用途：规划从 Zscaler ZIA/ZPA、Palo Alto NGFW/Prisma/GlobalProtect、旧式 VPN/SWG/SD-WAN 或其他 SASE 栈迁移到 Cloudflare One；在生成精确配置前，需先获取当前 Cloudflare 文档、API schema 和源厂商导出文档。
主要能力：识别源栈并索取结构化导出与日志；构建身份、组、应用、目标、连接器/隧道、DNS/URL/防火墙/DLP/TLS 策略、对象/列表、位置、例外、命中计数与合规日志的清单；产出映射计划（源对象、Cloudflare One 目标资源、置信度、前置条件、不支持/部分映射、人工决策）；按依赖顺序创建身份/SCIM、连接器、路由/DNS、列表、TLS 绕过、Access 应用/策略、Gateway 策略、DLP/CASB 与日志；安全分阶段：迁移前缀、默认禁用/审计模式规则、小范围试点、日志对比后扩大。每条源规则必须映射到 Cloudflare 对象或带原因与安全影响的“未迁移”行。
映射要点：ZIA/SWG 策略通常映射到 Gateway 流量策略与列表；ZPA 私有应用访问映射到 Access 应用类型、Cloudflare Tunnel、私有网络路由/DNS 与 Access 策略；Palo Alto 规则需理解流量方向、区域、对象、用户、应用、解密与命中数后才可映射，不能盲目拉平区域。旧式 VPN 替换通常用 Access + Cloudflare One Client/WARP + Tunnel 或 Mesh，仅在站到站流量需要时用 Cloudflare WAN。
源特定陷阱：ZIA 自定义 URL 类别常拆为 IP、域与 URL 列表；CAUTION/warn 行为在 Gateway 无精确对应，应作为客户决策；DLP 引擎与自定义正则通常需手动重建。ZPA 应用段、服务器组与连接器组非 1:1 映射；每个 ZPA 连接器组对应一条 Cloudflare Tunnel，组内每个连接器实例对应一个 cloudflared 副本；ZPA 绕过对应 WARP Split Tunnel 排除项。IP 锚定应用需先明确出口决策。ZPA Access 策略规则映射为可复用 Access 策略；在默认拒绝的 Gateway Network 环境中需添加 Network 允许规则（wirefilter: any(access.private_app[] in {""})）并置于宽泛 L4 阻止规则之前。Palo Alto 一条规则可产出多个 Cloudflare 资源，应保留规则意图而非数量；App-ID、URL 类别、区域、HIP、调度与解密行为很少精确转换，应标记部分映射。
限制与验证：不能自动创建宽泛 allow-all；未提供官方价格、平台细节。每个阶段后对比对象计数，启用策略前审查不支持/部分/未映射项，SCIM 同步与重新认证后用真实试点用户验证组匹配，启用 HTTP/DLP 阻止前测试 TLS 检查与不检查行为，保留明确回滚路径。最终产出源规则核算表。