给网站配置Cloudflare优选IP--Cloudflare SaaS 优选 IP 操作指南

这是一份关于如何配置 Cloudflare SaaS (Cloudflare for Platforms) 以实现 优选 IP 的详细操作方案。

使用 SaaS 模式的核心优势在于：你可以将一个域名（CNAME 域名）通过 CNAME 指向一个已经优选过 IP 的中转域名，从而绕过 Cloudflare 默认分配的、可能在中国大陆连接速度较慢的节点。

一、 准备工作

在开始之前，你需要准备：

1. 两个域名：

   • 中转域名（A 域名）：用于托管 Cloudflare 并在其上开启 SaaS 功能（需通过 NS 接入 Cloudflare）。

   • 业务域名（B 域名）：你最终要给用户访问的域名（可以托管在任何地方，如腾讯云、阿里云或华为云 DNS）。

2. 一个有效的付款方式：虽然 SaaS 基础额度（前 100 个域名）免费，但 Cloudflare 要求必须绑定信用卡或 PayPal 开启订阅。

二、 步骤详解

1. 开启 Cloudflare for Platforms (SaaS)

1. 登录 Cloudflare 控制台，进入 中转域名 (A 域名) 的管理页面。

2. 在左侧菜单栏点击 SSL/TLS -> 自定义主机名 (Custom Hostnames)。

3. 点击 启用 Cloudflare for Platforms，按提示完成付款方式绑定。

2. 设置回源域名 (Fallback Origin)

回源域名是当 SaaS 域名被访问时，Cloudflare 真正去抓取数据的地址。

1. 在 自定义主机名 页面，找到 回源源站 (Fallback Origin)。

2. 填写一个具体的子域名（例如 origin.a.com）。

3. 去 DNS 设置页面，为 origin.a.com 建立一个 A 记录，指向你服务器的 真实 IP，并开启橙色小云朵（Proxy）。

3. 添加自定义主机名 (业务域名)

1. 回到 SSL/TLS -> 自定义主机名，点击 添加自定义主机名。

2. 自定义主机名：填写你的 业务域名 (B 域名)，例如 www.b.com。

3. TLS 版本：建议保持默认（TLS 1.2）。

4. 证书验证方法：选择 HTTP 验证 或 TXT 验证（推荐 TXT 验证）。

4. 验证业务域名所有权

此时，列表会显示“待验证”。你需要去 业务域名 (B 域名) 的 DNS 服务商处添加两条记录：

1. 主机名验证 (Hostname Trust)：按 CF 提供的 TXT 记录名称和值进行添加。

2. 证书验证 (Certificate Validation)：按 CF 提供的 TXT 记录名称和值进行添加。

   等待几分钟，直到状态变为“有效 (Active)”。

三、 实现优选 IP

这是最关键的一步，通过手动指定业务域名的解析记录来“欺骗”浏览器访问优选后的 IP。

1. 获取优选 IP

你需要使用优选工具（如 CloudflareST）在本地运行，测出当前网络环境下延迟最低、带宽最大的 CF 节点 IP。

• 常用工具：CloudflareSpeedTest (Goresky)

• 线上优选ip

2. 修改业务域名解析

回到 业务域名 (B 域名) 的 DNS 服务商（如阿里云）：

1. 删除 之前为了验证而添加的无关记录（保留验证用的 TXT 即可，如果已生效也可删除）。

2. 添加 A 记录：

   • 记录类型：A

   • 主机记录：www (即业务子域名)

   • 记录值：填写你优选出来的 IP（可以添加多个）。

3. （可选）按线路解析：

   • 移动线路：解析到移动优选 IP。

   • 电信线路：解析到电信优选 IP。

   • 联通线路：解析到联通优选 IP。

4. 图例

   • 

     

四、 方案逻辑

为了方便理解整个流量的调度过程，以下是该方案的技术架构逻辑：

流量流转路径说明：

1. 访客请求：当用户访问 www.b.com 时，DNS 解析会根据你在 DNS 服务商处设置的记录，直接返回优选后的 Cloudflare IP。

2. 接入节点：用户流量通过优选 IP 进入 Cloudflare 全球网络中速度最快的边缘节点。

3. SNI 匹配：Cloudflare 节点接收到请求后，识别其 SNI（主机名）为 www.b.com。由于你在 A 域名 下配置了该域名的“自定义主机名”，Cloudflare 会接受该连接。

4. 回源跳转：Cloudflare 内部查找对应的 回源源站 (Fallback Origin)（即 origin.a.com）。

5. 请求源站：Cloudflare 最终通过 origin.a.com 指向的 真实服务器 IP 获取内容并返回给用户。

这个逻辑图清晰吗？如果你需要，我可以为你提供一套用于自动更新优选 IP 到 DNS 解析记录的 Python 或 Shell 脚本模板。

五、 注意事项

• 证书续期：由于业务域名的 CNAME 并没有指向 Cloudflare，自动证书续期可能会失败。建议每 3 个月检查一次 TXT 验证，或者定期更新。

• IP 失效：CF 的 IP 可能会由于遭受攻击或线路调整而失效。建议配合脚本自动检测并更新 DNS 解析记录。

• 合规性：请确保业务域名符合当地法律法规。