希望用户只能通过 Cloudflare CDN 访问网站，你们怎么配置 Nginx 的？

[52txr]

我希望用户只能通过 Cloudflare CDN 访问网站，并且直接访问源站时会返回 403 Forbidden 。

在 Nginx 配置文件中，我的配置大概如下：

server {
    listen 80;
    server_name example.com;  # 替换为你的域名

    location / {
        # 允许 Cloudflare 的 IPv4 段
        allow 103.21.244.0/22;
        allow 103.22.200.0/22;
        allow 103.31.4.0/22;
        allow 104.16.0.0/12;
        allow 108.162.192.0/18;
        allow 131.0.72.0/22;
        allow 141.101.64.0/18;
        allow 162.158.0.0/15;
        allow 172.64.0.0/13;
        allow 173.245.48.0/20;
        allow 188.114.96.0/20;
        allow 190.93.240.0/20;
        allow 197.234.240.0/22;
        allow 198.41.128.0/17;

        # 允许 Cloudflare 的 IPv6 段（如果启用 IPv6 ）
        allow 2400:cb00::/32;
        allow 2606:4700::/32;
        allow 2803:f800::/32;
        allow 2405:b500::/32;
        allow 2405:8100::/32;
        allow 2a06:98c0::/29;
        allow 2c0f:f248::/32;

        # 拒绝所有其他 IP
        deny all;

        # 正常的请求处理
        try_files $uri $uri/ =404;
    }
}

按理说我觉得使用直接配置后使用访问网站，应该正常显示。但是实际上是 403.

我是参考下面几个链接配置的：

[已完成] 怎样 只允许指定 IP 和域名访问网站： https://www.bt.cn/bbs/thread-72524-1-1.html

Nginx 设置只允许来自 Cloudflare CDN 的 IP 访问的方法 宝塔 NGINX 网站只允许 CF IP 访问方法： https://bnxb.com/nginx/27638.html

[NekoNeko666]

最新的 cf ip
https://www.cloudflare.com/ips/

[Citrus]

大概率是 set_real_ip_from 的问题。刚好我也研究了这个问题。
set_real_ip_from 执行阶段在 allow deny 之前，所以 allow deny 拿到的实际是 set_real_ip_from 处理后的真实客户端 IP ，而不是 CF 的 IP 。
但是，set_real_ip_from 其实会保留原始 IP ，在变量 $realip_remote_addr 中。所以我们可以利用这个变量曲线救国。

先使用 geo 模块，给原始 IP 打标：
geo $realip_remote_addr $is_cf {
default 0;
# Cloudflare IPv4 Allow
173.245.48.0/20 1;
103.21.244.0/22 1;
103.22.200.0/22 1;
103.31.4.0/22 1;
141.101.64.0/18 1;
108.162.192.0/18 1;
190.93.240.0/20 1;
188.114.96.0/20 1;
197.234.240.0/22 1;
198.41.128.0/17 1;
162.158.0.0/15 1;
104.16.0.0/13 1;
104.24.0.0/14 1;
172.64.0.0/13 1;
131.0.72.0/22 1;

# Cloudflare IPv6 Allow
2400:cb00::/32 1;
2606:4700::/32 1;
2803:f800::/32 1;
2405:b500::/32 1;
2405:8100::/32 1;
2a06:98c0::/29 1;
2c0f:f248::/32 1;
}

然后在需要的地方，直接根据标记断连：
if ($is_cf = 0) {
return 444;
}

[Hydrogen404]

用 cf 代理了 DNS 后，通过域名访问有可能不走 CDN 吗？我的 Nginx 直接拒绝 IP 直接访问，只允许通过域名访问。这样不知道是否可行。

[Citrus]

@Hydrogen404 不可行，可能会被扫描出来。

[MFWT]

CF 回源支持 TLS 双向认证，没有客户端证书（只有 CF 有）访问会直接 400 ，再配合 iptables 锁回源 IP ，就很好了

[keengrass]

学习了

[beyondsoft]

进入 cloudflare , SSL/TLS 选项 生成 源服务器证书, nginx 关闭 80 端口, 仅开启 ssl 配置专属证书, 拒绝掉证书验证失败的请求就行了

[c15412]

快进到 cf 的 ip 被墙，因为使用 cloudflare 导致用户无法访问

[cnurbansnail]

直接通过 ip 访问 nginx 默认站点的 nginx 直接拒绝握手，可以过滤掉很多爬虫和扫描器

除非域名 ip 同时泄露，客户端可以通过 ip:端口 + sni 绑定访问到你的站点
一般泄露的可能性比较小，再加上某个人要专门搞你。

[0x5c0f]

简单一点的就是，cf 我记得是有自签名证书的， 给站点加一个 cf 的自签证书， 拒绝掉 http 的协议请求， 然后开启 http2 和 hsts ，基本就可以了

[v2ov]

14 楼正解 Cloudflare Tunnel 即可解决

[since2021]

https://frankindev.com/2020/11/18/allow-cloudflare-only-in-nginx/

[kingstou]

创建
/www/allow-cloudflare-only.conf
内容
# IPv4
allow 173.245.48.0/20;
allow 103.21.244.0/22;
allow 103.22.200.0/22;
allow 103.31.4.0/22;
allow 141.101.64.0/18;
allow 108.162.192.0/18;
allow 190.93.240.0/20;
allow 188.114.96.0/20;
allow 197.234.240.0/22;
allow 198.41.128.0/17;
allow 162.158.0.0/15;
allow 104.16.0.0/13;
allow 104.24.0.0/14;
allow 172.64.0.0/13;
allow 131.0.72.0/22;
# IPv6
allow 2400:cb00::/32;
allow 2606:4700::/32;
allow 2803:f800::/32;
allow 2405:b500::/32;
allow 2405:8100::/32;
allow 2a06:98c0::/29;
allow 2c0f:f248::/32;

deny all; # deny all remaining ips
在 nginx 引用
include /www/allow-cloudflare-only.conf
这样就不会报 403 了。