置信度、前置條件、不支持/部分映射，以及需人工決策項。
- 按依賴順序創建：身份/SCIM、connector/on-ramp、路由/DNS、列表/對象、TLS bypass、Access 應用與策略、Gateway 策略、DLP/CASB、日誌等。
- 分階段安全上線：使用 migration 前綴；默認創建 disabled 或 audit-mode 規則；小範圍 pilot；對比日誌後再擴大 rollout。
- 覆蓋每一條源規則：每條規則必須映射到 Cloudflare 對象，或在表中明確「Not Migrated」並寫明原因與安全影響。
應向源端索要的導出¶
- ZIA：URL 過濾、防火牆過濾、SSL 檢查、DLP、自定義 URL 分類、IP 組、網絡服務/服務組、用戶/組/部門、location、GRE tunnel、靜態 IP 等。
- ZPA：應用段、段組、server group、app connector/connector group、訪問策略、IdP/組映射、私有 DNS 域、端口與協議等。
- Palo Alto / Prisma：安全/NAT/解密規則、地址/服務對象與組、URL 分類、HIP profile、GlobalProtect 配置、Prisma Access remote network/service connection、zone、標籤、日誌與命中計數等。
映射啓發式（Heuristics）¶
- ZIA/SWG 策略通常對應 Gateway traffic policies 與 Gateway 列表。
- ZPA 私有應用訪問通常對應 Access 應用類型、Cloudflare Tunnel、私有網絡路由/DNS，以及 Access policies。
- Palo Alto 規則需在理解流量方向、zone、對象、用戶、應用、解密與命中計數後再映射；不應把 zone 盲目壓平成列表。
- 傳統 VPN 替換常見組合爲 Access + Cloudflare One Client / WARP + Tunnel 或 Mesh；僅在需要站點到站點流量時考慮 Cloudflare WAN。具體模式可參考 Network VPN migration design guide 與 Replace your VPN。
遷移評估提示（Assessment Prompts）¶
Skill 列出 Agent 在評估時應追問的維度，包括但不限於：
- 源覆蓋範圍：哪些產品在範圍內、有哪些 export、截圖/摘要是否掩蓋缺失的對象文件。
- 規則量與命中數據：按類型的規則數量、禁用/陳舊規則、無命中規則、高命中規則、業務關鍵例外。
- 對象依賴：地址/服務對象、組、自定義分類、網絡服務、app ID、zone、標籤、connector、server group 等。
- 身份就緒：IdP、SCIM/組同步、組名規範化、單用戶規則、本地組、服務賬號、外包身份等。
- TLS/DLP 就緒：源端解密規則、證書固定 bypass、DLP 引擎/配置文件、自定義正則、精確匹配數據、payload 日誌預期等。
- 連通性就緒：源 tunnel/connector、私有 DNS、Split Tunnels 或 bypass 行爲、源 IP 保留、egress IP 白名單、站點到站點需求等。
- Rollout 就緒：pilot 組/站點、並行運行期、回滾負責人、源棧下線標準、監控與日誌對比計劃。
源廠商常見陷阱（節選）¶
Zscaler ZIA / SWG¶
- 自定義 URL 分類常會拆成多個 IP、域名、URL 列表；應統計生成的列表數量，而不只數源端分類。
- 帶 IP 的 ZIA location 可作源 IP 列表；它們不會自動變成用於 DNS 策略範圍的 Gateway DNS locations。
- GRE tunnel 源 IP 可輔助策略條件；傳輸層遷移屬於 Cloudflare Mesh（原 WARP Connector）或 Cloudflare WAN 的另一條工作線。
- CAUTION/warn 行爲在 Gateway 中沒有一一對應，應作爲顯式客戶決策，而非默許 allow/block。
- DLP 引擎與自定義正則通常需在 Cloudflare 側手工重建 DLP profile；佔位策略不得在 DLP 未完成時當作已啓用。
- 網絡應用組與不支持的協議多爲部分映射，啓用前需複覈。
- 若無法使用 SCIM，身份範圍的源規則可能過寬；創建規則前應覈對 Gateway identity selectors，並考慮可執行的替代方案（如用戶/郵件列表）。
Zscaler ZPA / Private Access¶
- ZPA 的 app segment、server group、connector group 與 Cloudflare 並非 1:1；Cloudflare 將 Access 應用、tunnel 路由、DNS 與策略分開建模。
- 僅通過 API 創建 tunnel 不等於 connector 已部署；需單獨規劃 cloudflared 安裝、認證與源站可達性。
- 建議按 ZPA connector group 各建一個 Cloudflare Tunnel（與 connector 運行狀態 AUTHENTICATED/DISCONNECTED/disabled 無關）；在 tunnel 描述中標記斷開或遺留組，由客戶在驗證後決定是否下線。
- 同一 connector group 內每個 ZPA connector 實例對應一個使用該 tunnel token 的 cloudflared 副本；副本數量應與組內實例數一致以保留拓撲。單個 tunnel token 可支撐多個同時運行的 cloudflared 進程。
