Домен через свій сервер (проксі-агент)

Що це

Зазвичай домен обслуговується нашим загальним edge через Cloudflare. Режим «Сервер клієнта» дозволяє направити домен на ваш власний сервер: на нього ставиться легкий проксі-агент, а трафік далі йде до нашої інфраструктури трекінгу та зберігання. Ззовні домен виглядає як розміщений цілком у вас.

Навіщо це потрібно

• Немає загального відбитка. Домен живе в вашому акаунті Cloudflare і дивиться на ваш сервер — в DNS/WHOIS немає зв'язку з загальною платформою.
• Origin прихований. Реальні адреси інфраструктури назовні не віддаються.
• Ізоляція по abuse. Блокування і скарги залишаються на вашому сервері/IP, а не на загальній зоні.
• Гео відвідувача зберігається. Трекінг бачить реальну країну і місто відвідувача, а не сервери.

Розділ «Сервери» доступний власнику команди, тімліду та тех-спеціалісту. Домен має бути в вашому власному акаунті Cloudflare: для системного Cloudflare платформи режим «Сервер клієнта» недоступний.

Що знадобиться

1. Сервер — чиста віртуальна машина (Ubuntu), до якої є доступ по SSH під root з паролем. Краще виділити сервер тільки під агента.
2. Свій акаунт Cloudflare, доданий в платформі (розділ «DNS провайдери»).
3. Сам домен.

Крок 1. Додати сервер

1. Відкрийте Технічний → Сервери.
2. Натисніть Додати сервер і заповніть: назва, IP-адреса, SSH-порт (зазвичай 22), SSH-користувач (зазвичай root) і root-пароль.
3. Збережіть. Платформа автоматично встановить Docker і проксі-агент, налаштує фаєрвол і підключиться до сервера по власному захищеному ключу.

Важливо: root-пароль використовується один раз для первинного налаштування і ніде не зберігається.

Крок 2. Дочекатися статусу «Готово»

Статус змінюється автоматично: Очікує → Розгортання → Готово, зазвичай за пару хвилин. Якщо сервер перейшов в Помилка, відкрийте його і подивіться журнал розгортання — там видно, на якому кроці виникла проблема (найчастіше сервер недоступний по SSH або невірний пароль). Виправте причину і виберіть у меню сервера Перевикатити (знадобиться root-пароль).

Крок 3. Направити домен на сервер

Сервер можна вибрати в трьох місцях — скрізь одразу після вибору акаунта Cloudflare:

• Реєстрація домену (майстер, крок з Cloudflare) — поле «Куди направити домени».
• Парковка домену — поле «Куди направити домен».
• Редагування домену — секція «Куди дивиться домен»: виберіть «Сервер клієнта», сервер зі списку і натисніть Застосувати.

Платформа сама пропише у вашій зоні Cloudflare A-запис на IP сервера (в режимі проксі) і переключить SSL зони в режим Flexible — агент приймає з'єднання від Cloudflare по HTTP. Вручну нічого змінювати не потрібно.

Повернути домен на загальний edge: в редагуванні виберіть «Наш edge» і натисніть «Застосувати».

Крок 4. Делегувати NS

Якщо домен паркується без реєстратора, після збереження вікно покаже NS-сервери Cloudflare з кнопкою копіювання. Пропишіть їх у свого реєстратора. Коли делегування підхопиться, домен автоматично перейде в статус Активний.

При парковці і реєстрації через підключеного реєстратора NS прописуються автоматично.

Дії з сервером

У меню сервера (кнопка «⋮» в рядку):

• Оновити агента — оновлює образ і налаштування агента, повторно застосовує правила фаєрвола. Пароль не потрібен, агент перезапуститься за кілька секунд.
• Перевипустити ключ — видає агенту новий ключ доступу, старий відразу перестає працювати. Використовуйте, якщо ключ міг потрапити в чужі руки (наприклад, засвітився в переписці або логах). Пароль не потрібен.
• Перевикатити — повне повторне розгортання з нуля. Потрібен root-пароль.

Фаєрвол на сервері

Платформа включає UFW: порти 80 і 443 відкриті тільки для підмереж Cloudflare, тому звернутися до сайту в обхід вашого Cloudflare по IP сервера не можна. SSH і інші порти не обмежуються — ви, як і раніше, можете заходити на сервер.

Колонка «Сервер» в таблиці доменів

• Наш edge — домен обслуговується загальним edge платформи (за замовчуванням).
• Ім'я сервера — домен направлений на ваш сервер; при наведенні видно IP.

Ручне оновлення DNS

Синхронізація DNS за шаблоном (одиночна і масова) приводить записи домену у відповідність з поточним вибором: для домену на сервері клієнта — A-запис на IP сервера, для домену на нашому edge — стандартний запис.

Часті питання

Помилка Cloudflare 521. Cloudflare не зміг достукатися до сервера. Перевірте, що сервер в статусі «Готово», домен в режимі «Сервер клієнта», а SSL зони в Cloudflare — Flexible. Якщо змінювали SSL вручну, натисніть в домені «Застосувати» ще раз.

Сервер «Готово», але домен не відкривається. Перевірте, що NS домену делеговані на потрібний акаунт Cloudflare і A-запис проксирується (помаранчева хмара).

Чи можна використовувати системний Cloudflare. Ні: режим «Сервер клієнта» працює тільки з вашим власним акаунтом Cloudflare.