تكامل Cloudflare: حماية DDoS وشبكة CDN

ns1.cloudflare.com
ns2.cloudflare.com

النوع  الاسم          المحتوى             البروكسي
A      example.com    185.x.x.x          Proxied (سحابة برتقالية)
A      www            185.x.x.x          Proxied
A      api            185.x.x.x          Proxied
MX     example.com    mail.example.com    DNS only (سحابة رمادية)
TXT    example.com    v=spf1 ...         DNS only

# فحص تحليل DNS
dig +short example.com
# إذا كان بروكسي Cloudflare نشطًا، ستظهر عناوين IP الخاصة بـ Cloudflare

# فحص IP الحقيقي
curl -s https://www.cloudflare.com/ips-v4

# 1. تسريب IP من رؤوس خادم البريد
# الحل: استخدم IP/خادم مختلف للبريد الإلكتروني

# 2. سجلات DNS القديمة (SecurityTrails, Shodan)
# الحل: غيّر IP بعد إعداد Cloudflare

# 3. الوصول المباشر عبر IP
# الحل: اسمح فقط بالترافيك من عناوين IP الخاصة بـ Cloudflare على الخادم

# السماح فقط بعناوين IP الخاصة بـ Cloudflare باستخدام iptables
#!/bin/bash

# نطاقات IPv4 الخاصة بـ Cloudflare
CF_IPS=$(curl -s https://www.cloudflare.com/ips-v4)

# حذف قواعد HTTP/HTTPS الحالية
iptables -D INPUT -p tcp --dport 80 -j ACCEPT 2>/dev/null
iptables -D INPUT -p tcp --dport 443 -j ACCEPT 2>/dev/null

# السماح فقط بعناوين IP الخاصة بـ Cloudflare
for ip in $CF_IPS; do
    iptables -A INPUT -p tcp --dport 80 -s $ip -j ACCEPT
    iptables -A INPUT -p tcp --dport 443 -s $ip -j ACCEPT
done

# حظر ترافيك HTTP/HTTPS الآخر
iptables -A INPUT -p tcp --dport 80 -j DROP
iptables -A INPUT -p tcp --dport 443 -j DROP

echo "تم تطبيق تقييد IP Cloudflare."

# /etc/nginx/conf.d/cloudflare.conf

# Cloudflare IPv4
set_real_ip_from 173.245.48.0/20;
set_real_ip_from 103.21.244.0/22;
set_real_ip_from 103.22.200.0/22;
set_real_ip_from 103.31.4.0/22;
set_real_ip_from 141.101.64.0/18;
set_real_ip_from 108.162.192.0/18;
set_real_ip_from 190.93.240.0/20;
set_real_ip_from 188.114.96.0/20;
set_real_ip_from 197.234.240.0/22;
set_real_ip_from 198.41.128.0/17;
set_real_ip_from 162.158.0.0/15;
set_real_ip_from 104.16.0.0/13;
set_real_ip_from 104.24.0.0/14;
set_real_ip_from 172.64.0.0/13;
set_real_ip_from 131.0.72.0/22;

real_ip_header CF-Connecting-IP;

# حظر الترافيك من دول معينة
(ip.geoip.country eq "XX") -> Block

# حظر User-Agents معينة
(http.user_agent contains "BadBot") -> Block

# السماح بالوصول إلى wp-admin فقط من IP معين
(http.request.uri.path contains "/wp-admin" and not ip.src eq 1.2.3.4) -> Block

# تحديد المعدل: أكثر من 100 طلب في الدقيقة
(http.request.uri.path eq "/api/*") -> Rate Limit (100 req/min)

# 1. استخدام HTTPS دائمًا
URL: http://*example.com/*
الإعداد: Always Use HTTPS

# 2. تعطيل التخزين المؤقت لـ API
URL: *example.com/api/*
الإعداد: Cache Level = Bypass

# 3. تخزين مؤقت قوي للملفات الثابتة
URL: *example.com/static/*
الإعداد: Cache Level = Cache Everything
         Edge Cache TTL = 1 month

# تفعيل وضع Under Attack
curl -X PATCH "https://api.cloudflare.com/client/v4/zones/ZONE_ID/settings/security_level" \
  -H "Authorization: Bearer API_TOKEN" \
  -H "Content-Type: application/json" \
  --data '{"value":"under_attack"}'

# العودة إلى الوضع العادي
curl -X PATCH "https://api.cloudflare.com/client/v4/zones/ZONE_ID/settings/security_level" \
  -H "Authorization: Bearer API_TOKEN" \
  -H "Content-Type: application/json" \
  --data '{"value":"medium"}'

# Dashboard > SSL/TLS > Overview

وضع التشفير:
- Off: بدون SSL (غير مستحسن)
- Flexible: SSL بين Cloudflare والزائر (origin HTTP)
- Full: شهادة موقعة ذاتيًا على origin
- Full (Strict): شهادة صالحة على origin (مستحسن)

# فحص اتصال Cloudflare
curl -sI https://example.com | grep -i 'cf-ray\|server\|cf-cache'

# فحص انتشار DNS
dig +trace example.com

# رموز أخطاء Cloudflare
# 520: خادم الويب يعيد خطأ غير معروف
# 521: خادم الويب معطل
# 522: انتهت مهلة الاتصال
# 523: Origin غير قابل للوصول
# 524: حدث انتهاء مهلة