Cloudflare

Cloudflare funguje jako DNS poskytovatel, CDN a ochranná vrstva před tvým serverem.

Co získáš

DNS zdarma a rychlé
Ochrana proti L7 útokům
SSL certifikát bez konfigurace
Skrytí skutečné IP serveru

Cloudflare proxy funguje jen pro HTTP a HTTPS (porty 80, 443). Minecraft, FiveM ani SSH přes něj neproxuješ.

Nastavení

Přidej doménu

Na dash.cloudflare.com klikni na Add site.

Zkontroluj naimportované záznamy

Cloudflare je načte automaticky. Zkontroluj je.

Změň jmenné servery

U registrátora nastav NS na ty od Cloudflare.

Počkej na aktivaci

Do 24 hodin, obvykle do hodiny.

Proxy režim (oranžový mrak)

Ikona	Význam
🟠 Proxied	Provoz jde přes Cloudflare, IP je skrytá
⚪ DNS only	Cloudflare jen odpovídá na DNS, provoz jde přímo

Záznamy pro herní servery (play.mujweb.cz) musí být DNS only. V proxy režimu se hráči nepřipojí — Cloudflare neprochází herní protokoly.

SSL režimy

Režim	Popis	Doporučení
Off	bez šifrování	nikdy
Flexible	Cloudflare → server nešifrovaně	nepoužívat
Full	šifrovaně, bez ověření certifikátu	přijatelné
Full (strict)	šifrovaně, s ověřením	doporučeno

Režim Flexible vypadá funkčně, ale spojení mezi Cloudflare a tvým serverem je nešifrované. Navíc způsobuje nekonečné přesměrování, pokud server sám přesměrovává na HTTPS.

Skutečná IP návštěvníka

Za proxy vidí tvůj server IP Cloudflare, ne návštěvníka. V nginxu:

/etc/nginx/conf.d/cloudflare.conf


real_ip_header CF-Connecting-IP;
 
set_real_ip_from 173.245.48.0/20;
set_real_ip_from 103.21.244.0/22;
# ... dalsi rozsahy z https://www.cloudflare.com/ips/

Bez tohoto nastavení uvidíš v logu jen IP Cloudflare a fail2ban zablokuje Cloudflare místo útočníka.

Ochrana původní IP

Skrytí IP má smysl jen tehdy, když ji nelze zjistit jinak.

Pokud tvůj server odesílá e-maily přímo nebo běží na stejné IP jako Minecraft server (DNS only), útočník tvou skutečnou IP snadno najde. Cloudflare pak ochranu neposkytne.

Doporučení: povol ve firewallu na portech 80 a 443 pouze rozsahy Cloudflare.

Cache a vývoj


Development Mode: ON   → vypne cache na 3 hodiny

Nebo vyčisti cache ručně: Caching → Purge Everything.

Tipy

Zapni Full (strict) a nech certbot na serveru běžet.
Nezapínej proxy na panel subdoméně, pokud potřebuješ WebSocket bez limitů.

Poznámka

Zdarma tarif nemá limity na objem provozu, ale má limity na velikost nahrávaných souborů (100 MB).