结论先行：Cloudflare 免费版绝不仅是个被动 CDN。配齐五大黄金组合：DNS 代理防护（Web 主站 Proxied 橙云、邮件与内部管理端口直连）、Full (Strict) 双向严格加密、现代传输协议（Brotli + HTTP/3 + 0-RTT）、新一代 Cache Rules 静态资源长效缓存、以及 Bot Fight Mode 基础防爬。结合开源工具 cloudflare-domain-baseline 自动化脚本，几秒钟即可为新域名注入全套生产级基线，零成本获得企业级全球加速、源站 IP 隐身与抗 DDoS 基础防护。

很多出海开发者把域名托管到 Cloudflare 后，仅仅开了一个 DNS 解析，甚至连缓存与严格 SSL 模式都未曾调试。本篇带你全面起底 Cloudflare 免费层能力，把每一项免费权益用满用透。

全景图解导览：Cloudflare免费功能速查：用满免费版的所有功能 STAGE 01 · 问题起爆 写在前面 • 源站IP裸露：端口常年遭受 全网僵尸网络高频扫描与… • 跨国访问延迟高：海外用户… 定位核心风险卡点 STAGE 02 · 机制拆解 期望目标 • 拆解核心协议与准则 • 识别关键决策分水岭 • 识别关键决策分水岭 理清底层因果逻辑 STAGE 03 · 方案对照 架构拓扑与能力全景 • 流量接入与反向代理架构： <svg width="100%"… • 免费层附赠核心产品清单… 对齐量化实测标尺 STAGE 04 · 工程落地 基础网络与DNS代理配置 • Proxied（橙色云朵）：公 网解析返回的是… • DNS Only（灰色云朵）：直… 锁死生产确定性

0、写在前面

在海外公网环境中运营服务，裸机暴露的服务器往往面临三大现实风险：

  1. 源站 IP 裸露：端口常年遭受全网僵尸网络高频扫描与 SSH 暴力破解；
  2. 跨国访问延迟高：海外用户直连源站，跨洋链路丢包与握手耗时拉长；
  3. 运维成本冗余：手动轮询申请 SSL 证书、在 Nginx 手写复杂缓存防刷策略耗费大量心力。

Cloudflare 免费套餐包含了 Anycast 全球分布式 DNS、无计量流量 CDN、自动签发边缘 SSL 证书、L3/L4/L7 基础抗 DDoS 清洗中心以及现代网络协议优化。

通过科学合理的基线配置，完全无需购买高防 IP 或商业 CDN，就能构筑出稳固可靠的出海业务大门。

问题现场解剖：写在前面 ⚠️ 从问题出发：表面症状是如何一步步演变为生产故障或降权的？ 独立开发者工具箱 · CH-28 · 核心卡点传导链 1. 源站IP裸露 端口常年遭受全网僵尸网络高频 扫描与SSH暴力破解； 症结：认知偏差与配置盲区 2. 跨国访问延迟高 海外用户直连源站，跨洋链路丢 包与握手耗时拉长； 传导：隐性劣化与边界失守 3. 运维成本冗余 手动轮询申请SSL证书、在 Nginx手写复杂缓存防刷策略耗… 破局：量化指标与工程验证 ✅ 破局核心原则（结论先行） Cloudflare免费版绝不仅是个被动CDN。配齐五大黄金组合：DNS代理防护（Web 主站Proxied橙云、邮件与内部管理端口直连）、Full(Strict)双向严格加密…

