为什么我建议每个 VPS 建站的人都挂一层 Cloudflare
先说结论：Cloudflare 免费套餐是我用过性价比最高的”白嫖级”基础设施——不限制流量、不限请求数的全球 CDN 加速、企业级的 DDoS 防护、永久免费的 SSL 证书、还有一套够用的 WAF 防火墙，全部零成本。你在 Vultr 或搬瓦工买的 VPS，套上一层 Cloudflare 之后，等于多了一道全球分布的缓冲墙：攻击流量打不到你的源站，静态资源由离访客最近的节点返回，源站 IP 还能藏起来。
这篇文章我会把免费套餐的能力边界、接入实操、隐藏源站 IP 的完整做法、以及 2026 年的几个新变化一次讲透。全部基于 Cloudflare 官方文档核实（2026年10月5日），不抄过时教程。
如果你还没买 VPS，可以先看这篇 海外 VPS 推荐完整指南 选一台；已经买了的，直接往下走。
一、免费套餐到底给了什么（能力清单）
很多人对”免费”有心理阴影，觉得肯定是阉割版。Cloudflare 免费套餐的实际情况是：核心网络能力和付费版完全一样（全球 330+ 城市节点、无限流量 DDoS 防护、Anycast 网络），限制主要在”精细化规则的条数”上。我把 2026 年 10 月核实的免费版能力整理成一张表：
| 能力 | 免费版规格 | 说明 |
|---|---|---|
| CDN 缓存 | 不限流量 | 静态资源全球缓存，Cache Rules 可建 10 条 |
| DDoS 防护 | 不限量、不收费 | 官方案例有免费帮客户扛住 2600 万请求/秒攻击的记录 |
| SSL 证书 | 自动签发+自动续期 | 访客侧证书永久免费；源站侧可用免费的 Origin CA 证书 |
| DNS 解析 | 200 条记录 | 全球生效最快的公共 DNS 服务之一，秒级生效 |
| WAF 防火墙 | 托管规则集 + 5 条自定义规则 | 免费版已包含基础托管 WAF 规则集，能挡常见攻击 |
| Bot 对抗 | Bot Fight Mode + AI 爬虫管控 | 2026 年起免费版可精细管控 AI 爬虫（见第四节） |
| Page Rules | 3 条 | 老式页面规则，多数场景已被 Cache Rules 替代 |
| Workers | 10 万请求/天 | 边缘计算额度，个人站基本用不完 |
一句话总结：个人博客、企业官网、WordPress 独立站，免费版可以一直用下去，月 PV 几百万的站挂在免费版上活得很好的案例一抓一大把。什么时候才需要花钱，我在第五节说。
二、接入实操：5 步把网站挂到 Cloudflare（10 分钟搞定）
整个流程不碰服务器配置，全程网页点选。前提：你的域名能改 NS 记录（哪家注册商都行）。
第 1 步：注册账号并添加域名
去 Cloudflare 官网用邮箱注册（不需要绑卡），点 Add a site 输入你的裸域名（如 example.com，不要带 www），选最下面的 Free $0 套餐。
第 2 步：确认 DNS 记录
Cloudflare 会自动扫描你现有的解析记录并导入。检查两点：A 记录指向 VPS 的 IP 是否正确；每条记录旁边的”云朵”图标——橙色云 = 走 Cloudflare 代理（CDN 生效），灰色云 = 仅 DNS 解析。想让 CDN 和防护生效的记录（通常是 www 和根域）都点亮成橙色。
第 3 步：更换 NS 服务器
Cloudflare 会分给你两个 NS 地址（如 xxx.ns.cloudflare.com），去你的域名注册商那里把默认 NS 替换成这两个。生效时间从几分钟到 24 小时不等，Cloudflare 会发邮件通知你激活成功。
第 4 步：设置 SSL 模式为 Full (strict)
进入 SSL/TLS 设置，把加密模式设为 Full (strict)。这一步的重要性：默认的 Flexible 模式下，Cloudflare 到你源站之间是明文 HTTP，等于白买了 HTTPS；而 Full (strict) 要求你的源站也有一张有效证书——正好用免费的 Let’s Encrypt，我的免费 SSL 证书申请教程里有完整步骤。不想折腾源站证书的话，也可以用 Cloudflare 签发的 Origin CA 证书（15 年有效期，装一次管很久）。
第 5 步：开启基础防护开关
激活后马上做三件事：SSL/TLS → Edge Certificates → Always Use HTTPS 打开（HTTP 全部 301 到 HTTPS）；Security → Bots → Bot Fight Mode 打开（免费的反机器人挑战）；Speed → Optimization 里确认 HTTP/3 已开启。
