CDN 加速配置指南

# ── 方法一：在 Cloudflare 控制台创建 Tunnel（推荐，图形化）──────────────────
# 1. 登录 Cloudflare Dashboard → Zero Trust → Networks → Tunnels
# 2. 点击 "Create a tunnel"，命名（如 my-vps），复制安装命令
# 3. 在 VPS 上运行 Cloudflare 自动生成的安装命令（含 Token）

# ── 方法二：命令行安装 cloudflared ────────────────────────────────────────────
# Ubuntu/Debian
curl -fsSL https://pkg.cloudflare.com/cloudflare-main.gpg | gpg --dearmor   -o /usr/share/keyrings/cloudflare-main.gpg
echo "deb [signed-by=/usr/share/keyrings/cloudflare-main.gpg]   https://pkg.cloudflare.com/cloudflared jammy main"   | tee /etc/apt/sources.list.d/cloudflared.list
apt update && apt install cloudflared -y

# 登录并授权
cloudflared tunnel login

# 创建 Tunnel
cloudflared tunnel create my-vps
# 会生成一个 UUID 和凭证文件，记住 UUID（下面要用）

# 文件路径：~/.cloudflared/config.yml
# 将本地服务通过 Tunnel 暴露到公网，完全不需要开放防火墙端口

tunnel: 你的Tunnel_UUID
credentials-file: /root/.cloudflared/你的UUID.json

ingress:
  # 规则1：将 blog.yourdomain.com 转发到本地 Nginx 的 8080 端口
  - hostname: blog.yourdomain.com
    service: http://localhost:8080

  # 规则2：将 status.yourdomain.com 转发到本地 Uptime Kuma 的 3001 端口
  - hostname: status.yourdomain.com
    service: http://localhost:3001

  # 规则3：将 ssh.yourdomain.com 转发到本地 SSH（可用 cloudflared 客户端 SSH）
  - hostname: ssh.yourdomain.com
    service: ssh://localhost:22

  # 兜底规则（必须有，否则 Tunnel 无法启动）
  - service: http_status:404

# 将 cloudflared 注册为系统服务（开机自启）
cloudflared service install

# 启动服务
systemctl start cloudflared
systemctl enable cloudflared

# 查看状态
systemctl status cloudflared

# 查看连接日志
journalctl -u cloudflared -f

# 在 Cloudflare DNS 面板中，会自动创建 CNAME 记录指向 Tunnel，
# 无需为该主机名配置源站 A/AAAA；仍需检查其他 DNS、邮件和历史记录是否泄露 IP。

# ── 通过 Cloudflare Dashboard 创建 R2 存储桶 ────────────────────────────────
# 1. 登录 Cloudflare Dashboard → R2 → Create bucket
# 2. 取名（如 static-assets），区域选 Auto
# 3. 创建完成后进入存储桶 → Settings → Custom Domains
#    添加自定义域名（如 cdn.yourdomain.com），Cloudflare 自动配置 CDN

# ── 通过 Wrangler CLI 管理 R2（推荐自动化场景）────────────────────────────────
npm install -g wrangler

# 登录
wrangler login

# 上传单个文件
wrangler r2 object put static-assets/images/logo.png --file ./logo.png

# 批量同步本地目录到 R2（将 dist/ 目录发布到 R2）
wrangler r2 object put static-assets/ --file dist/ --recursive

# 查看存储桶内容
wrangler r2 object list static-assets/

# R2 存储桶公开访问策略（在 Dashboard → R2 → 存储桶 → Settings → Public access 设置）
# 开启 "Allow Public Access" 后，文件可通过 cdn.yourdomain.com/文件名 直接访问

# ── 配合 Nginx 将静态资源重写到 R2 CDN ───────────────────────────────────────
# 网站源码中静态资源仍使用相对路径，Nginx 层做透明重写
# 修改 /etc/nginx/conf.d/yourdomain.conf：

location ~* \.(jpg|jpeg|png|gif|webp|svg|ico|css|js|woff2?)$ {
    # 将静态资源请求重写到 R2 CDN
    rewrite ^/(.*)$ https://cdn.yourdomain.com/$1 redirect;
    # 或使用代理而非重定向（保持 URL 不变）：
    # proxy_pass https://cdn.yourdomain.com;
}