- 對每個 connector group，梳理其關聯的 server group 及分配到這些 server group 的 app segment；段內 IP/CIDR 映射爲對應 tunnel 的 CIDR 路由，域名爲 hostname 路由；在子網能覆蓋段內主機時，優先每子網一條 CIDR 路由，而非大量 /32。
- ZPA bypass 在 Cloudflare 側對應 Cloudflare One Client 的 split-tunnel exclude，而非 Access 的
bypass決策；需在控制台將域名與 IP 加入設備 profile 的 split tunnel 排除列表，該步驟無 API 自動化，需客戶手工配置。
同倉庫中的 cloudflare-one Skill 側重日常設計與排障；cloudflare-one-migrations 則專門覆蓋從競品或 legacy 棧遷入時的評估與映射，二者可配合使用。
安裝與啓用¶
Cloudflare Skills 支持多種 Agent 環境。與 cloudflare-one-migrations 同屬 cloudflare/skills 倉庫，安裝方式以倉庫 README 爲準。
Cursor：從 Cursor Marketplace 安裝，或在 Settings > Rules > Add Rule > Remote Rule (Github) 填入 cloudflare/skills。
Claude Code（插件市場）：
/plugin marketplace add cloudflare/skills
/plugin install cloudflare@cloudflare
OpenAI Codex：
codex plugin marketplace add cloudflare/skills
codex plugin add cloudflare@cloudflare
安裝後需新開一次 Codex 會話。
npx skills：
npx skills add https://github.com/cloudflare/skills
VS Code / GitHub Copilot：在設置中啓用 chat.plugins.enabled，通過 Command Palette 運行 Chat: Install Plugin From Source，源地址爲 https://github.com/cloudflare/skills。
僅支持 Agent Skills 標準、不能裝完整插件時，可將倉庫中對應 skill 目錄複製到 Agent 規定的 skills 目錄（例如 Cursor 爲 ~/.cursor/skills/）。官方說明：Skill 會在對話匹配觸發條件時自動加載並應用。
插件還捆綁 Cloudflare 主 MCP server（cloudflare），用於通過 Code Mode 訪問 Cloudflare API 與當前開發者文檔；遷移評估依賴文檔與 schema 時，可與該 MCP 能力一併使用。
典型用法¶
Skill 沒有單獨的可執行 CLI，用法是讓 Agent 在「遷移評估 / 策略映射 / rollout 計劃 / gap 分析」類任務中加載該 Skill，並按正文工作流推進。下面是可以直接放進對話的提示方向（表述需結合你方真實 export 與範圍）：
- 說明源棧（例如 ZIA + ZPA，或 Palo Alto Prisma + GlobalProtect）與已拿到的 export 類型。
- 要求按 Skill 工作流建 inventory，並列出尚缺的 export（對照「Exports To Ask For」）。
- 要求輸出映射表：源對象、Cloudflare One 目標、置信度、部分/不支持項、人工決策與安全影響。
- 要求給出分階段 rollout：migration 前綴、默認 audit/disabled、試點範圍、日誌對比項與 Not Migrated 清單。
生成具體 Gateway/Access/Tunnel 配置前，應明確讓 Agent 先查閱當前 Cloudflare 文檔與 API schema，避免憑記憶寫出過期字段。
適用場景與注意¶
適合誰
- 正在做 SASE 或 Zero Trust 平臺替換、需要結構化 parity 與上線順序的團隊。
- 使用 Cursor、Claude Code、Codex、VS Code Copilot 等支持 Skills 的環境，希望減少「漏規則、漏 DLP、誤把 ZPA bypass 當成 Access bypass」類錯誤的實施者。
限制與注意
- Skill 提供方法論與映射啓發式，不能替代源端真實 export、命中日誌與客戶安全策略決策。
- 部分能力（如 ZPA bypass 對應的 split tunnel exclude）官方寫明需客戶在 Dashboard 手工配置，無 API 自動化。
- DLP、TLS 解密、SCIM 未就緒時，Skill 明確要求不要用佔位策略假裝已完成。
- 預抓取資料中 ZPA 小節之後尚有更多源廠商陷阱說明；完整列表以 官方 Skill 目錄 爲準。
結尾¶
cloudflare-one-migrations 把企業遷到 Cloudflare One 時最常踩坑的清單、映射順序和分階段上線約束寫進 Agent 上下文，並與 Cloudflare 文檔、API schema 對齊後再產出配置，適合作爲 B 端 SASE 遷移場景的官方背書參考。
官方地址：https://github.com/cloudflare/skills/tree/main/skills/cloudflare-one-migrations
集合與安裝說明：https://github.com/cloudflare/skills
