Cloudflare vor einem VPS: DNS, Proxy und SSL korrekt konfiguriert

Cloudflare wird sehr häufig vor einer auf einem VPS gehosteten Website eingesetzt: schnelles und kostenloses DNS, Zertifikat, Cache und Filterung des Webverkehrs. Eine nachlässige Konfiguration führt jedoch zu Weiterleitungsschleifen, verfälscht die Protokolle und legt Spielserver lahm. In dieser Anleitung werden die wesentlichen Einstellungen erläutert.

1. Orangefarbene Wolke oder graue Wolke

Auf der Registerkarte „DNS“ von Cloudflare wird jeder Eintrag A, AAAA oder CNAME verfügt über einen Schalter:

• Graue Wolke, „DNS only“ : Cloudflare gibt lediglich die Adresse Ihres VPS zurück. Die Besucher stellen eine direkte Verbindung zum Server her.
• Orangefarbene Wolke, „Proxied“ : Cloudflare antwortet mit eigenen Adressen. Besucher stellen eine Verbindung zu Cloudflare her, das die Anfragen an Ihren VPS weiterleitet. Die Serveradresse wird verborgen, und der Cache sowie die Anwendungs-Firewall von Cloudflare kommen zum Einsatz.

2. Wann sollte der Proxy aktiviert werden?

Der Cloudflare-Proxy leitet in seiner Standardversion lediglich den Webverkehr (HTTP und HTTPS) über eine bestimmte Liste von Ports weiter, darunter 80, 443, 8080 und 8443. Alles andere wird nicht weitergeleitet.

Ein play.monsite.fr „Orange Cloud“ funktioniert nicht: Die Spieler können keine Verbindung herstellen, da Cloudflare ihren Spielverkehr nicht akzeptiert. Zum Schutz eines Spielservers ist ein Anti-DDoS-Netzwerkschutz erforderlich, nicht der Web-Proxy.

3. Der richtige SSL-Modus: „Full“ (streng)

Unter SSL/TLS → Übersicht bietet Cloudflare mehrere Modi an. Nur einer davon ist sowohl sicher als auch frei von Fallstricken:

• Flexibel : verschlüsselt zwischen dem Besucher und Cloudflare, im Klartext zwischen Cloudflare und Ihrem Server. Wenn Ihr Server selbst auf HTTPS umleitet, entsteht eine endlose Umleitungsschleife. Dies sollten Sie vermeiden.
• Vollständig : Durchgehend verschlüsselt, jedoch akzeptiert Cloudflare jedes Zertifikat auf dem Server, auch abgelaufene.
• Vollständig (streng) : durchgehend verschlüsselt mit einem gültigen Zertifikat auf dem Server. Dies ist der Modus, den Sie wählen sollten.

Für das Serverzertifikat gibt es zwei Optionen: ein mit Certbot erstelltes Let’s Encrypt-Zertifikat, das auch hinter dem Proxy funktioniert (siehe Nginx und HTTPS), oder ein Cloudflare-Herkunftszertifikat, kostenlos und gültig bis zum 15. Lebensjahr, wird ausschließlich von Cloudflare anerkannt und kann unter SSL/TLS → Ursprungsserver.

4. Die tatsächliche Adresse der Besucher ermitteln

Hinter dem Proxy sieht Ihr Server alle Anfragen, die von den Cloudflare-Adressen eingehen. Ihre Protokolle, Statistiken, Fail2ban und Durchsatzbeschränkungen sind dann nicht mehr nutzbar. Cloudflare übermittelt die tatsächliche Adresse im Header CF-Connecting-IP : Weisen Sie Nginx an, dem Server nur dann zu vertrauen, wenn die Anfrage von Cloudflare stammt. Erstellen Sie /etc/nginx/conf.d/cloudflare.conf :

# plages IPv4 et IPv6 publiées par Cloudflare sur cloudflare.com/ips
set_real_ip_from 173.245.48.0/20;
set_real_ip_from 103.21.244.0/22;
# ... une ligne par plage publiée ...
set_real_ip_from 2400:cb00::/32;
real_ip_header CF-Connecting-IP;

Kopieren Sie die vollständige und aktuelle Liste von der offiziellen Cloudflare-Adressseite; sie ändert sich zwar selten, aber doch gelegentlich. Starten Sie anschließend Nginx neu mit nginx -t && systemctl reload nginx. Falls Sie Fail2ban hinter Cloudflare einsetzen, sollten Sie beachten, dass eine Sperrung auf Ebene der Server-Firewall einen Besucher, der über den Proxy gelangt, nicht blockiert: siehe Fail2ban für Fortgeschrittene.

5. Die Absenderadresse schützen

Der Proxy schützt Ihren Server nur, solange seine Adresse unbekannt bleibt. Sie wird häufig auf folgende Weise preisgegeben:

• eine Subdomain in grauer Schrift auf demselben Server, wie beispielsweise ftp, mail oder panel ;
• die Kopfzeilen der E-Mails, die direkt vom Server versendet werden;
• Der DNS-Verlauf: Falls die Domain vor der Aktivierung des Proxys auf diesen Server verwiesen hat, wird die alte Adresse von öffentlichen Diensten archiviert.

Um dies konsequent umzusetzen, lassen Sie in der Firewall auf den Ports 80 und 443 des Servers ausschließlich die Adressbereiche von Cloudflare zu. Jeder Versuch, den Proxy zu umgehen, wird dann abgewehrt. Siehe UFW konfigurieren.

6. Cache und Regeln

Standardmäßig speichert Cloudflare statische Dateien (Bilder, CSS, JavaScript) im Cache, HTML jedoch nicht. Dies hat zwei praktische Konsequenzen:

• Nachdem Sie Änderungen an CSS oder JavaScript vorgenommen haben, ändern Sie den Namen oder fügen Sie einen Versionsparameter hinzu, zum Beispiel style.css?v=2, oder leeren Sie den Cache im Dashboard.
• Speichern Sie Verwaltungs-, Konto- oder Warenkorbseiten niemals im Cache. Wenn Sie Cache-Regeln für HTML erstellen, schließen Sie diese Seiten ausdrücklich aus.

7. Cloudflare und der Anti-DDoS-Schutz des VPS

Beides ergänzt sich. Cloudflare schützt die Web-Traffic die über seinen Proxy läuft. Der Schutz Anti-DDoS von unseren Filter-VPS der gesamte Verkehr der an die Serveradresse gelangt, einschließlich des Spielverkehrs, von SSH-Verbindungen und Angriffen, die direkt auf die Ursprungsadresse abzielen. Bei einer Website kommen beide Maßnahmen zusammen; bei einem Spielserver übernimmt der Netzwerkschutz diese Aufgabe. Siehe die Auswirkungen eines DDoS-Angriffs zu begrenzen.

Häufig gestellte Fragen