Cloudflare 使用提示

网站在 Cloudflare 后面

访客真实 IP：网站经过 Cloudflare 代理时，Web 服务器的访问日志里只有 Cloudflare 的地址。在源站为 Cloudflare 网段配置 Apache mod_remoteip 或 Nginx real_ip，日志和 访问统计 页面才能显示真实访客。在此之前，这些请求会标注为“经 Cloudflare”。
拦截：服务器的防火墙看到的连接来自 Cloudflare，而不是访客，所以对经过代理的网站，在服务器上拉黑访客的 IP 没有效果。请改在 Cloudflare 上拦截这些访客。
3R Monitor 永远不能拉黑 Cloudflare 的网段：否则所有经 Cloudflare 访问的访客都打不开你的网站。
经过 Cloudflare 检测网站的网站监控可能会因为 Cloudflare 质询收到 403；监控项会如实报告。请在 Cloudflare 的安全规则中放行主控的 IP（例如 IP 访问规则，或跳过质询的 WAF 自定义规则）。

trust_proxy = auto（master.conf 中的默认值）时，经 Cloudflare、本机或内网转发的请求，主控会取真实来源 IP。登录次数限制和“自动放行登录过的 IP”规则都会按真实 IP 生效。
用 --https 申请 Let's Encrypt 证书：申请期间把 DNS 记录改为 仅 DNS，之后再打开代理。
Cloudflare 源服务器证书：免费。把 SSL/TLS 加密模式设为 完全（严格），在 Cloudflare 支持代理的端口（443、2053、2083、2087、2096 或 8443）上用 tls_cert / tls_key 提供。见 HTTPS 方式二。
被控可以继续向主控的直连地址 http://IP:8899 上报，也可以使用经过 Cloudflare 的地址。Cloudflare 源服务器证书只有 Cloudflare 信任，所以直接连接使用该证书的 HTTPS 端口的被控需要设置 insecure = true。