Как подключить домен к Cloudflare

Коротко

• Cloudflare берёт на себя DNS домена и, если включить прокси, стоит между посетителями и вашим сервером.
• Для большинства сайтов хватает бесплатного тарифа Free.
• Главное действие: заменить NS у регистратора на два сервера Cloudflare. До статуса Active может пройти до суток.
• Оранжевое облако (Proxied) нужно для сайтов, серое (DNS only) для почты и всего, что не веб.
• В SSL/TLS выбирайте Full (strict): режим Flexible вместе с редиректом на HTTPS на самом сервере даёт цикл перенаправлений.

Перед началом

Заведите аккаунт Cloudflare и включите двухфакторную защиту. Выпишите текущие DNS-записи домена, особенно MX и TXT для почты. Если у домена включён DNSSEC, отключите его у регистратора (удалите запись DS), подождите, пока истечёт её TTL, и только потом меняйте NS.

Добавление домена

1. В панели откройте раздел Domains и нажмите Onboard a domain. Введите основной домен example.com без www.
2. Выберите тариф. Free подходит для большинства сайтов, платные добавляют функции, а сменить тариф можно позже.
3. Cloudflare быстро просканирует записи, но гарантии, что найдёт все, нет. Сверьте список с текущей зоной: A и CNAME для сайта, MX, SPF, DKIM и DMARC для почты, TXT для подтверждений. Недостающее добавьте вручную.
4. Для каждой записи A, AAAA и CNAME выберите статус прокси (раздел ниже).
5. Cloudflare покажет два сервера имён вида ada.ns.cloudflare.com и bob.ns.cloudflare.com (у вас будут другие). В кабинете регистратора замените все прежние NS этими двумя, вписав их точно.
6. Дождитесь статуса Active. По документации Cloudflare, регистратору на обновление может понадобиться до 24 часов, а когда домен станет активным, придёт письмо.

Proxied или DNS only

Proxied (оранжевое облако)   сайты: A, AAAA, CNAME для HTTP и HTTPS
DNS only (серое облако)      почта, SSH, FTP и всё, что не веб

• В режиме Proxied посетитель подключается к Cloudflare, а не к серверу: IP скрыт, работают кэш и защита. Проксируется только веб-трафик на ограниченном наборе портов (среди них 80 и 443), поэтому SSH, FTP и почта через прокси не пройдут.
• Проксировать можно только A, AAAA и CNAME. Записи MX и TXT всегда DNS only.
• DNS only отдаёт настоящий IP сервера. Имя для почты (например, mail.example.com) и для SSH должно быть серым.
• У проксируемых записей TTL всегда Auto, это 300 секунд.

Режимы SSL/TLS

Off            шифрования нет
Flexible       посетитель до Cloudflare по HTTPS, дальше до сервера по HTTP
Full           к серверу по протоколу посетителя, сертификат сервера не проверяется
Full (strict)  как Full, но сертификат сервера проверяется

Cloudflare рекомендует Full или Full (strict). Для посетителей он сам выпускает сертификат (Universal SSL), когда домен стал Active. Для участка до сервера выбирайте Full (strict) и ставьте на сервер действительный сертификат: Let's Encrypt или бесплатный сертификат Origin CA от Cloudflare (SSL/TLS, Origin Server, Create Certificate). Закрытый ключ показывается один раз, сохраните его. Браузеры не доверяют Origin CA, поэтому такой сертификат работает, пока запись проксируется.

У новых доменов может быть включён Automatic SSL/TLS, который подбирает режим сам. Откройте вкладку SSL/TLS, посмотрите, что выбрано, и при необходимости переключите настройку на ручную и выберите Full (strict). Подробнее про сертификаты в статье SSL сертификат и HTTPS.

Цикл перенаправлений. При Flexible Cloudflare обращается к серверу по HTTP, а сервер, настроенный на редирект с HTTP на HTTPS, отправляет запрос обратно. Браузер показывает ERR_TOO_MANY_REDIRECTS. Решение: режим Full или Full (strict), либо убрать редирект на сервере и включить Always Use HTTPS (SSL/TLS, Edge Certificates). Flexible допустим только временно и для сайтов без входа и личных данных.

Как добавить A-запись на VPS

В Cloudflare откройте DNS, Records, Add record.

Type   Name   Content        Proxy status
A      @      203.0.113.10   Proxied
CNAME  www    example.com    Proxied

В поле IPv4 address (в списке записей оно называется Content) укажите IP вашего VPS. Значок @ означает корень домена. Для проксируемой записи на сервере должны быть открыты порты 80 и 443. Если нужен SSH по имени, создайте отдельную запись с серым облаком, например ssh. Как развернуть сам сайт, описано в статье как развернуть сайт на VPS.

Как убрать домен из Cloudflare

1. Сохраните записи (DNS Records, Import and Export, Export) и создайте такие же у нового DNS: у регистратора или хостинга.
2. Если включён DNSSEC, сначала удалите запись DS у регистратора и подождите, пока истечёт её TTL (обычно от суток до двух). До этого не меняйте NS и не отключайте DNSSEC в Cloudflare, иначе у проверяющих резолверов сайт перестанет открываться.
3. В кабинете регистратора верните прежние NS или впишите NS нового DNS. Командой nslookup -type=NS example.com убедитесь, что Cloudflare в ответе больше нет.
4. Только после этого откройте домен в Cloudflare: Overview, Advanced Actions, Remove from Cloudflare, подтвердите. Удаление отменяет платные подписки на этом домене без возврата денег по правилам Cloudflare.

Если не получилось

1. Статус Pending Nameserver Update: командой nslookup -type=NS example.com проверьте, что указаны только два сервера Cloudflare, без опечаток и без старых. Проверьте DNSSEC и подождите до суток.
2. Сайт не открывается после смены NS: сверьте записи со старой зоной, особенно IP и www.
3. Ошибки 521 и 522: сервер выключен или блокирует запросы Cloudflare, проверьте веб-сервер, файрвол и порты 80 и 443. Ошибки 525 и 526: проблема с сертификатом на сервере.
4. Перестала работать почта: проверьте записи MX и то, что почтовое имя в режиме DNS only.
5. Не подключается SSH: имя проксируется, подключайтесь по IP или через запись с серым облаком.

Если что-то непонятно, напишите мне в Telegram: @lztcoder