Интеграция Cloudflare: защита от DDoS и CDN

ns1.cloudflare.com
ns2.cloudflare.com

Тип    Имя            Содержимое          Прокси
A      example.com    185.x.x.x          Proxied (оранжевое облако)
A      www            185.x.x.x          Proxied
A      api            185.x.x.x          Proxied
MX     example.com    mail.example.com    DNS only (серое облако)
TXT    example.com    v=spf1 ...         DNS only

# Проверка DNS-разрешения
dig +short example.com
# При активном прокси Cloudflare отображаются IP-адреса Cloudflare

# Проверка реального IP
curl -s https://www.cloudflare.com/ips-v4

# 1. Утечка IP через заголовки почтового сервера
# Решение: используйте другой IP/сервер для электронной почты

# 2. Старые DNS-записи (SecurityTrails, Shodan)
# Решение: смените IP после настройки Cloudflare

# 3. Прямой доступ по IP
# Решение: разрешите на сервере только трафик от IP Cloudflare

# Разрешить только IP Cloudflare с помощью iptables
#!/bin/bash

# Диапазоны IPv4 Cloudflare
CF_IPS=$(curl -s https://www.cloudflare.com/ips-v4)

# Удалить существующие правила HTTP/HTTPS
iptables -D INPUT -p tcp --dport 80 -j ACCEPT 2>/dev/null
iptables -D INPUT -p tcp --dport 443 -j ACCEPT 2>/dev/null

# Разрешить только IP Cloudflare
for ip in $CF_IPS; do
    iptables -A INPUT -p tcp --dport 80 -s $ip -j ACCEPT
    iptables -A INPUT -p tcp --dport 443 -s $ip -j ACCEPT
done

# Заблокировать остальной HTTP/HTTPS трафик
iptables -A INPUT -p tcp --dport 80 -j DROP
iptables -A INPUT -p tcp --dport 443 -j DROP

echo "Ограничение IP Cloudflare применено."

# /etc/nginx/conf.d/cloudflare.conf

# Cloudflare IPv4
set_real_ip_from 173.245.48.0/20;
set_real_ip_from 103.21.244.0/22;
set_real_ip_from 103.22.200.0/22;
set_real_ip_from 103.31.4.0/22;
set_real_ip_from 141.101.64.0/18;
set_real_ip_from 108.162.192.0/18;
set_real_ip_from 190.93.240.0/20;
set_real_ip_from 188.114.96.0/20;
set_real_ip_from 197.234.240.0/22;
set_real_ip_from 198.41.128.0/17;
set_real_ip_from 162.158.0.0/15;
set_real_ip_from 104.16.0.0/13;
set_real_ip_from 104.24.0.0/14;
set_real_ip_from 172.64.0.0/13;
set_real_ip_from 131.0.72.0/22;

real_ip_header CF-Connecting-IP;

# Блокировка трафика из определённых стран
(ip.geoip.country eq "XX") -> Block

# Блокировка определённых User-Agent
(http.user_agent contains "BadBot") -> Block

# Доступ к wp-admin только с определённого IP
(http.request.uri.path contains "/wp-admin" and not ip.src eq 1.2.3.4) -> Block

# Ограничение скорости: более 100 запросов в минуту
(http.request.uri.path eq "/api/*") -> Rate Limit (100 req/min)

# 1. Всегда использовать HTTPS
URL: http://*example.com/*
Настройка: Always Use HTTPS

# 2. Отключить кеш для API
URL: *example.com/api/*
Настройка: Cache Level = Bypass

# 3. Агрессивное кеширование статических файлов
URL: *example.com/static/*
Настройка: Cache Level = Cache Everything
           Edge Cache TTL = 1 month

# Включить режим Under Attack
curl -X PATCH "https://api.cloudflare.com/client/v4/zones/ZONE_ID/settings/security_level" \
  -H "Authorization: Bearer API_TOKEN" \
  -H "Content-Type: application/json" \
  --data '{"value":"under_attack"}'

# Вернуться в нормальный режим
curl -X PATCH "https://api.cloudflare.com/client/v4/zones/ZONE_ID/settings/security_level" \
  -H "Authorization: Bearer API_TOKEN" \
  -H "Content-Type: application/json" \
  --data '{"value":"medium"}'

# Dashboard > SSL/TLS > Overview

Режим шифрования:
- Off: Без SSL (не рекомендуется)
- Flexible: SSL между Cloudflare и посетителем (origin HTTP)
- Full: Самоподписанный сертификат на origin
- Full (Strict): Действительный сертификат на origin (рекомендуется)

# Проверка подключения Cloudflare
curl -sI https://example.com | grep -i 'cf-ray\|server\|cf-cache'

# Проверка распространения DNS
dig +trace example.com

# Коды ошибок Cloudflare
# 520: Веб-сервер возвращает неизвестную ошибку
# 521: Веб-сервер недоступен
# 522: Тайм-аут подключения
# 523: Origin недоступен
# 524: Произошёл тайм-аут