1、期望目标

阅读并按本指南实操后，你将达成以下目标：

  • [ ] 正确梳理 DNS 记录的 Proxied（橙云）与 DNS-only（灰云）分工，杜绝源站 IP 泄漏；
  • [ ] 将 SSL/TLS 升级为 Full (Strict) 严格端到端双向加密，消灭潜在中间人风险；
  • [ ] 开启 HTTP/3、0-RTT 与 Brotli 高压缩算法，提升移动端弱网加载速度；
  • [ ] 掌握替代旧版 Page Rules 的新一代 Cache Rules，建立静态资产 30 天边缘强缓存；
  • [ ] 开启 Bot Fight Mode 与浏览器完整性检查，拦截恶意爬虫与扫描探测；
  • [ ] 了解并合理运用 Cloudflare 附赠的周边生态（Turnstile、Workers、R2、Tunnel）；
  • [ ] 借助开源脚本 cloudflare-domain-baseline 一键注入最佳实践配置。
落地执行与验证流水线：期望目标 按序执行以下四步流程，把定性经验转化为可自动巡检的工程防线 STEP 01 基线探测与问题定位 采集真实线上指标与配置 快照 STEP 02 红线过滤与风险隔离 剔除高危配置与低质冗余 资产 STEP 03 标准化加固与重构 注入经过验证的脚本与架 构模板 STEP 04 持续监控与回归审计 接入定时巡检防止问题二 次复发

2、架构拓扑与能力全景

2.1 流量接入与反向代理架构

Cloudflare 边缘代理与源站隔离架构 全球访问终端 Web 浏览器 移动 App 客户端 HTTP/3 + TLS 1.3 Cloudflare 全球 Anycast 边缘集群 DDoS 清洗 + Bot Fight Mode 爬虫拦截 Edge Cache 边缘长效缓存 (CSS/JS/图片) Brotli 压缩 / 301 规范化重定向 Universal SSL 自动加密交付 源站服务器 Nginx / Caddy 业务 Docker 容器 仅放行 CF IP 访问

2.2 免费层附赠核心产品清单

除了常规 DNS 与 CDN，Cloudflare 免费版还附送了许多强大生产力组件：

产品组件 免费配额 核心应用场景
DNS 解析 无限域名，全球 Anycast Anycast 集群 秒级全球同步生效，自带 DNSSEC 域名防篡改
CDN 带宽与流量 不限流量，零带宽费用 将 90% 以上的静态带宽消耗吸收在边缘节点
Cache Rules 每域名支持 10 条高级缓存规则 精准定义静态文件 30 天边缘 TTL，降低 VPS 负载
Turnstile 无限制调用 替代 Google reCAPTCHA，提供完全无感的反人机验证
Cloudflare Tunnel 免费支持 50 名团队成员访问 免公网 IP、免端口映射，安全内网穿透与 SSH 访问
R2 对象存储 10 GB 存储，零出口流量费用 存放安装包、高频静态资源与备份文件，告别流量刺客
Workers 每天 10 万次执行，每请求 10ms CPU 边缘路由改写、A/B 分流、轻量无服务器接口响应

3、基础网络与 DNS 代理配置

3.1 橙云与灰云的核心判定标准

在 Cloudflare 的 DNS 列表中，每一条记录都有一个关键属性：Proxy Status（代理状态）。

  • Proxied（橙色云朵）：
    公网解析返回的是 Cloudflare Anycast 边缘节点的虚拟 IP。用户请求由 Cloudflare 接收清洗后再回源。Web 网站（A 记录、CNAME 记录）必须开启。
  • DNS Only（灰色云朵）：
    直接向全球公开解析出后端的真实 IP 地址。
    • 邮件相关记录（MX、SPF、DKIM、DMARC）绝对不能开代理，否则会导致海外邮件投递直接拒收。
    • 直连管理服务（如通过固定端口连接的自建游戏服务或私有 VPN）需设为灰云，或者改用 Cloudflare Tunnel 暴露。
1
2
# 验证代理生效状态：向目标域名发起解析查询
dig example.com +short

若返回的 IP 地址落入 Cloudflare 官方公布网段（如 104.21.x.x 或 172.67.x.x），说明源站真实公网 IP 已被隐藏。

底层机制与架构拆解：基础网络与DNS代理配置 四阶段递进分析模型 · 从前置识别到最终工程定级 S1 Proxied（橙色云朵） 公网解析返回的是 Cloudflare Anycast边… S2 DNS Only（灰色云… 直接向全球公开解析出后 端的真实IP地址。 S3 橙云与灰云的核心判定… 在Cloudflare的DNS列表 中，每一条记录都有一个… S4 确定性架构标准输出 沉淀为可一键复现的工程 配置基线 💡 工程启示：任何一个前置环节失守，都会通过传导链放大为下游的系统性偏差