到这里 CDN 加速和基础防护就生效了。用 curl -I 你的域名 看响应头里出现 server: cloudflare 和 cf-ray 字段，就说明流量已经在走 Cloudflare。
三、隐藏源站 IP：完整的三道锁
“套 CDN”最实际的价值之一就是源站 IP 不再直接暴露——别人扫到的都是 Cloudflare 的节点 IP。但只开橙色云是不够的，知道你源站 IP 的人可以直接绕过 Cloudflare 打你。完整的隐藏要上三道锁：
第一道锁：全部记录开橙色云
检查 DNS 里所有指向源站 IP 的 A/AAAA/CNAME 记录都必须是橙色云状态。只要有任何一条灰色记录（比如随手加的 direct.example.com 调试记录），源站 IP 就是公开的。用 Censys 或 SecurityTrails 搜一下你的域名历史解析记录——接入 Cloudflare 之前的历史 A 记录会被永久存档，这算第一道锁最常见的漏洞。中招的解法：换一个源站 IP（Vultr 删机重建、搬瓦工花 $8.79 换 IP、Lightnode 有免费换 IP 额度，各家政策我在这篇VPS IP 被墙与换 IP 指南里整理过对照表）。
第二道锁：源站防火墙只放行 Cloudflare
直接把源站的 80/443 端口锁死为”只接受 Cloudflare 节点的访问”，就算 IP 泄露了，别人也连不上。Cloudflare 官方公布全部 IP 段（IPv4 约 15 个、IPv6 7 个），用 UFW 一条条放行即可：
# 先拉取官方 IP 列表
curl https://www.cloudflare.com/ips-v4 -o cf4.txt
curl https://www.cloudflare.com/ips-v6 -o cf6.txt
# 逐段放行 80/443
while read ip; do sudo ufw allow proto tcp from "$ip" to any port 80,443 comment 'cloudflare'; done < cf4.txt
while read ip; do sudo ufw allow proto tcp from "$ip" to any port 80,443 comment 'cloudflare'; done < cf6.txt
# 拒绝其他所有来源直连 80/443
sudo ufw deny proto tcp from any to any port 80,443
sudo ufw reload第三道锁：堵住非 HTTP 通道的泄露
很多人栽在这一步——网站藏得严严实实，IP 却从别的渠道漏了：
- 邮件头泄露：VPS 上用 PHP mail() 或 Postfix 直发的邮件，头信息里带着源站 IP。解法：让邮件走第三方 SMTP（如阿里云邮件推送、Brevo），或单独用一台小机器发信
- 子域名扫漏： 别用
ssh.example.com、api.example.com这类灰色云子域指向源站，这是扫描器最爱猜的名字 - 证书泄露： Cloudflare Origin CA 证书的域名列表如果包含其他站点，可能通过证书透明度日志反查。接入 Cloudflare 后源站只用 Origin CA 证书，别再用公网 CA 证书
三道锁上完，你的源站 IP 就处于”泄露了也打不到”的状态。这套配置和VPS 到手后的 5 个安全配置组合使用，基本盘就稳了。
四、2026 年的新变化：AI 爬虫管控免费版也能用了
这是 2026 年最值得了解的更新。Cloudflare 在 2025 年 7 月推出了一键”Block AI Bots”，2026 年 7 月又升级为按行为三分类精细管控，而且免费版全部可用：
- Search（搜索爬虫）：Googlebot、Bingbot 这类建索引的，默认放行——你的搜索流量靠它们
- Training（AI 训练爬虫）：GPTBot、ClaudeBot、CCBot 这类抓内容喂模型的，可一键拦截
- Agent（智能体爬虫）：代表用户实时抓取的（如 ChatGPT-User），可单独设置
关键时间点：2026 年 9 月 15 日起，新接入 Cloudflare 的域名默认开启”在带广告的页面上拦截 Training 和 Agent 类爬虫”。存量域名不受影响，但你可以在 Security → Configure AI bot policies 里自己按需配置。对你这个站长的好处很直接：AI 公司拿你的内容训练模型不再是默认发生的事，搜索流量一点不受影响。
