这是一个创建于 972 天前的主题，其中的信息可能已经有所发展或是发生改变。
套 Cloudflare 如何保护好源 IP 地址？
V2 的大神们，萌新请教。
目前，我是在防火墙上设置白名单，只允许 Cloudflare 的访问，这样是否就足够安全了？
还需要什么其他的手段或注意事项吗？正确的姿势是什么呢？
第 1 条附言 2023-04-18 17:15:41 +08:00
感谢大佬们的指导，我也找到了官方的指导手册：https://developers.cloudflare.com/fundamentals/get-started/task-guides/origin-health/free/
- 使用新 IP 地址
- 检查邮件等其他可能泄露 IP 的服务
- 防火墙上设置白名单（中等安全）
- Cloudflare Tunnel（非常安全）加密所有流量并防止任何入站连接到您的来源
10 条回复 2023-05-11 03:22:48 +08:00
 | 1 ovoo 2023-04-17 18:18:11 +08:00  3 抛砖引玉：证书会被全网扫 IP 的引擎扫到，所以需要设置默认站点的证书，不能和 cloudflare 解析的域名一样。 |
 | 2 0o0O0o0O0o 2023-04-17 18:33:32 +08:00 1. 因素太多，历史解析、证书等，chatgpt 应该能告诉你更多 2. 我认为官方也不觉得这种操作足够安全 https://blog.cloudflare.com/cloudflare-aegis/ |
| 3 0o0O0o0O0o 2023-04-17 18:36:15 +08:00 分享下我用于 vaultwarden 的免费方案供参考和指正： AWS EC2 和国外一些 VPS 会给你默认分配一个 public dns ，相当于一个域名，这是公开不可隐藏的； 配置 AWS 的防火墙、EC2 自身的 iptables 、Nginx ，仅允许 cloudflare ips ； 在 Cloudflare workers 里中转请求到 public dns ，并且在 worker 里给这请求添加一个秘密的 header ； Cloudflare 上在 page rules 将一个无法爆破的路径设定到这个 worker ； EC2 上 Nginx 用这个 header 鉴权通过，请求才会 proxy pass 到 vaultwarden ； Nginx 除了鉴权通过，别的都伪造成 404 之类的相同响应防止猜测。 个人觉得这样不需要在 Cloudflare 直接解析到 EC2 ，可以防止各种已知或者未知的 bypass 方式，并且也不像 cloudflared tunnel 那样依赖 VPS 的稳定性。 |
 | 4 Lentin 2023-04-17 21:39:10 +08:00 2 端口全关，用 cloudflare tunnel 映射出去 （手动狗头 |
 | 5 ZE3kr 2023-04-17 22:02:25 +08:00 via iPhone 干脆不要 IPv4 了，来个随机的 IPv6 ，看谁能全网扫到。此外需要注意机器不要去请求别人的 API 啥的，不然也会暴露 IP |
 | 7 Aoang 2023-04-18 08:24:12 +08:00 via iPhone @hronro 遇到过一个问题，在机子上部署了 GitLab/ES/Runner 三大件，每当 Runner 起多了，cloudflared 就……，日志显示网络断开，得调整它的调度优先级才能解决这个问题 |
 | 8 renfei OP 感谢上方大佬的建议，我试用了一下 Cloudflare Tunnel 隧道，似乎不太适合我。 因为我是通过 CNAME 接入 SaaS 的，所以在设置零信任的 Cloudflare Tunnel 隧道时，查询不到我的域名。 目前我只能通过四层防火墙来给 Cloudflare ips 设置白名单的方式。 |
 | 9 mmdsun 2023-04-18 12:34:38 +08:00 via iPhone 我之前套 cf 也被 CC 了，都不知道是怎么看到我 IP 的，现在想起来可能是解析历史记录。 |
 | 10 ayconanw 2023-05-11 03:22:48 +08:00 最好的方法是，服务器防火墙开白名单，只允许 cf 的 ip 段 cf 的 ip 段他们自己有维护一个列表 |
Select Language