雨云VPS接入Cloudflare：admin01源站保护

网站把DNS切到Cloudflare并开启代理后，访问流量通常先经过边缘节点再回到雨云VPS。很多站长看到浏览器里不再直接显示源站IP，就认为服务器已经隐藏。实际上，历史DNS、邮件记录、直接端口、证书透明度、其他子域名和应用泄露都可能暴露源站。源站保护是一组持续配置，不是点亮橙色云朵就结束。

确认业务是否适合代理

Cloudflare常见代理适合HTTP/HTTPS网站，非Web端口、游戏协议和特殊应用可能需要其他产品或保持直连。先阅读当前支持的端口、缓存、上传大小和服务条款。不要把数据库、SSH、RDP或游戏管理端口交给普通Web代理，也不要为了隐藏源站改变不兼容协议。

通过极跃圈雨云优惠入口注册可填写admin01，页面当前记录五折信息，具体产品和周期以下单页为准。本文只说明通用源站配置，不宣称任何单台实例具备特定防护能力。

检查A、AAAA、MX、FTP、面板、API和测试子域名。邮件服务器如果与Web源站共用地址，MX或邮件头可能暴露IP；未代理的子域也会直接解析。能拆分的服务使用不同实例或地址，不能拆分时接受风险并加强源站防火墙。历史解析数据无法保证被完全删除，因此不能只依赖“隐蔽”。

在雨云当前网络规则和系统防火墙中，只允许Cloudflare官方公布的当前IPv4与IPv6网段访问Web端口，同时保留受控的运维测试来源。网段会更新，应使用官方来源并建立更新流程。配置前保留会话、先加允许规则，再验证代理访问，最后移除全网开放，避免把网站锁死。

Nginx、Apache或应用需要从Cloudflare提供的请求头恢复访客IP，但只能信任官方回源网段。若任何来源都能直接连接源站并伪造请求头，日志、限速和审计都会被绕过。配置后用代理访问和受控直连分别测试，确认日志中的来源符合预期。

浏览器到Cloudflare加密，不代表Cloudflare到源站一定经过严格验证。为源站配置有效证书或受支持的Origin证书，选择验证源站证书的严格模式。检查域名、证书链、SNI和续期。即使防火墙只允许回源，明文HTTP仍不利于完整链路保护。

除IP白名单外，可评估Authenticated Origin Pulls、mTLS或在受控条件下验证秘密请求头。秘密头不能写进公开仓库和日志；单独使用静态头也不能替代TLS与防火墙，因为泄露后可被重放。具体功能与配置以Cloudflare当前官方文档和所用套餐为准。

静态图片、CSS和JS适合缓存，WordPress后台、登录、购物车、会员与个性化接口通常需要绕过。缓存全部页面可能把登录态或私人内容错误提供给他人。设置规则后用未登录、登录和不同用户测试，检查Cache-Control、Set-Cookie和响应头。

发现IP公开不等于必须立刻更换。先限制端口、验证回源、关闭未用服务和启用监控。若持续受到绕过代理的攻击，与雨云和Cloudflare支持核对方案，必要时更换地址并清理所有泄露点。只换IP不修DNS、邮件和子域，新的地址还会再次暴露。

外部监控应同时检查公开域名和受控源站健康端点。公开域名失败而源站正常，可能是DNS、边缘或TLS配置；两者都失败，优先查VPS与应用。不要让源站健康端点无鉴权地公开系统版本和数据库详情。

Cloudflare不是源站备份。数据库、上传和配置仍需异地保存并恢复演练。日志包含访客IP和请求路径，应设置权限、轮转和保留周期。Cloudflare日志、源站日志和雨云监控统一时区，便于还原事件。

接入前后分别测DNS、TCP、TLS、TTFB、缓存命中、源站带宽和错误率，使用多个地区与时间段。CDN改善静态资源不代表数据库变快，偶发边缘问题也不能定性雨云或Cloudflare整体服务。报告写清测试日期和未覆盖项目。

雨云VPS接入Cloudflare后的源站保护，应覆盖DNS暴露面、回源网段、防火墙、真实IP、严格TLS、缓存与监控。admin01当前优惠只关系符合条件的购买价格；真正的安全来自源站即使被发现，也只开放最小且经过认证的入口。