# Cache Rules 在 Cloudflare 面板位置：
# Rules → Cache Rules → Create Rule

# ── 规则示例一：WordPress 后台强制绕过缓存 ───────────────────────────────────
# 规则名称：Bypass WordPress Admin
# 条件：URI Path contains /wp-admin
#       OR Cookie contains wordpress_logged_in
# 动作：Cache Status = Bypass

# ── 规则示例二：静态资源长期缓存 ─────────────────────────────────────────────
# 规则名称：Cache Static Assets
# 条件：URI Path matches regex \.(jpg|jpeg|png|gif|webp|svg|css|js|woff2)$
# 动作：Cache Status = Cache Everything
#       Edge TTL = 1 month
#       Browser TTL = 1 week

# ── 规则示例三：API 路径实时响应 ─────────────────────────────────────────────
# 规则名称：No Cache for API
# 条件：URI Path starts with /api/
# 动作：Cache Status = Bypass
#       Disable Apps = true

# ── 通过 API 创建 Cache Rule（自动化部署场景）────────────────────────────────
# 需要先获取 Zone ID 和 API Token（API Token 需要 Cache Rules:Edit 权限）
curl -X POST "https://api.cloudflare.com/client/v4/zones/你的Zone_ID/rulesets/phases/http_request_cache_settings/entrypoint/rules"   -H "Authorization: Bearer 你的API_Token"   -H "Content-Type: application/json"   -d '{
    "action": "set_cache_settings",
    "action_parameters": {
      "cache": true,
      "edge_ttl": { "mode": "override_origin", "default": 2592000 }
    },
    "expression": "(http.request.uri.path matches "\\.(jpg|png|css|js)$")",
    "description": "Cache static assets for 30 days"
  }'

# ── 方法一：UFW 只允许 Cloudflare IP 段访问 80/443 ────────────────────────────
# 先清空现有 80/443 规则
ufw delete allow 80/tcp
ufw delete allow 443/tcp

# 添加 Cloudflare IPv4 IP 段（来源：https://www.cloudflare.com/ips-v4）
for ip in   173.245.48.0/20   103.21.244.0/22   103.22.200.0/22   103.31.4.0/22   141.101.64.0/18   108.162.192.0/18   190.93.240.0/20   188.114.96.0/20   197.234.240.0/22   198.41.128.0/17   162.158.0.0/15   104.16.0.0/13   104.24.0.0/14   172.64.0.0/13   131.0.72.0/22; do
  ufw allow from "$ip" to any port 80,443 proto tcp
done

# 添加 Cloudflare IPv6 IP 段
for ip in   2400:cb00::/32   2606:4700::/32   2803:f800::/32   2405:b500::/32   2405:8100::/32   2a06:98c0::/29   2c0f:f248::/32; do
  ufw allow from "$ip" to any port 80,443 proto tcp
done

ufw reload
echo "源站已只对 Cloudflare IP 开放 80/443"

# ── 方法二：Nginx 层拒绝非 CF 直连 ───────────────────────────────────────────
# 在 nginx.conf 的 server 块中添加：
# real_ip_header CF-Connecting-IP;   # 获取真实用户 IP
# if ($http_cf_connecting_ip = "") {
#     return 444;  # 没有 CF-Connecting-IP 头 = 非 CF 请求，直接关闭连接
# }

# ── 方法三：定期自动更新 CF IP 白名单（推荐）─────────────────────────────────
# 创建更新脚本 /root/update-cf-ips.sh
# !/bin/bash
# curl -fsSL https://www.cloudflare.com/ips-v4 > /tmp/cf-ips-v4.txt
# curl -fsSL https://www.cloudflare.com/ips-v6 > /tmp/cf-ips-v6.txt
# # 然后用 ipset 或 iptables 批量更新规则
# crontab 每周一次：0 4 * * 1 /root/update-cf-ips.sh