Что такое Cloudflare и что он дает вашему сайту
Основы3 минРедакция Innovialabs
Коротко
Cloudflare — сеть, которая встает между посетителями и вашим сервером: обслуживает DNS, кэширует статику, выдает SSL и отсекает часть атак. Базовый набор доступен бесплатно, но после подключения нужно правильно настроить SSL и сервер.
Что это такое
Cloudflare — это глобальная сеть дата-центров, через которую проходит трафик вашего сайта. Вместо того чтобы обращаться к серверу напрямую, браузер посетителя попадает на ближайший узел Cloudflare, а тот уже решает: отдать ответ из кэша, заблокировать подозрительный запрос или передать его на ваш сервер (его называют origin).
Подключение обычно выглядит так: вы добавляете домен в Cloudflare и меняете у регистратора NS-серверы на те, что выдал Cloudflare. С этого момента DNS вашего домена обслуживает Cloudflare.
Пять ролей Cloudflare
- DNS. Быстрый авторитетный DNS с удобной панелью. Записи обновляются быстро, а сам DNS работает и без проксирования.
- Прокси. Для записей с включенным проксированием (оранжевое облако) DNS возвращает IP-адреса Cloudflare, а не вашего сервера. Реальный адрес origin скрыт.
- CDN. Статические файлы — картинки, CSS, JS — кэшируются на узлах сети и отдаются посетителю с ближайшего узла. Сервер получает меньше нагрузки.
- SSL. Cloudflare автоматически выпускает сертификат для домена, и сайт открывается по HTTPS без ручной настройки на стороне посетителя.
- Защита. Фильтрация DDoS-атак, базовые правила файрвола, защита от ботов и ограничение частоты запросов.
Что входит в бесплатный план
Бесплатного плана хватает многим небольшим и средним сайтам. В нем есть:
- DNS-хостинг;
- проксирование и CDN;
- бесплатный SSL-сертификат для домена;
- защита от DDoS;
- базовые правила безопасности и кэширования, аналитика трафика.
Платные планы добавляют расширенный WAF, больше правил, более гибкую оптимизацию изображений, приоритетную поддержку и гарантии. Точный состав меняется — сверяйтесь со страницей тарифов.
Что меняется после подключения
Это самая важная часть: многие проблемы появляются именно здесь.
1. Режим SSL. Между посетителем и Cloudflare всегда HTTPS, а между Cloudflare и вашим сервером — зависит от режима:
| Режим | Что происходит | Когда подходит |
|---|---|---|
| Flexible | До сервера идет обычный HTTP | Почти никогда, трафик до origin не шифруется |
| Full | HTTPS до сервера, сертификат не проверяется | Временно, пока нет нормального сертификата |
| Full (strict) | HTTPS с проверкой сертификата | Рекомендуемый вариант |
Режим Flexible вместе с редиректом на HTTPS на сервере часто дает бесконечный цикл переадресаций.
2. IP посетителей. Сервер видит IP-адреса Cloudflare. Реальный адрес приходит в заголовке CF-Connecting-IP. Без настройки логи, лимиты и геолокация на сервере будут работать неправильно. Пример для nginx:
# повторите set_real_ip_from для всех диапазонов из cloudflare.com/ips
set_real_ip_from 173.245.48.0/20;
real_ip_header CF-Connecting-IP;
3. Не все проксируется. Прокси работает для веб-трафика. Почта (MX-записи), SSH и другие протоколы идут напрямую — их записи оставляют без оранжевого облака. Если поддомен вида mail.example.com указывает на тот же сервер, он может раскрыть реальный IP.
4. Кэш. По умолчанию кэшируется статика, а HTML — нет. Если после деплоя видите старые стили или скрипты, очистите кэш в панели или используйте версии в именах файлов.
5. Прямой доступ к серверу. Если origin доступен по IP напрямую, атакующий может обойти защиту. Разумно разрешить входящий веб-трафик только из диапазонов Cloudflare.
Частые ошибки
- Выбрать Flexible SSL и получить цикл редиректов.
- Забыть про реальные IP посетителей в логах и антифроде.
- Проксировать запись, которая используется не для веба.
- Оставить сервер открытым для всех и считать, что Cloudflare защищает полностью.