4、SSL/TLS 与安全防御最佳配置

4.1 四种 SSL 模式深度辨析

进入后台控制台的 SSL/TLS -> Overview 区域，系统提供四个加密模式选项：

  1. Off（禁用）：全链路明文传输，极不安全；
  2. Flexible（灵活模式）：浏览器与 Cloudflare 之间是 HTTPS，但 Cloudflare 与源站之间退回明文 HTTP。此模式存在严重中间人篡改隐患，且极易因源站自身重定向配置引发 ERR_TOO_MANY_REDIRECTS 无限重定向死循环；
  3. Full（完全加密）：全链路 HTTPS，但 Cloudflare 不校验源站证书的合法性，允许源站使用过期或自签名证书；
  4. Full (Strict)（完全严格模式 - 官方生产推荐）：全链路端到端强校验。源站必须配置受信任的商用证书或有效期内的免费 Let’s Encrypt 证书。

独立开发者一律直接选择 Full (Strict) 模式。若服务器部署了 Nginx Proxy Manager 或 Caddy，源站早已自带 Let’s Encrypt 证书，直接无缝对接。

4.2 边缘安全证书与传输策略

在 SSL/TLS -> Edge Certificates 页面中开启以下关键选项：

  • Always Use HTTPS：设为开启。全站 HTTP 80 端口请求自动在边缘返回 301 强制跳转至 HTTPS；
  • Minimum TLS Version：锁定为 TLS 1.2。淘汰存在安全隐患的 TLS 1.0 与 TLS 1.1；
  • Opportunistic Encryption 与 Automatic HTTPS Rewrites：均设为开启，自动修复页面静态引用的明文 http:// 资源，消除浏览器混合内容警告。

4.3 基础防爬与安全级别

在 Security -> Settings 与 Security -> Bots 中配置防御屏障：

  • Security Level：保持默认的 Medium 即可。当遭受应用层轻量扫荡时，可临时切换为 Under Attack Mode 让所有访客执行浏览器挑战；
  • Bot Fight Mode：设为开启。Cloudflare 会对特征明显的扫描器、爬虫脚本自动下发计算挑战阻断其资源滥用；
  • Browser Integrity Check (BIC)：开启。识别爬虫异常的 HTTP 请求头。
问题现场解剖：SSL/TLS与安全防御最佳配置 ⚠️ 从问题出发：表面症状是如何一步步演变为生产故障或降权的？ 独立开发者工具箱 · CH-28 · 核心卡点传导链 1. Off（禁用） 全链路明文传输，极不安全； 需通过真实环境实测核验 症结：认知偏差与配置盲区 2. Flexible（灵活模式） 浏览器与Cloudflare之间是 HTTPS，但Cloudflare与源站… 传导：隐性劣化与边界失守 3. Full（完全加密） 全链路HTTPS，但Cloudflare 不校验源站证书的合法性，允许… 破局：量化指标与工程验证 ✅ 破局核心原则（结论先行） Cloudflare免费版绝不仅是个被动CDN。配齐五大黄金组合：DNS代理防护（Web 主站Proxied橙云、邮件与内部管理端口直连）、Full(Strict)双向严格加密…

5、协议加速与 Cache Rules 优化

5.1 现代传输协议全量开启

在控制台的 Speed -> Optimization 与 Network 菜单中，依次开启：

  • Brotli 压缩：对 HTML、JS、CSS 的压缩效率比常规 gzip 额外提升 15%~25%；
  • HTTP/3 (with QUIC)：基于 UDP 的新一代协议，在跨洋丢包与移动弱网环境下建立连接显著加速；
  • 0-RTT Connection Resumption：开启零延迟恢复会话，重复访问访客可实现近乎即时的页面加载；
  • Early Hints (HTTP 103)：开启。源站生成动态页面内容期间，边缘预先通知浏览器提前下载 CSS/JS 资源。

