Web sitenizin önüne Cloudflare koyun

Cloudflare'in ters proxy'si ziyaretçileriniz ile sunucunuz arasında durur: önbelleğe alınmış dosyaları ziyaretçiye yakın konumlardan sunar, kötü niyetli trafiği filtreler ve sunucunuzun gerçek adresini gizler. Bu rehber, HyperDC sunucusundaki bir siteyi HTTPS'i, kayıtları veya erişim denetimini bozmadan Cloudflare'in arkasına alır. example.com ve 203.0.113.10 yerine kendi değerlerinizi yazın.

1. adım: Siteyi Cloudflare'e ekleyin

Cloudflare panelinde example.com alan adını ekleyin. Cloudflare mevcut kayıtlarınızı tarar; bunları listenizle karşılaştırın ve eksikleri, özellikle MX, SPF, DKIM ve DMARC kayıtlarını ekleyin.

2. adım: Neyin proxy'leneceğini seçin

Posta, web sitesiyle aynı IP adresinden gönderiliyorsa MX kaydı sunucunun adresini ele verir. Mümkünse postayı başka bir sunucudan veya IP'den gönderin.

3. adım: Ad sunucularını değiştirin

Cloudflare bölgeniz için iki ad sunucusu gösterir. Bunları kayıt firmanızda girin; HyperDC alan adı için Yeni NameServer Ekle'yi seçin, ikisini girin ve Nameserverları Değiştir'i seçin. Eski DNS sağlayıcısında DNSSEC açıksa önce eski DS kaydını kaldırın.

Doğrulama: dig NS example.com +short Cloudflare ad sunucularını döndürür ve Cloudflare paneli bölgeyi etkin olarak gösterir.

4. adım: SSL/TLS'i Full (strict) yapın

SSL/TLS › Overview altında Full (strict) seçin. Bunun için sunucunuzda geçerli bir sertifika gerekir:

• Herkese açık bir sertifika (örneğin Let's Encrypt) çalışmaya devam eder ve site Cloudflare olmadan da çalışır.
• Cloudflare Origin CA sertifikası (SSL/TLS › Origin Server altında) yalnızca Cloudflare tarafından güvenilir sayılır ve uzun yıllar geçerli olabilir. Her sertifika gibi kurun; bkz. SSL sertifikası kurun.

Flexible modundan kaçının: Cloudflare'den sunucunuza giden trafiği şifresiz gönderir ve sunucunuz HTTP'yi HTTPS'e yönlendiriyorsa ziyaretçiler bir yönlendirme döngüsüne girer.

5. adım: Ziyaretçinin IP adresini geri getirin

Proxy arkasında her istek bir Cloudflare adresinden gelir. Web sunucunuza, yalnızca Cloudflare aralıklarına (Cloudflare'in IP aralıkları sayfasında listelenir) güvenerek gerçek adresi CF-Connecting-IP başlığından almasını söyleyin.

set_real_ip_from 173.245.48.0/20;
set_real_ip_from 103.21.244.0/22;
real_ip_header CF-Connecting-IP;

sudo a2enmod remoteip

RemoteIPHeader CF-Connecting-IP
RemoteIPTrustedProxy 173.245.48.0/20
RemoteIPTrustedProxy 103.21.244.0/22

Doğrulama: siteyi ziyaret ettikten sonra erişim kaydındaki en yeni satır bir Cloudflare adresi değil, kendi IP adresinizi gösterir. Cloudflare aralıklarını ara sıra değiştirir; zaman zaman gözden geçirin.

6. adım: Web trafiğine yalnızca Cloudflare'den izin verin

Saldırganlar sunucunuzun IP adresini bulursa proxy'yi atlayabilir. UFW ile 80 ve 443 portlarına yalnızca Cloudflare aralıklarından izin verin ve genel kuralı kaldırın:

for ip in $(curl -s https://www.cloudflare.com/ips-v4) $(curl -s https://www.cloudflare.com/ips-v6); do sudo ufw allow proto tcp from "$ip" to any port 80,443; done
sudo ufw delete allow 80,443/tcp
sudo ufw status numbered

SSH'ye eskisi gibi izin vermeye devam edin. Cloudflare yeni aralıklar yayınladığında döngüyü yeniden çalıştırın.

Önbelleğin temelleri

Cloudflare statik dosyaları (görseller, CSS, JavaScript) varsayılan olarak önbelleğe alır ve Cache-Control başlıklarınıza uyar. Bir önbellek kuralı eklemedikçe HTML sayfaları önbelleğe alınmaz. Bir yayından sonra ziyaretçiler eski dosyaları görüyorsa Caching › Configuration › Purge Cache kullanın.

Sorun giderme

521 hatası (web sunucusu kapalı). Sunucunuz Cloudflare'in bağlantısını reddetti: web sunucusu durmuş ya da güvenlik duvarı Cloudflare aralıklarına izin vermiyor.

522 veya 524 hatası (zaman aşımı). Sunucu zamanında yanıt vermedi; yükünü ve kayıtlarını kontrol edin. Bkz. web sitesi 502, 503 ve 504 hataları.

525 veya 526 hatası (SSL). Sunucuyla el sıkışma başarısız oldu ya da mod Full (strict) iken sertifikası geçersiz. Geçerli bir sertifika veya Origin CA sertifikası kurun.

Çok fazla yönlendirme. Sunucu HTTPS'e yönlendirirken SSL modu Flexible. Full (strict) moduna geçin.

Posta çalışmayı durdurdu. MX hedefi proxy'leniyor. Posta kaydını DNS only yapın.

Sonraki adımlar

• Sellere karşı koruma: DDoS korumasının temelleri.
• Kaynak sunucudaki sertifikalar: SSL sertifikası kurun.