不止于加速：我是如何用Cloudflare免费版为我的腾讯云服务器省下一笔安全费用的

去年夏天，我的个人博客突然遭遇了一场持续3小时的DDoS攻击。腾讯云的安全防护虽然及时介入，但事后账单上多出的800元流量清洗费用让我开始认真思考：有没有更经济的防护方案？正是在这样的背景下，我发现了Cloudflare免费版这个"隐藏宝藏"——它不仅解决了我的安全问题，还意外降低了30%的服务器运营成本。

1. 为什么选择Cloudflare+腾讯云组合

当大多数站长还在纠结是否要购买昂贵的WAF防火墙时，Cloudflare免费版已经提供了包括：

• DDoS防护 ：自动缓解L3/L4层攻击
• Web应用防火墙 ：基础规则集防御SQL注入/XSS等常见攻击
• 速率限制 ：免费版允许每分钟1000次请求的阈值设置
• IP隐藏 ：所有访问流量经过Cloudflare边缘节点

我在腾讯云广州区的轻量应用服务器（2核4G配置）上部署的WordPress站点，在使用Cloudflare前每月需要支付：

项目	费用（元）
服务器基础费用	65
超额带宽(15GB)	18
安全防护增值服务	50
合计	133

接入Cloudflare后，最直接的改变是：

1. 带宽消耗降低60%（静态资源由CDN缓存）
2. 不再需要单独购买基础安全包
3. 服务器真实IP完全隐藏，扫描攻击减少90%

2. 实战配置：从零搭建安全加速体系

2.1 域名接入关键步骤

在腾讯云域名控制台修改DNS服务器时，常见的误区是：

# 错误示例 - 保留腾讯云原有NS记录
ns3.dnsv5.com
ns4.dnsv5.com

# 正确配置 - 替换为Cloudflare提供的NS
lola.ns.cloudflare.com
rob.ns.cloudflare.com

注意：DNS完全切换可能需要48小时全球生效，建议在业务低峰期操作

2.2 必须开启的安全功能

在Cloudflare控制台的"Security"标签下，我推荐优先配置：

1. Under Attack Mode ：遭遇攻击时临时开启
2. Browser Integrity Check ：拦截已知恶意UA
3. Web Application Firewall ：
   • 规则组：Cloudflare托管规则
   • 敏感度：中等级别

# 示例：通过Cloudflare API设置防火墙规则
import requests

headers = {
    "Authorization": "Bearer YOUR_API_TOKEN",
    "Content-Type": "application/json"
}

data = {
    "description": "Block suspicious bots",
    "expression": "(http.user_agent contains \"Python-urllib\")",
    "action": "block"
}

response = requests.post(
    "https://api.cloudflare.com/client/v4/zones/ZONE_ID/firewall/rules",
    headers=headers,
    json=data
)

2.3 速率限制实战案例

我的技术论坛曾遭遇爬虫暴力抓取，通过以下配置完美解决：

参数	设置值
请求阈值	100次/分钟
响应动作	质询(CHALLENGE)
生效范围	全站
白名单	搜索引擎IP段

3. 性能与安全的平衡艺术

3.1 缓存策略优化

在"Cache"配置页面，我采用了分层缓存策略：

• HTML文档 ：缓存5分钟
• CSS/JS ：缓存1年（带hash版本控制）
• 图片资源 ：缓存1个月

通过这种配置，服务器负载从原来的2.1降低到0.3左右，腾讯云的带宽告警再未触发。

3.2 真实IP保护方案

即使使用Cloudflare，仍需要注意：

1. 禁止服务器直接响应非Cloudflare IP的请求
2. 定期检查是否有服务泄露真实IP
3. 在Nginx配置中添加：

# 只允许Cloudflare IP访问
allow 103.21.244.0/22;
allow 103.22.200.0/22;
deny all;

4. 进阶技巧：不花钱的安全升级

4.1 利用Page Rules实现精细控制

我设置了三条关键规则：

1. *.example.com/*.php → 安全级别：高
2. /wp-admin/* → 启用2FA验证
3. /api/* → 速率限制500次/分钟

4.2 邮件保护小技巧

在DNS记录中添加：

MX记录 → mx1.cloudflare.net (优先级10)
MX记录 → mx2.cloudflare.net (优先级20)
TXT记录 → v=spf1 include:_spf.mx.cloudflare.net -all

这样既隐藏了真实邮件服务器，又获得了基础的垃圾邮件防护。

5. 那些年踩过的坑

去年双十一大促期间，我犯过一个典型错误：在Cloudflare开启了"Rocket Loader"加速JS，却导致支付接口异常。后来通过以下排查步骤解决：

1. 在"Speed"中关闭所有优化功能
2. 逐个重新开启，观察网站行为
3. 最终确定与"Brotli压缩"存在兼容问题
4. 针对 /checkout/ 路径设置特殊规则

现在我的服务器账单稳定在每月78元左右，而安全事件数量接近于零。有次凌晨三点收到Cloudflare自动缓解了每秒5万次的CC攻击警报时，我确信这个方案对个人站长和小型企业来说，可能是性价比最高的选择之一。