5.2 抛弃旧版 Page Rules，改用现代化 Cache Rules

Cloudflare 官方免费套餐中 Page Rules 仅给 3 条额度，并且属于逐步淘汰的技术。新架构应使用 Caching -> Cache Rules（免费版支持 10 条独立规则）。

针对独立开发者常用的静态资源，建立一条全站静态长效缓存规则：

  • 规则名称：Static Assets Aggressive Caching
  • 匹配表达式（Field / Operator / Value）：
    1
    (http.request.uri.path.extension in {"css" "js" "jpg" "jpeg" "png" "webp" "avif" "gif" "ico" "svg" "woff" "woff2" "ttf"})
  • 配置行为（Cache eligibility）：
    • Cache status：Eligible for cache（启用缓存）
    • Edge TTL：Override origin -> 设定为 1 month（30 天）
    • Browser TTL：Override origin -> 设定为 7 days（7 天）
    • Serving stale content：开启 Serve stale content while revalidating，确保在边缘异步刷新时用户仍能秒开页面。
底层机制与架构拆解：协议加速与Cache Rules优化 四阶段递进分析模型 · 从前置识别到最终工程定级 S1 Brotli压缩 对HTML、JS、CSS的压缩 效率比常规gzip额外提升… S2 HTTP/3(with QUIC) 基于UDP的新一代协议， 在跨洋丢包与移动弱网环… S3 0-RTT Connection… 开启零延迟恢复会话，重 复访问访客可实现近乎即… S4 Early Hints(HTTP… 开启。源站生成动态页面 内容期间，边缘预先通知… 💡 工程启示：任何一个前置环节失守，都会通过传导链放大为下游的系统性偏差

6、借助开源脚本一键注入生产基线

手动逐项点击 Cloudflare 庞杂的菜单界面不仅费时，还容易疏漏关键参数。我们可以利用 ITTinker 维护的开源自动化脚本完成基线配置。

6.1 工具介绍与开源引用

  • 项目工具库：ittinker-scripts/cloudflare-domain-baseline
  • 核心功能：通过 Cloudflare REST API，全自动比对并配置 Full (Strict) SSL、HSTS 响应头、TLS 1.3、Brotli、HTTP/3、Bot Fight Mode、静态资产 30 天 Cache Rules 以及 www 规范化 301 重定向。

6.2 自动化操作步骤

第一步：准备 Cloudflare API Token

登录 Cloudflare 控制台，进入 My Profile -> API Tokens，点击 Create Token。使用官方模板或创建自定义 Token，赋予目标 Zone 以下四项最小权限：

  • Zone:Read
  • Zone:Edit
  • Zone Settings:Edit
  • Ruleset:Edit

第二步：运行一键自动化脚本

1
2
3
4
5
6
7
8
9
# 克隆或进入 ittinker-scripts/cloudflare-domain-baseline 目录
git clone https://github.com/ittinker-org/ittinker-scripts.git
cd ittinker-scripts/cloudflare-domain-baseline

# 1. 运行 Dry Run 预览模式（只读取比对，不产生实际写入改动）
bash setup-zone.sh -d yourdomain.com -t "YOUR_CF_API_TOKEN"

# 2. 确认无误后，添加 --apply 参数正式应用生效
bash setup-zone.sh -d yourdomain.com -t "YOUR_CF_API_TOKEN" --apply

执行后，脚本将自动完成当前配置的本地快照归档（存放于 ./cf-backup/），并在数秒内完成全部生产安全基线注入。

问题整改前后解剖：借助开源脚本一键注入生产基线 ⚠️ 整改前：常见踩坑与失分现场 • 盲区 1：忽视「项目工具库」边界约束 • 盲区 2：缺乏「核心功能」实测核验 • 盲区 3：遗漏「工具介绍与开源引用」兜底监控 后果：线上隐性故障频发 / 评估等级下调 ✅ 整改后：高确定性工程实践 • 动作 1：项目工具库… • 动作 2：核心功能：通过Cloudflare REST API，全自… • 动作 3：工具介绍与开源引用：项目工具库… 收益：指标可观测、配置可复现、风险可阻断

