Consejos para Cloudflare

Sitios web detrás de Cloudflare

IP reales de los visitantes: cuando un sitio pasa por el proxy de Cloudflare, el registro de acceso del servidor web solo muestra direcciones de Cloudflare. Configure Apache mod_remoteip o Nginx real_ip en el servidor de origen para los rangos de Cloudflare, para que los registros, y la página Tráfico, muestren a los visitantes reales. Mientras tanto, esas solicitudes se marcan como "Vía Cloudflare".
Bloqueo: el firewall del servidor ve la conexión llegar desde Cloudflare, no desde el visitante, así que bloquear la IP de un visitante en el servidor no tiene efecto en los sitios que pasan por el proxy. Bloquee a esos visitantes en Cloudflare.
Los rangos de Cloudflare nunca se pueden bloquear en 3R Monitor: sus sitios dejarían de estar disponibles para todos los visitantes que llegan a través de Cloudflare.
Los monitores que comprueban un sitio a través de Cloudflare pueden recibir un 403 por un desafío de Cloudflare; el monitor lo indica como tal. Permita la IP del servidor principal en sus reglas de seguridad de Cloudflare (por ejemplo, una regla de acceso por IP o una regla personalizada del WAF que omita el desafío).

Con trust_proxy = auto (el valor predeterminado en master.conf), el servidor principal toma la IP real del cliente en las solicitudes reenviadas por Cloudflare, por el propio equipo o por la red local. Así, los límites de inicio de sesión y la regla de "permitir las IP que iniciaron sesión" funcionan con la IP real.
Let's Encrypt con --https: cambie el registro DNS a Solo DNS (DNS only) mientras se emite el certificado y luego vuelva a activar el proxy.
Certificado de origen de Cloudflare: es gratuito. Configure el modo SSL/TLS como Completo (estricto) / Full (strict), y sírvalo con tls_cert / tls_key en un puerto para el que Cloudflare haga de proxy (443, 2053, 2083, 2087, 2096 u 8443). Consulte HTTPS, opción 2.
Los agentes pueden seguir reportando a la dirección directa http://IP:8899 del servidor principal, o usar la dirección de Cloudflare. Un certificado de origen de Cloudflare solo es de confianza para Cloudflare, así que los agentes que se conectan directamente a un puerto HTTPS con ese certificado necesitan insecure = true.