Cloudflare — domen DNS'ini bepul boshqarish, sahifalarni keshlash va hujumlardan himoyalanish imkonini beradigan xizmat. Ko'p sayt egalari unga «sayt tezlashadi va himoyalanadi» degan maqsad bilan o'tadi va ko'pincha haqiqatan ham foyda ko'radi. Ammo domenni Cloudflare'ga ulash shunchaki bitta tugmani bosish emas: siz domeningizning butun DNS boshqaruvini boshqa joyga ko'chirasiz. Agar bu jarayon shoshilib bajarilsa, pochta to'xtashi, sayt cheksiz yo'naltirish xatosiga tushishi yoki umuman ochilmay qolishi mumkin. Quyida ulanish qanday ishlashini, nimalar yutilishini va qaysi xavflarga oldindan tayyorlanish kerakligini batafsil ko'rib chiqamiz.
Ulanish aslida nimani o'zgartiradi
Domenni Cloudflare'ga ulaganda siz registratorda domenning nom serverlarini Cloudflare bergan ikkita serverga almashtirasiz. Shu daqiqadan boshlab domeningiz haqidagi barcha DNS savollariga Cloudflare javob beradi. Eski DNS panelidagi yozuvlar endi hech qanday ta'sirga ega bo'lmaydi, hatto ular u yerda turgan bo'lsa ham. Bu eng muhim tushuncha: ulanishdan keyin A, MX, TXT va boshqa barcha yozuvlarni faqat Cloudflare panelida tahrir qilish kerak bo'ladi.
Saytni qo'shganda Cloudflare mavjud yozuvlaringizni avtomatik skanerlab, ularni yangi zonaga ko'chirishni taklif qiladi. Bu qulay, lekin skaner faqat taxmin qila oladigan nomlarni topadi. Odatiy www, mail va asosiy domen yozuvlari ko'pincha topiladi, ammo DKIM kalitlari kabi maxsus nomdagi TXT yozuvlar yoki kam uchraydigan subdomenlar tushib qolishi mumkin.
Nimalar yutiladi
Eng katta afzallik — tez va ishonchli DNS. Cloudflare nom serverlari dunyoning ko'p nuqtalarida joylashgan va yozuv o'zgarishlari bir necha soniyada qo'llaniladi. Ikkinchi afzallik — proksi rejimi: sariq bulut yoqilgan yozuvlar uchun tashrif buyuruvchilar to'g'ridan-to'g'ri serveringizga emas, Cloudflare'ga ulanadi. Bu statik fayllarni keshlash, DDoS hujumlarini yumshatish va server IP manzilini qisman yashirish imkonini beradi.
Uchinchi afzallik — qo'shimcha vositalar: xavfsizlik qoidalari, botlarni filtrlash, yo'naltirish qoidalari va trafik statistikasi. Ularning ko'pchiligi bepul tarifda ham mavjud, lekin aniq imkoniyatlar va cheklovlar vaqt o'tishi bilan o'zgaradi, shuning uchun ularni Cloudflare'ning rasmiy hujjatlarida tekshirib turish kerak.
1-xavf: yozuvlarning bir qismi ko'chmay qoladi
Eng ko'p uchraydigan muammo — avtomatik skanerda tushib qolgan yozuvlar. Nom serverlari almashtirilgan zahoti eski zona ishlashdan to'xtaydi va unda bo'lgan, ammo Cloudflare'ga ko'chmagan har bir yozuv yo'qoladi. Ko'pincha bular SPF, DKIM va DMARC kabi pochta yozuvlari bo'ladi, natijada xatlar spamga tusha boshlaydi yoki rad etiladi. Shuning uchun NS'ni almashtirishdan oldin eski zonadagi har bir yozuvni Cloudflare panelidagi ro'yxat bilan bittalab solishtirib chiqing.
# eski DNS serveridan muhim yozuvlarni so'rash
dig @ns1.eski-dns.uz misol-markaz.uz MX +short
dig @ns1.eski-dns.uz misol-markaz.uz TXT +short
dig @ns1.eski-dns.uz default._domainkey.misol-markaz.uz TXT +short
dig @ns1.eski-dns.uz _dmarc.misol-markaz.uz TXT +short2-xavf: DNSSEC o'chirilmagan bo'lsa sayt yo'qoladi
Agar domeningizda DNSSEC yoqilgan bo'lsa, yuqori zonada eski serverlarning kalitiga mos DS yozuvi turadi. Cloudflare nom serverlari boshqa kalit bilan imzolaydi, shuning uchun NS almashtirilgach, validatsiya qiluvchi rezolverlar javobni rad etib, SERVFAIL qaytaradi. To'g'ri tartib quyidagicha: avval registratorda DS yozuvini olib tashlang, uning kesh muddati o'tishini kuting, keyin NS'ni almashtiring. DNSSEC kerak bo'lsa, ulanish tugagach uni Cloudflare panelida yoqib, berilgan yangi DS yozuvini registratorga kiritasiz.