7、源站防火墙白名单锁定

在开启了 Cloudflare 代理后，若源站 VPS 仍对全世界开放 80/443 端口，黑客只要通过全网 IP 扫段就能直接绕过 Cloudflare 攻击你的源站。

必须使用 Linux 防火墙（以 UFW 为例）锁定流量来源，规定 80/443 端口仅允许 Cloudflare 官方 IP 网段访问：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
#!/usr/bin/env bash
# 自动同步 Cloudflare 官方 IPv4/IPv6 并写入 UFW 白名单规则

# 1. 默认拒绝公网直接访问 Web 端口
sudo ufw default deny incoming

# 2. 必须保留 SSH 端口放行（防止自己被踢出）
sudo ufw allow 22/tcp

# 3. 循环放行 Cloudflare 官方公布的 IPv4 节点
for ip in $(curl -s https://www.cloudflare.com/ips-v4); do
  sudo ufw allow proto tcp from "$ip" to any port 80,443 comment 'Cloudflare IPv4'
done

# 4. 循环放行 Cloudflare 官方公布的 IPv6 节点
for ip in $(curl -s https://www.cloudflare.com/ips-v6); do
  sudo ufw allow proto tcp from "$ip" to any port 80,443 comment 'Cloudflare IPv6'
done

# 5. 重启防火墙生效
sudo ufw reload
sudo ufw status verbose

配置完成后，全网除了 Cloudflare 边缘代理节点之外，任何直接探测你 VPS 真实 IP 80/443 端口的扫描包均会被静默丢弃。

底层机制与架构拆解：源站防火墙白名单锁定 四阶段递进分析模型 · 从前置识别到最终工程定级 S1 输入识别与场景分流 明确核心业务诉求与上下 文边界条件 S2 底层协议与规则校验 对照核心规范与真实负载 指标逐项核验 S3 瓶颈隔离与风险阻断 剔除干扰链路、单点隐患 与高危配置 S4 确定性架构标准输出 沉淀为可一键复现的工程 配置基线 💡 工程启示：任何一个前置环节失守，都会通过传导链放大为下游的系统性偏差

8、配置验证与状态诊断

使用 curl 命令行检验配置是否达到预期：

1
2
# 检查响应头与 CDN 缓存命中情况
curl -I https://yourdomain.com/static/logo.svg

合格的生产响应头应符合以下特征：

1
2
3
4
5
6
7
HTTP/2 200 
server: cloudflare
cf-ray: 8df4a7819c3b8891-HKG
content-encoding: br
cf-cache-status: HIT
strict-transport-security: max-age=15552000; includeSubDomains; preload
cache-control: public, max-age=2592000
  • server: cloudflare：确认请求已被边缘接管；
  • content-encoding: br：确认已启用 Brotli 压缩；
  • cf-cache-status: HIT：确认静态资产已成功命中边缘强缓存；
  • strict-transport-security：确认 HSTS 安全头正常下发。

至此，你的域名已完整构建起坚固、极速且全免费的现代网络防御体系。

问题整改前后解剖：配置验证与状态诊断 ⚠️ 整改前：常见踩坑与失分现场 • 盲区 1：忽视「server」边界约束 • 盲区 2：缺乏「content-encoding」实测核验 • 盲区 3：遗漏「cf-cache-status」兜底监控 后果：线上隐性故障频发 / 评估等级下调 ✅ 整改后：高确定性工程实践 • 动作 1：server：cloudflare：确认请求已被边缘接管 • 动作 2：content-encoding：br：确认已启用Brotli… • 动作 3：cf-cache-status：HIT：确认静态资产已成… 收益：指标可观测、配置可复现、风险可阻断