cloudflare

Cloudflare 是一家提供网站加速与安全服务的公司，它在全球拥有大量的 CDN（内容分发网络）节点，通过反向代理的方式帮助网站实现：

🌍 一、核心功能

功能类别	说明
CDN 加速	将网站内容缓存到全球 Cloudflare 节点，加快访客访问速度。
DDoS 防护	自动检测并拦截大量恶意流量，防止网站被攻击。
WAF（Web 应用防火墙）	阻止常见的 Web 攻击（如 SQL 注入、XSS 等）。
DNS 服务	提供全球最快的 DNS 解析（1.1.1.1 就是它的公共 DNS）。
SSL 证书	自动提供 HTTPS 加密（可免费使用）。
Bot 管理	智能识别机器人流量，减少垃圾访问。
负载均衡	将流量自动分配到多个服务器，提升可靠性。
Workers / Pages / R2	无服务器计算、静态网站托管、对象存储等云服务。

Cloudflare 的架构如下：

用户浏览器 → Cloudflare 边缘节点（CDN + 安全层） → 源服务器

“边缘”是相对于“中心（数据中心 / 源站）”而言的。

中心节点（Core Node）：你的主服务器所在，比如美国、欧洲的主机。
边缘节点（Edge Node）：部署在用户附近（网络“边缘”）的计算与缓存节点。

这个理念叫 “边缘计算（Edge Computing）” ——
让计算、缓存、安全处理尽可能靠近用户完成，而不是都集中在中心服务器上。

边缘技术就是为了离用户更近，减少延迟、提高速度。

常见应用场景

场景	说明
网站加速	对全球用户访问加速。
隐藏源站 IP	防止直接攻击你的服务器。
免费 SSL	轻松让网站启用 HTTPS。
防爬虫、防 DDoS	自动阻断异常流量。
DNS 解析	替代阿里云、腾讯云的 DNS，解析速度更快。

橙色云 ☁️（开启代理）：通过 Cloudflare 加速 + 保护。
灰色云 ☁️（仅 DNS）：只做解析，不经过 Cloudflare。

关于启用SSL和隐藏真实的主机ip

启用SSL

下面是cloudflare的四种模式，可按需选择

模式	说明	是否需源站证书	是否安全	常见错误
关闭 (Off)	完全 HTTP	❌	❌	无
灵活 (Flexible)	Cloudflare ↔ 源站为 HTTP	❌	🔸 半安全	301 循环可能
完全 (Full)	Cloudflare ↔ 源站 HTTPS（可自签）	✅	✅	521/525（证书不对时）
严格 (Full Strict)	源站必须使用可信证书	✅（CA 签发）	✅✅	525

隐藏主机ip

虽然 Cloudflare 能保护 IP，但如果你配置不当，仍有可能被查到。
下面是几种常见的“漏 IP”场景：

泄露方式	原因	解决办法
子域未代理	某个子域（如 `api.xiaoheizi.club`）关闭了代理（灰色☁️）	确保所有需要隐藏的子域都启用代理（橙色☁️）
老 DNS 记录泄露	以前的解析记录还被别人收录（如在 SSL 证书透明日志中）	更换 IP，删除旧记录
邮件 MX 记录指向源站	邮件服务器指向同一个 IP	建议使用独立邮箱服务（如 Gmail、Zoho）或单独服务器
网站主动返回真实 IP	网页内容、响应头或 API 返回了服务器地址	检查返回头和调试日志
端口扫描	攻击者扫描你服务器段发现开放端口	防火墙限制 80/443 以外端口
外部服务引用 IP	你服务器调用第三方服务暴露 IP	避免直接对外暴露公网接口

最佳安全做法（隐藏源 IP）

仅允许 Cloudflare IP 访问你的服务器

# 如果你用 ufw
sudo ufw default deny incoming
for i in $(curl https://www.cloudflare.com/ips-v4); do sudo ufw allow from $i to any port 80,443 proto tcp; done

→ 这样只有 Cloudflare 的节点能访问你服务器，
→ 即使别人知道真实 IP，也无法直接连接。

禁用直接公网访问
- 不要让裸 IP 响应 HTTP；
- 可以在 Nginx 加入：
```
if ($host != "xiaoheizi.club") { return 403; }
```
  防止直接访问 IP。
启用“橙色云”代理模式
- 确保所有对外暴露的记录（A、AAAA、CNAME）都启用代理。
使用 Cloudflare Zero Trust / Tunnel
- 通过 cloudflared tunnel 建立反向隧道；
- 完全隐藏源站 IP（即使 DNS 管理员也看不到）。

进阶功能

Cloudflare Zero Trust：企业级访问控制方案。
R2 存储：类似 AWS S3，但无出口流量费用。
Pages：部署前端静态网站（支持 React/Vue/Vite）。
Workers：编写 JS/TS 边缘函数，处理请求或生成动态内容。