搬瓦工绑定 Cloudflare 教程：DNS 解析、CDN 代理、SSL/TLS、缓存和回源安全

BandwagonHost 官方网站

一、先看结论

搬瓦工 VPS 接入 Cloudflare 的核心不是“把域名加进去”这么简单，而是要处理好三件事：DNS 记录是否正确、SSL/TLS 模式是否正确、源站真实 IP 是否保护好。

推荐做法是：域名交给 Cloudflare 托管；网站记录使用小黄云代理；源站安装有效证书；Cloudflare SSL/TLS 使用 Full (strict)；Nginx/Apache 获取真实访客 IP；源站防火墙尽量只允许 Cloudflare 回源访问 80/443。

二、接入流程总览

1. 源站先跑通。在搬瓦工 VPS 上确认 Nginx / Caddy / Apache 正常，网站能通过源站 IP 或临时域名访问。
2. 添加站点。在 Cloudflare 添加你的域名，导入或手动创建 DNS 记录。
3. 替换 Nameserver。到域名注册商后台，把 NS 改成 Cloudflare 分配的两个 Nameserver。
4. 核对 DNS 记录。确认主域名、www、API、邮件、验证记录没有遗漏。
5. 开启代理。网站流量走小黄云，邮件、SSH、数据库等非 Web 服务不要开启代理。
6. 设置 SSL/TLS。源站安装证书后，Cloudflare 选择 Full (strict)。
7. 配置缓存和安全。按静态资源、后台路径、登录路径分别设置缓存和绕过规则。
8. 验证上线。使用 dig、curl、浏览器和日志确认解析、HTTPS、缓存和真实 IP。

三、DNS 记录怎么填？

四、SSL/TLS 模式怎么选？

最容易出问题的是 SSL/TLS 模式。推荐路线是：搬瓦工源站先部署有效证书，然后 Cloudflare 使用 Full (strict)。这样浏览器到 Cloudflare、Cloudflare 到搬瓦工源站两段都是 HTTPS。

源站可以使用 Let’s Encrypt 证书，也可以使用 Cloudflare Origin Certificate。若使用 Origin Certificate，证书只适合 Cloudflare 回源，不适合直接给普通浏览器访问。

五、源站真实 IP 怎么保护？

开启小黄云后，普通访客看到的是 Cloudflare 边缘节点 IP，不会直接看到搬瓦工 VPS IP。但这不等于源站绝对隐藏，历史 DNS 记录、邮件头、直连端口、证书记录、错误配置都可能泄露源站。

建议做以下处理：

• 网站域名使用小黄云代理，不要把源站 IP 暴露在公开 A 记录里。
• 邮件服务、SSH、数据库等不要和网站域名混用。
• 源站防火墙只允许 Cloudflare 回源 IP 访问 80/443。
• 关闭不必要的公网端口，例如数据库、Redis、管理面板、测试端口。
• 不要在网站页面、Git 仓库、配置文件或错误页暴露源站 IP。

Nginx 获取真实访客 IP 的基础写法如下。实际 Cloudflare IP 段请以官方当前列表为准，不要长期使用过期列表。

# /etc/nginx/conf.d/cloudflare-real-ip.conf
real_ip_header CF-Connecting-IP;
real_ip_recursive on;

# 示例：这里应填写 Cloudflare 官方公布的 IPv4/IPv6 回源 IP 段
# set_real_ip_from 173.245.48.0/20;
# set_real_ip_from 2400:cb00::/32;

六、缓存怎么设置更稳？

Cloudflare 缓存更适合静态资源，不要盲目缓存后台、购物车、登录态、API 写入接口和用户中心页面。对普通 WordPress 或静态站，可以先从保守规则开始：

七、A / AAAA 和 IPv6 注意事项

如果搬瓦工 VPS 同时有 IPv4 和 IPv6，可以在 Cloudflare 中同时配置 A 和 AAAA。需要注意：

• 源站 IPv6 防火墙也要配置，不要只配置 IPv4。
• 如果 IPv6 线路不稳定，可以先只放 A 记录，待验证后再加 AAAA。
• Cloudflare 代理开启后，访客看到的是 Cloudflare 的边缘 IP，不一定能直接反映源站 IPv4/IPv6 状态。
• 如果源站证书包含主域名和 www，IPv4/IPv6 回源都要能正常提供 HTTPS。

八、上线后怎么验证？

常用验证命令：

dig example.com
dig www.example.com
curl -I https://example.com
curl -I https://www.example.com
curl -I --resolve example.com:443:源站IP https://example.com
openssl s_client -connect example.com:443 -servername example.com </dev/null

重点看这些结果：

• dig 是否已经返回 Cloudflare 代理 IP，或灰云时返回源站 IP。
• curl -I 是否返回 200 / 301 / 302，而不是 522、525、526、521。
• 响应头中是否出现 cf-cache-status、server: cloudflare 等信息。
• 源站日志是否记录真实访客 IP，而不是全部显示 Cloudflare IP。
• 直接访问源站 IP 是否已经被限制或不返回正式站点内容。

九、常见错误和处理办法

十、常见问题（FAQ）

相关教程

参考资料

• BandwagonHost 官方网站
• BandwagonHost 服务条款中文参考