3-xavf: SSL rejimi noto'g'ri tanlansa, cheksiz yo'naltirish
Proksi yoqilganda ikki xil ulanish paydo bo'ladi: tashrif buyuruvchi bilan Cloudflare o'rtasida va Cloudflare bilan serveringiz o'rtasida. «Flexible» rejimida ikkinchi ulanish shifrlanmagan HTTP orqali ketadi. Agar serveringiz har bir HTTP so'rovni HTTPS'ga yo'naltirsa, Cloudflare yana HTTP bilan murojaat qiladi va brauzer «ERR_TOO_MANY_REDIRECTS» xatosini ko'rsatadi. Serverda haqiqiy sertifikat bor bo'lsa, masalan, Let's Encrypt, «Full (strict)» rejimini tanlash ham xavfsiz, ham to'g'ri yechim.
4-xavf: server IP manzili baribir ochiq qoladi
Proksi server IP manzilini faqat proksilangan yozuvlar uchun yashiradi. Agar mail yoki ftp subdomeni o'sha serverning o'ziga to'g'ridan-to'g'ri ko'rsatilgan bo'lsa, istalgan odam uni dig bilan ko'rib, Cloudflare'ni chetlab o'tishi mumkin. Pochta yozuvlarini proksilab bo'lmaydi, chunki Cloudflare proksisi pochta protokollarini o'tkazmaydi. Agar himoya asosiy maqsad bo'lsa, server sozlamalarida faqat Cloudflare IP diapazonlaridan keladigan veb-trafikni qabul qilish haqida o'ylab ko'ring.
5-xavf: loglarda haqiqiy IP o'rniga Cloudflare manzillari
Proksi yoqilgach, server loglarida, statistika plaginlarida va xavfsizlik vositalarida barcha tashrif buyuruvchilar Cloudflare IP manzillaridan kelgandek ko'rinadi. Bu fail2ban kabi bloklash vositalarini chalg'itadi va noto'g'ri odamni bloklashga olib kelishi mumkin. Haqiqiy IP manzil CF-Connecting-IP sarlavhasida keladi va uni veb-serverda tiklash kerak. Nginx uchun sozlama taxminan quyidagicha bo'ladi, diapazonlar ro'yxatini esa Cloudflare'ning rasmiy sahifasidan to'liq olish kerak.
# /etc/nginx/conf.d/cloudflare-realip.conf
set_real_ip_from 173.245.48.0/20;
set_real_ip_from 103.21.244.0/22;
# ... Cloudflare ro'yxatidagi qolgan barcha IPv4 va IPv6 diapazonlar
real_ip_header CF-Connecting-IP;Mahalliy auditoriya uchun tezlik masalasi
O'zbekistondagi hostingda joylashgan sayt mahalliy foydalanuvchilarga Tas-IX tarmog'i orqali juda tez yetib boradi. Proksi yoqilganda trafik Cloudflare tarmog'i orqali o'tadi va foydalanuvchi qaysi Cloudflare nuqtasiga ulanishi uning provayderiga bog'liq bo'ladi. Ba'zi holatlarda bu sayt mahalliy auditoriya uchun sekinlashishiga olib kelishi mumkin. Shuning uchun proksini yoqishdan oldin va keyin saytni bir nechta mahalliy provayderdan ochib, javob vaqtini solishtirib ko'ring. Agar sizga faqat DNS boshqaruvi kerak bo'lsa, yozuvlarni kulrang bulut, ya'ni «DNS only» rejimida qoldirish mumkin.
Misol: o'quv markazi xavfsiz ko'chishi
Toshkentdagi o'quv markazi saytini botlar hujumidan himoyalash uchun Cloudflare'ga ulashga qaror qildi. Administrator avval eski zonadagi barcha yozuvlarni jadvalga yozib oldi: asosiy domen, www, lms subdomeni, MX, SPF, DKIM va DMARC. Cloudflare skaneri DKIM yozuvini topmagan edi, u qo'lda qo'shildi. Domenda DNSSEC yo'qligi tekshirildi, SSL rejimi «Full (strict)» qilib belgilandi, faqat shundan keyin registrator kabinetida nom serverlari almashtirildi. Ertasi kuni pochta, sayt va o'quv platformasi hech qanday uzilishsiz ishlashda davom etdi.
Ulashdan oldingi qisqa tekshiruv ro'yxati
- Eski zonadagi barcha yozuvlarni, ayniqsa TXT va DKIM'ni, ro'yxatga olib, Cloudflare'dagi ro'yxat bilan solishtiring.
- DNSSEC yoqilgan bo'lsa, DS yozuvini avval olib tashlang.
- Serverda haqiqiy SSL sertifikat borligiga ishonch hosil qilib, «Full (strict)» rejimini tanlang.
- Pochta va boshqa xizmat yozuvlarini «DNS only» rejimida qoldiring.
- Cloudflare hisobida ikki bosqichli autentifikatsiyani yoqing, chunki endi butun domen shu hisobga bog'liq.
Nom serverlarini almashtirish registrator tomonida bajariladi. Domeningiz sayt.uz'da bo'lsa, bu kabinetdagi domen sozlamalarida qilinadi. Cloudflare'dan voz kechmoqchi bo'lsangiz ham xuddi shu tartib teskari yo'nalishda ishlaydi: avval yozuvlarni yangi joyga ko'chiring, keyin NS'ni qaytaring.