如何让网站必须经过CF 让你的网站防御更加牢靠

在如今的互联网环境中，网络攻击和恶意流量已成为网站管理者面临的常见问题。Cloudflare 作为全球领先的CDN和安全服务提供商，可以有效地帮助保护网站免受这些威胁。通过配置 Nginx 服务器，我们可以确保网站的所有流量必须通过 Cloudflare，从而增加网站的安全性。

为什么要让网站流量经过 Cloudflare？

1. DDoS 保护：Cloudflare 提供了强大的 DDoS 保护，可以在攻击流量到达服务器之前就将其过滤掉。

2. 隐藏服务器 IP：通过 Cloudflare，您可以隐藏您的服务器 IP 地址，从而减少被直接攻击的风险。

3. 性能优化：Cloudflare 的全球 CDN 网络可以加速内容交付，减少用户访问延迟。

如何配置 Nginx 只允许 Cloudflare IP 访问？

为了确保所有访问您的网站的流量必须经过 Cloudflare，我们需要在 Nginx 配置中添加一个 IP 白名单。Cloudflare 提供了一个定期更新的 IP 地址列表，这些地址代表了通过 Cloudflare 访问您的网站的流量。以下是您需要在 Nginx 配置中添加的内容：

allow 173.245.48.0/20;
allow 103.21.244.0/22;
allow 103.22.200.0/22;
allow 103.31.4.0/22;
allow 141.101.64.0/18;
allow 108.162.192.0/18;
allow 190.93.240.0/20;
allow 188.114.96.0/20;
allow 197.234.240.0/22;
allow 198.41.128.0/17;
allow 162.158.0.0/15;
allow 104.16.0.0/13;
allow 104.24.0.0/14;
allow 172.64.0.0/13;
allow 131.0.72.0/22;
allow 2400:cb00::/32;
allow 2606:4700::/32;
allow 2803:f800::/32;
allow 2405:b500::/32;
allow 2405:8100::/32;
allow 2a06:98c0::/29;
allow 2c0f:f248::/32;
deny all;

配置步骤

1. 打开 Nginx 配置文件：根据您的 Nginx 安装，Nginx 的配置文件通常位于 /etc/nginx/nginx.conf或/etc/nginx/sites-available/your_site.conf。使用以下命令打开文件：

sudo nano /etc/nginx/sites-available/your_site.conf

2. 添加 IP 白名单：将上述 IP 地址列表复制并粘贴到配置文件中的相应服务器块中。确保这些规则被添加到正确的位置，以避免干扰现有配置。

3. 保存并退出：保存文件并退出编辑器。

4. 测试配置：在应用更改之前，测试 Nginx 配置文件的语法是否正确：

sudo nginx -t

 如果配置没有问题，您将看到类似 “syntax is ok” 的消息。

5. 重新加载 Nginx：最后，重新加载 Nginx 以应用新的配置：

sudo systemctl reload nginx

结论

通过以上步骤，您已经成功配置 Nginx 以确保所有访问您网站的流量都必须通过 Cloudflare。这将显著提高您网站的安全性，并利用 Cloudflare 提供的各种性能和安全优势。请记住，Cloudflare 的 IP 地址可能会随时间变化，因此定期检查和更新这些 IP 列表是一个好的实践。

现在，您的网站已获得更强的保护，可以安心面对各种网络威胁。