Cloudflare: proksi yoki faqat DNS — to‘q sariq bulut qachon kerak
Amaliyot3 daqInnovialabs tahririyati
Qisqacha
Sayt HTTP-trafigini proksi orqali (to‘q sariq bulut) o‘tkazing — server IP’si yashirinadi, kesh, WAF va DDoS’dan himoya paydo bo‘ladi; pochta, SSH, ma’lumotlar bazalari va boshqa HTTP bo‘lmagan xizmatlarni DNS-only qoldiring, SSL rejimini esa Full (strict) qiling.
Qisqa javob: farqi nimada
Cloudflare’dagi har bir A, AAAA va CNAME yozuvida almashtirgich bor:
- Proxied (to‘q sariq bulut) — DNS tashrif buyuruvchiga serveringiz emas, Cloudflare IP-manzillarini beradi. Barcha trafik avval Cloudflare tarmog‘idan o‘tadi, keyin origin’ga yetadi.
- DNS only (kulrang bulut) — Cloudflare oddiy DNS-server sifatida ishlaydi va haqiqiy IP’ni beradi. Trafik to‘g‘ridan-to‘g‘ri serverga boradi.
Qoida oddiy: saytning HTTP/HTTPS trafigi — proksi orqali, qolgan hammasi — DNS-only.
Proksi nima beradi
- Origin-server IP’si yashirinadi. Hujumchiga serverga to‘g‘ridan-to‘g‘ri zarba berish qiyinlashadi.
- Keshlash. Statik fayllar (rasmlar, CSS, JS) tashrif buyuruvchiga eng yaqin Cloudflare tugunidan beriladi. HTML sukut bo‘yicha keshlanmaydi — buning uchun alohida qoidalar kerak.
- WAF va DDoS’dan himoya. Zararli so‘rovlar serverga yetmasdan filtrlanadi.
- SSL-terminatsiya. Tashrif buyuruvchilar uchun sertifikatni Cloudflare beradi va xizmat ko‘rsatadi; origin’gacha bo‘lgan ulanish alohida sozlanadi.
- Qoidalar, redirektlar, siqish va faqat proksilangan trafikda ishlaydigan boshqa funksiyalar.
Cheklov: proksi faqat HTTP va HTTPS’ni tushunadi, bunda ham ma’lum portlar ro‘yxatida. Boshqa protokollar undan o‘tmaydi.
Qaysi yozuvlarni DNS-only qoldirish kerak
| Yozuv | Nega proksisiz |
|---|---|
MX va pochta serveri xosti (mail.example.com) | Pochta SMTP/IMAP orqali ishlaydi, proksi ularni o‘tkazmaydi |
| SSH, FTP, SFTP | HTTP protokollari emas |
| Ma’lumotlar bazalari, o‘yin serverlari, VPN | Nostandart portlar va protokollar |
| Nostandart portdagi API | Port qo‘llab-quvvatlanadigan ro‘yxatda bo‘lmasligi mumkin |
| Uchinchi tomon xizmatlari uchun tasdiqlash yozuvlari | Xizmat ko‘pincha CNAME aynan unga yo‘naltirilganini tekshiradi |
MX va TXT yozuvlarini umuman proksilab bo‘lmaydi — almashtirgich faqat A, AAAA va CNAME’da bor. Lekin MX mail.example.com’ga ishora qilsa va bu A-yozuv proksilangan bo‘lsa, pochta buziladi.
E’tibor bering: sayt bilan bir serverga ishora qiluvchi DNS-only yozuv uning IP’sini oshkor qiladi. Origin’ni yashirish muhim bo‘lsa, pochta va boshqa xizmatlarni alohida manzillarga chiqaring yoki SSH uchun Cloudflare Tunnel’dan foydalaning.
1-muammo: loglarda faqat Cloudflare IP’lari
Proksi yoqilgach, server tashrif buyuruvchilar o‘rniga Cloudflare manzillarini ko‘radi. Loglar, analitika, IP bo‘yicha limitlar va bloklashlar buziladi. Haqiqiy manzil CF-Connecting-IP sarlavhasida (va X-Forwarded-For’da) keladi. nginx uchun:
# Cloudflare rasmiy ro‘yxatidagi har bir diapazon uchun takrorlang
set_real_ip_from 173.245.48.0/20;
real_ip_header CF-Connecting-IP;
Sarlavhaga faqat Cloudflare manzillaridan kelganda ishoning — aks holda istalgan kishi begona IP’ni qo‘yib yuborishi mumkin. Diapazonlar ro‘yxati Cloudflare saytida e’lon qilingan va vaqti-vaqti bilan yangilanadi. Apache’da buni mod_remoteip moduli bajaradi, ilovalarda esa freymvorkning trusted proxies sozlamasi.
2-muammo: cheksiz redirekt
ERR_TOO_MANY_REDIRECTS xatosi deyarli har doim shunday paydo bo‘ladi: Cloudflare’da Flexible rejimi tanlangan, server esa HTTP’ni HTTPS’ga yo‘naltiradi. Cloudflare origin’ga HTTP orqali boradi, server «HTTPS’ga o‘t» deb javob beradi, brauzer yana Cloudflare’ga keladi — va shu tarzda aylanaveradi.
Yechim — serverdagi redirektni olib tashlash emas, balki origin’ga sertifikat o‘rnatib, rejimni Full (strict)’ga o‘tkazish.
SSL rejimini qanday tanlash kerak
| Rejim | Tashrif buyuruvchi → Cloudflare | Cloudflare → server |
|---|---|---|
| Off | HTTP | HTTP |
| Flexible | HTTPS | HTTP, shifrlashsiz |
| Full | HTTPS | HTTPS, sertifikat tekshirilmaydi |
| Full (strict) | HTTPS | HTTPS, sertifikat tekshiriladi |
Full (strict) deyarli har doim to‘g‘ri tanlov. Serverga bepul Cloudflare Origin CA sertifikati (unga faqat Cloudflare ishonadi, shuning uchun sayt proksilangan holda qolishi kerak) yoki Let’s Encrypt sertifikati mos keladi. Flexible yolg‘on xavfsizlik hissini beradi: brauzerda qulf belgisi bor, serverga qadar bo‘lgan qism esa shifrlanmagan.
Bulutni yoqishdan oldingi chek-list
- Origin haqiqiy sertifikat bilan HTTPS orqali ishlaydi.
- SSL rejimi — Full (strict).
- Pochta va xizmat xostlari — DNS-only.
- Server haqiqiy IP’ni
CF-Connecting-IP’dan tiklaydi. - Xohishga ko‘ra server fayrvoli veb-trafikni faqat Cloudflare diapazonlaridan qabul qiladi.