В панели Cloudflare рядом с каждой DNS-записью стоит маленький значок облака. Цветное облако (оранжевое, у нас его часто называют «жёлтым») означает режим «Proxied», серое — режим «DNS only». Этот значок создаёт огромную разницу: в первом случае посетители подключаются к серверам Cloudflare, и тот сам доставляет запросы на ваш сервер, во втором Cloudflare работает как обычный DNS и просто сообщает IP-адрес. Множество проблем возникает именно из-за того, что значок включён или выключен не на той записи. Разберём на конкретных примерах, когда прокси помогает, а когда вредит.
Что происходит при включённом прокси
Для проксируемой записи на DNS-запрос возвращается не IP вашего сервера, а адреса Cloudflare. Браузер устанавливает HTTPS-соединение с Cloudflare, а тот отвечает из кэша или передаёт запрос вашему серверу. Поэтому прокси работает только для веб-трафика, то есть HTTP и HTTPS. Подключения почты, FTP, SSH или базы данных через этот путь не пройдут. Проверить, проксируется ли запись, просто: в ответе будут IP-адреса Cloudflare, а в заголовках — server: cloudflare и cf-ray.
dig misol-dokon.uz A +short
curl -sI https://misol-dokon.uz | grep -iE "server|cf-ray"Когда прокси имеет смысл включить
Основной сайт и запись www — самые естественные кандидаты для прокси. Если сайт часто атакуют боты, на нём много изображений и статики или аудитория находится в разных странах, прокси даёт ощутимую пользу. Он кэширует статические файлы, останавливает атаки большим числом запросов ещё до вашего сервера и позволяет применять правила безопасности. Кроме того, IP сервера не виден через проксируемые имена, что усложняет прямую атаку.
Прокси может пригодиться и в дни акций. Например, когда интернет-магазин объявляет скидки, посещаемость вырастает в несколько раз, и кэшированные изображения и скрипты заметно снижают нагрузку на сервер. Однако динамические страницы, корзина и личный кабинет обычно не кэшируются, поэтому прокси не заменяет мощность сервера полностью.
Записи, на которых прокси нужно обязательно выключить
Любая запись, связанная с почтой, должна быть серой. Если имя mail, на которое указывает MX, проксируется, для него возвращаются IP Cloudflare, и другие серверы не смогут доставить письмо. Точно так же прокси не работает для FTP, SSH, удалённого подключения к базе данных и других не-HTTP сервисов.
Второе важное ограничение — порты. Прокси Cloudflare пропускает только ограниченный список портов: для HTTP это 80, 8080, 8880, 2052, 2082, 2086, 2095, для HTTPS — 443, 2053, 2083, 2087, 2096, 8443. Например, панель управления ISPmanager по умолчанию работает на порту 1500, поэтому если имя, через которое вы входите в панель, проксируется, панель не откроется. Такие служебные имена выносите на отдельный поддомен в режиме «DNS only».
; рекомендуемое состояние зоны в Cloudflare (пример)
misol-dokon.uz A 203.0.113.25 ; Proxied
www CNAME misol-dokon.uz ; Proxied
mail A 203.0.113.25 ; DNS only
panel A 203.0.113.25 ; DNS only
@ MX 10 mail.misol-dokon.uz.Осторожно при подключении других платформ
Многим облачным платформам и SaaS-сервисам нужно видеть запись напрямую, чтобы подтвердить домен или выпустить собственный SSL-сертификат. Если проксировать их CNAME, платформа увидит не свой адрес, а адрес Cloudflare и покажет домен как «неправильно настроенный» или не сможет выпустить сертификат. Такие сервисы обычно прямо рекомендуют в документации режим «DNS only». Если такая рекомендация есть, лучше её выполнить: двойной прокси и двойной кэш часто приводят к непонятным ошибкам.
Типичные ошибки, связанные с прокси
После включения прокси часть ошибок показывает уже не сервер, а Cloudflare, и их важно правильно читать. Ошибка 521 означает, что Cloudflare не смог подключиться к серверу, 522 — истекло время соединения, 525 и 526 связаны с SSL. Ошибка 524 появляется, когда сервер слишком долго готовит ответ: Cloudflare ждёт ответа ограниченное время, а долгие скрипты отчётов или импорта выходят за этот предел. Ещё одно ограничение — размер загружаемого за один запрос файла зависит от тарифа, поэтому загрузка большого видео или архива может не пройти. Точные значения проверяйте в документации Cloudflare.
Пример: интернет-магазин и обмен с 1С
Магазин бытовой техники в Ташкенте работал через прокси Cloudflare, и сайт открывался быстро. Однако ночной обмен остатками с 1С стал обрываться с ошибкой 524, потому что обработка большого каталога занимала несколько минут. Кроме того, менеджеры не могли войти в панель управления сервером. Решение оказалось простым: для обмена создали поддомен sync.misol-dokon.uz, для панели — panel.misol-dokon.uz, и оба перевели в режим «DNS only». Основной сайт остался под прокси и не потерял защиту, а служебные подключения пошли напрямую на сервер.
Tas-IX и местная скорость
Если сайт размещён на сервере в Узбекистане и аудитория в основном местная, обязательно измерьте, как прокси влияет на скорость. Без прокси пользователь подключается к серверу коротким путём через Tas-IX. С прокси запрос сначала идёт в точку присутствия Cloudflare, и какая точка будет выбрана, зависит от провайдера. В итоге защита усиливается, но время ответа у части пользователей может вырасти. Прежде чем принимать решение, сравните время загрузки страницы через разных провайдеров.
Как быстро найти причину проблемы
Если сайт под прокси начал вести себя странно, самый быстрый способ диагностики — временно перевести запись в режим «DNS only». Если проблема исчезла, причина в настройках Cloudflare: режиме SSL, правилах кэша или фильтре безопасности. Если осталась — проблема на самом сервере. Чтобы временно обойти кэш, удобен и «Development Mode» в Cloudflare. Если сервер и домен в sayt.uz, с проверкой логов на стороне сервера поможет техподдержка, а настройки Cloudflare остаются в вашем аккаунте Cloudflare.