另外免费版还自带 AI Crawl Control（边缘强制执行，不只靠 robots.txt 的君子协定）和 managed robots.txt（自动生成规范的爬虫声明文件），都在 Security → Bots 菜单里。
五、免费版的边界：什么场景撑不住，什么时候该升级
免费不等于万能，这几条边界要心里有数：
| 场景 | 免费版表现 | 建议 |
|---|---|---|
| 博客 / 企业官网 / WordPress 站 | 完全够用，流量再大也不限 | 一直用免费版 |
| 视频、大文件下载站 | 违反服务条款，会被限流或封号 | 用 R2 / Stream 等专用产品 |
| 需要 20+ 条自定义规则 | 免费版 WAF 只有 5 条 | 考虑 Pro（$20/月） |
| 国内访客速度 | 免费版走全球默认节点，晚高峰速度一般 | 国内速度敏感的话，源站选香港 CN2 线路更实在，Cloudflare 只做防护层 |
关于国内速度要单独说一句实话：Cloudflare 免费版分配的节点对国内访客不算快，部分时段绕美国。所以我的建议定位是——把它当防护层和源站护盾用，别当国内加速神器用。如果你的访客主要在国内且对速度敏感，机房线路（香港 CN2 GIA 等）比 CDN 更重要；如果是外贸站（访客在海外），Cloudflare 的全球节点反而是加速利器，两全其美。
六、新手最容易踩的 5 个坑
- Flexible 模式不改：SSL 用默认 Flexible，回源走明文，网站半边是 HTTP。上线第一件事改成 Full (strict)
- MX 记录开了橙色云：邮件收发全挂。凡是邮件相关的记录一律灰色云
- 改了样式看不到效果：Cloudflare 缓存了旧的 CSS/JS。Caching → Purge Cache → Purge Everything 清一下，或开发时开 Development Mode（3 小时内跳过缓存）
- 以为套了 CDN 就不用做安全：防火墙只挡 HTTP 层，SSH 暴力破解、面板弱密码照样能打。系统层安全看这篇VPS 安全配置清单
- 真实 IP 拿不到：套了 CDN 后日志里全是 Cloudflare 节点 IP。装个 nginx 的 real_ip 模块（或 WordPress 插件）读
CF-Connecting-IP头恢复访客真实 IP，不然你的统计和防爆破都在看错人
常见问题 FAQ
1. Cloudflare 免费版真的永久免费吗？会不会哪天收费？
免费套餐从 2010 年公司成立一直存在至今，是商业模式的一部分（免费用户贡献网络规模和数据，付费版养收入）。个人网站正常使用没有理由担心。真正要留意的是别拿它违反条款——比如当视频 CDN 用。
2. 套了 Cloudflare 之后网站备案有影响吗？
Cloudflare 免费版节点在海外，走它不需要备案（这点和国内 CDN 不同）。你的 VPS 在海外的话整个链路都和备案无关。但也因此国内访问速度有取舍，见第五节。
3. 免费版被 DDoS 攻击会不会被强制升级或停服？
不会。不限量的 DDoS 防护是所有套餐一致承诺，官方博客还专门写过帮免费客户扛住 2600 万请求/秒攻击的案例。真正会被封的是拿 Cloudflare 做代理池、流量农场这类明显滥用。
4. 一定要把域名 NS 完全转到 Cloudflare 吗？能用 CNAME 接入吗？
免费套餐官方只支持 NS 方式接入（CNAME 接入是付费版给企业合作伙伴的功能）。NS 转过去没有任何坏处——Cloudflare 的 DNS 管理面板比多数注册商好用，想迁走时把 NS 改回去就行，域名所有权始终在你手里。
5. Cloudflare 和我的 VPS 商家自带的防护冲突吗？
不冲突，而且是叠加关系。商家防护（如 Vultr 的基础 DDoS）在网络层，Cloudflare 在应用层。套上 Cloudflare 后商家防护照样生效，相当于双保险。选 VPS 本身可以参考这篇 搬瓦工 vs Vultr 对比。
写在最后
Cloudflare 免费套餐的定位很清晰：个人建站者的零成本安全底座——CDN、DDoS、WAF、AI 爬虫管控一次配齐，10 分钟接入，之后几乎不用维护。配上源站防火墙三道锁，你的 VPS 就从”裸奔”变成了躲在墙后。接完 Cloudflare，别忘了回头把源站本身的系统安全补齐（VPS 安全配置 5 件事），内外都稳了才算真正的安全。