网站安全防护实战：Cloudflare接入前你必须搞清楚的事

很多站长第一次接触网站安全，都是从Cloudflare开始的。免费套餐、全球节点、一键接入，看起来门槛很低。但真正用过一段时间就会发现，Cloudflare能帮你挡掉大部分攻击，也可能因为一个配置疏忽，把你的源站IP直接暴露在公网上。这篇文章不讲官方文档里能查到的功能列表，只聊实际使用中最容易踩的坑，以及怎么把Cloudflare和源站服务器配合好。

免费套餐够用吗？先搞清楚你在防什么

Cloudflare的免费版提供了基础的DDoS防护、CDN缓存和SSL证书，对个人博客、小型企业站来说确实够用。但你要先明确自己的威胁模型：是偶尔被扫描器扫到，还是已经被人盯上持续攻击？

• 普通扫描和爬虫：免费版的WAF规则和速率限制基本能应付，开启"Under Attack"模式可以临时提高挑战等级。
• 小规模CC攻击：需要配置速率限制规则，免费版只有一条，建议放在登录页和搜索接口上。
• 大流量DDoS：Cloudflare的网络层防护会兜住，但如果是针对源站的直接攻击，说明你的IP已经泄露了。

付费版贵在WAF规则数量、日志分析和更细的速率限制。如果你的站每天访问量不到几千，先别急着升级，把免费版的功能吃透更实际。

源站IP保护：Cloudflare最容易翻车的地方

Cloudflare防护的逻辑是：攻击者打的是Cloudflare的IP，你的源站真实IP藏起来。一旦源站IP暴露，攻击者可以绕过Cloudflare直接打你的服务器，这时候Cloudflare再强也没用。

常见的IP泄露途径有几个：DNS历史记录、SSL证书透明日志、邮件服务器返回头、子域名解析记录。很多人只把主域名接入了Cloudflare，却忘了mail、ftp、cpanel这些子域名还指向源站IP，攻击者扫一遍子域名就能找到真实地址。

建议的做法是：所有子域名都走Cloudflare代理，邮件服务用第三方或者单独隔离；源站服务器只允许Cloudflare的IP段访问80和443端口，其他IP一律拒绝；SSL证书用Cloudflare的源站证书，避免证书透明日志泄露。如果你用的是独立服务器，可以在防火墙层面做IP白名单，这一步比任何软件配置都可靠。

说到源站隔离，如果网站本身容易被攻击，选一台带高防的独立服务器做源站会更省心。比如美国洛杉矶高防服务器12，E5 2620配32G内存和100M带宽，月付339美元，自带高防清洗，就算Cloudflare回源被绕，源站也能扛住第一波。预算充足的话，美国洛杉矶高防服务器33配置更高，双E5 2698V4加64G内存，适合流量较大的站点做源站。

缓存和回源规则：别让Cloudflare帮倒忙

Cloudflare的缓存默认只缓存静态文件，但如果你开了"Cache Everything"，动态页面也会被缓存，登录状态、购物车这些内容可能串号。规则要按路径来配，后台和API接口必须绕过缓存。

回源方面，建议开启"Full (Strict)"模式，源站也要有有效证书。如果源站是HTTP，Cloudflare回源时可能被中间人截获。另外，回源IP段要定期更新，Cloudflare的IP列表会变，防火墙规则写死了容易出问题。

还有一个容易被忽略的点：Cloudflare的免费版不支持自定义回源端口。如果你的源站服务跑在非标准端口上，要么改端口，要么升级套餐。很多站长在这上面折腾半天，以为是配置错了，其实是套餐限制。

对于需要大带宽回源的场景，源站服务器的带宽和线路质量直接影响用户体验。像美国洛杉矶大带宽服务器XI，E3-1230配16G内存和G口带宽，月付418.5美元，适合静态资源多、回源流量大的站点，Cloudflare缓存配合G口回源，用户侧基本感觉不到延迟。

监控和应急：被打了才知道要做什么

Cloudflare的Analytics能看到流量趋势和威胁分布，但免费版数据延迟较高。建议自己搭一套监控，定时检查源站可用性和响应时间。一旦发现Cloudflare面板里流量异常飙升，先看是哪个国家或路径，再决定是开挑战还是直接封IP段。

应急流程可以提前写好：开启Under Attack模式、检查源站IP是否泄露、确认防火墙规则生效、联系服务器提供商确认清洗策略。真被打的时候，按步骤走比临时想对策靠谱得多。

最后提醒一句，Cloudflare不是万能药。它能帮你挡掉大部分自动化攻击，但针对性的漏洞利用、弱密码爆破、第三方组件漏洞，还是得靠源站自身的安全维护。把Cloudflare当成第一道门，源站服务器当成最后一道墙，两层都做好，网站安全才算有个基本盘。