Cloudflare免费CDN接入全流程：橙云一开，源站IP从此隐身

站点速度调优做到一定阶段，绕不开 CDN。它解决两个问题：一是静态资源从离用户近的节点发出，访问快；二是所有流量先过 CDN 再到源站，源站真实 IP 对外不可见，DDoS 和扫描都被挡在前排。Cloudflare 的免费计划是个人站长最常选的起点——不限流量、自带基础 WAF 和 SSL，接入成本是一次 DNS 切换。这篇走一遍完整接入流程，以及几个不配置就翻车的坑。

接入流程五步。第一步注册 Cloudflare，添加你的域名，它会自动扫描现有 DNS 记录导进来，逐条核对，尤其是 A 记录和 MX 记录别错。第二步按它的提示到域名注册商那里把 NS 服务器换成 Cloudflare 分配的两个地址，生效时间从几分钟到 48 小时不等（还记得《域名买好了网站打不开：DNS 解析配置从零讲透》讲过 NS 变更不受 TTL 控制吗，就是这里）。第三步等 NS 生效，Cloudflare 状态变 Active。第四步逐条检查 DNS 记录的代理状态：橙色云朵表示流量走 Cloudflare 代理（加速加防护），灰色云朵表示仅解析直连源站。网站的 A/CNAME 记录开橙云，邮件相关的 MX、发信 SPF 记录保持灰云——邮件流量走 CDN 是绝对不行的。第五步 SSL 模式设置，这是第一个大坑，下面细说。

SSL 模式有四种，免费计划直接选 Full (strict)。讲清楚为什么：Flexible 模式下访客到 Cloudflare 是 HTTPS，但 Cloudflare 到你的源站走 HTTP 明文，等于加密了一半还白瞎了你服务器上的证书；Full 是源站证书不校验，中间人可乘；Full (strict) 要求源站有有效证书且校验，两端全程加密。前提是你的源站已经按《HTTPS 免费证书实战：Certbot 十分钟搞定，续期全自动》装好了 Let's Encrypt 证书——这就是为什么证书篇放在 CDN 篇前面。

NS 生效后验证接入是否真正工作：

# 1. 确认域名解析到的是Cloudflare节点IP（104.x/172.67.x开头）

nslookup example.com

# 2. 看响应头，cf-ray和server: cloudflare说明流量已过CDN

curl -sI https://example.com/ | grep -i "server\|cf-ray\|cf-cache"

# 3. 测试静态资源缓存命中

curl -sI https://example.com/logo.png | grep -i cf-cache-status

# 第一次：MISS（节点没有，回源取）

# 第二次：HIT（命中节点缓存）——没有HIT？看下面的缓存规则

第二个大坑就在缓存这里：Cloudflare 默认只缓存图片、CSS、JS 等静态扩展名，HTML 页面默认不缓存（这是对的，动态内容不能乱缓存），但很多人发现静态资源也不 HIT，多半是源站 Cache-Control 头设了 private 或 max-age=0——《Nginx开启gzip和静态资源缓存：两条配置让PageSpeed涨30分》说过，CDN 尊重源站的缓存头。源站给静态资源发 public 加有效期，CDN 节点才会存。想缓存 HTML 的话，用免费计划自带的 Cache Rules 建规则（按路径匹配、指定 Edge TTL），但登录态、购物车这类个性化页面千万别缓存。

第三个大坑是源站 IP 泄露。开了橙云，域名解析出来的是 CDN 节点 IP，攻击者扫不到你源站——但历史 DNS 记录、邮件头、子域名可能把源站 IP 暴露出去。防护动作三件：查遍所有子域名确保都开橙云（mail.example.com 这种直连记录会把主站 IP 顺出来）；服务器防火墙按 《UFW防火墙十分钟入门：先立规则再开门，别把自己锁外面》的做法把 80/443 限制为只接受 Cloudflare 节点段访问（官方公布 IP 段列表，UFW 用 allow from 段写规则），彻底杜绝绕过 CDN 直连源站的攻击；SSL 证书续期时注意 certbot 的 HTTP 验证路径要放行（.well-known/acme-challenge 不走缓存，通常不受影响，但要确认）。

接入后的日常变化也要知道：访问日志里的客户端 IP 全变成了 Cloudflare 节点 IP，《一条 awk 命令，把蜘蛛抓取行为做成报表》写的 awk 蜘蛛报表、《SEO 业务告警：排名跌了、抓量崩了，让企业微信群先知道》的告警脚本会失真——需要在 Nginx 里配 real_ip 模块，从 CF-Connecting-IP 头还原真实访客 IP，这是一行配置的事但必须记得做。免费计划还附带 Bot Fight Mode（基础机器人拦截）和有限的自定义防火墙规则，WAF 的进阶玩法下一篇专门讲。