Cloudflare devant un VPS : DNS, proxy et SSL bien configurés

Cloudflare est très souvent utilisé devant un site hébergé sur un VPS : DNS rapide et gratuit, certificat, cache et filtrage du trafic web. Mais une configuration approximative provoque des boucles de redirection, fausse les journaux et casse les serveurs de jeu. Ce guide passe en revue les réglages qui comptent.

1. Nuage orange ou nuage gris

Dans l'onglet DNS de Cloudflare, chaque enregistrement A, AAAA ou CNAME a un interrupteur :

• Nuage gris, « DNS only » : Cloudflare répond simplement avec l'adresse de votre VPS. Les visiteurs se connectent directement au serveur.
• Nuage orange, « Proxied » : Cloudflare répond avec ses propres adresses. Les visiteurs se connectent à Cloudflare, qui relaie les requêtes vers votre VPS. L'adresse du serveur est masquée, et le cache et le pare-feu applicatif de Cloudflare s'appliquent.

2. Quand activer le proxy

Le proxy de Cloudflare, dans sa version standard, ne relaie que le trafic web, HTTP et HTTPS, sur une liste de ports précise, dont 80, 443, 8080 et 8443. Tout le reste ne passe pas.

Un play.monsite.fr en nuage orange ne fonctionne pas : les joueurs ne peuvent pas se connecter, puisque Cloudflare n'accepte pas leur trafic de jeu. Pour protéger un serveur de jeu, c'est une protection Anti-DDoS réseau qui est nécessaire, pas le proxy web.

3. Le bon mode SSL : Full (strict)

Dans SSL/TLS → Overview, Cloudflare propose plusieurs modes. Un seul est à la fois sûr et sans piège :

• Flexible : chiffré entre le visiteur et Cloudflare, en clair entre Cloudflare et votre serveur. Si votre serveur redirige lui-même vers HTTPS, vous obtenez une boucle de redirection infinie. À éviter.
• Full : chiffré de bout en bout, mais Cloudflare accepte n'importe quel certificat sur le serveur, même expiré.
• Full (strict) : chiffré de bout en bout avec un certificat valide sur le serveur. C'est le mode à choisir.

Pour le certificat du serveur, deux options : un certificat Let's Encrypt obtenu avec Certbot, qui fonctionne aussi derrière le proxy (voir Nginx et HTTPS), ou un certificat d'origine Cloudflare, gratuit et valable jusqu'à 15 ans, reconnu uniquement par Cloudflare, à générer dans SSL/TLS → Origin Server.

4. Retrouver la vraie adresse des visiteurs

Derrière le proxy, votre serveur voit toutes les requêtes arriver depuis les adresses de Cloudflare. Vos journaux, vos statistiques, Fail2ban et les limitations de débit deviennent inutilisables. Cloudflare transmet la véritable adresse dans l'en-tête CF-Connecting-IP : indiquez à Nginx de lui faire confiance, uniquement quand la requête vient de Cloudflare. Créez /etc/nginx/conf.d/cloudflare.conf :

# plages IPv4 et IPv6 publiées par Cloudflare sur cloudflare.com/ips
set_real_ip_from 173.245.48.0/20;
set_real_ip_from 103.21.244.0/22;
# ... une ligne par plage publiée ...
set_real_ip_from 2400:cb00::/32;
real_ip_header CF-Connecting-IP;

Copiez la liste complète et à jour depuis la page officielle des adresses de Cloudflare ; elle change rarement, mais elle change. Rechargez ensuite Nginx avec nginx -t && systemctl reload nginx. Si vous utilisez Fail2ban derrière Cloudflare, sachez qu'un bannissement au niveau du pare-feu du serveur ne bloque pas un visiteur qui passe par le proxy : voir Fail2ban avancé.

5. Protéger l'adresse d'origine

Le proxy ne protège votre serveur que si son adresse reste inconnue. Elle fuit souvent par :

• un sous-domaine en nuage gris sur le même serveur, comme ftp, mail ou panel ;
• les en-têtes des e-mails envoyés directement par le serveur ;
• l'historique DNS : si le domaine pointait vers ce serveur avant l'activation du proxy, l'ancienne adresse est archivée par des services publics.

Pour aller jusqu'au bout, n'autorisez sur les ports 80 et 443 du serveur que les plages d'adresses de Cloudflare, dans le pare-feu. Toute tentative de contourner le proxy est alors refusée. Voir configurer UFW.

6. Cache et règles

Par défaut, Cloudflare met en cache les fichiers statiques (images, CSS, JavaScript), mais pas le HTML. Deux conséquences pratiques :

• Après une modification de CSS ou de JavaScript, changez le nom ou ajoutez un paramètre de version, par exemple style.css?v=2, ou purgez le cache dans le tableau de bord.
• Ne mettez jamais en cache les pages d'administration, de compte ou de panier. Si vous créez des règles de cache pour le HTML, excluez-les explicitement.

7. Cloudflare et la protection Anti-DDoS du VPS

Les deux sont complémentaires. Cloudflare protège le trafic web qui passe par son proxy. La protection Anti-DDoS de nos VPS filtre tout le trafic qui arrive sur l'adresse du serveur, y compris le trafic de jeu, SSH et les attaques qui visent directement l'adresse d'origine. Pour un site, les deux se cumulent ; pour un serveur de jeu, c'est la protection réseau qui fait le travail. Voir limiter l'impact d'une attaque DDoS.

Questions fréquentes