Cloudflare, alan adınızın DNS’ini yöneten ve web trafiğinizi ziyaretçi ile sunucunuz arasında karşılayan bir ters vekil sunucu (reverse proxy) ağıdır. Ziyaretçi alan adınıza bağlandığında, sunucunuza değil, kendisine en yakın Cloudflare veri merkezine ulaşır. CDN, WAF, DDoS koruması ve diğer özellikler bu noktada çalışır; isteğin gerekli kısmı sunucunuza (origin) iletilir.
Bu yapı doğru kurgulandığında sunucunuzun yükünü azaltır ve saldırıları sunucuya ulaşmadan durdurur. Yanlış kurgulandığında ise sertifika hataları, yönlendirme döngüleri, loglarda kaybolan ziyaretçi IP’leri ve önbellekten sunulan oturum sayfaları gibi sorunlara yol açar. Bu sayfada Cloudflare’i devreye alırken teknik olarak nelere dikkat edilmesi gerektiğini anlatıyoruz.
Proxy ve DNS-only kayıtlar
Cloudflare’de her DNS kaydı iki modda çalışabilir:
| Mod | Ne olur | Ne zaman |
|---|---|---|
| Proxied (turuncu bulut) | Kayıt Cloudflare IP’lerine çözülür; trafik CDN, WAF ve DDoS katmanından geçer | Web siteleri, API’ler, HTTP/HTTPS servisleri |
| DNS only (gri bulut) | Kayıt doğrudan sunucu IP’sine çözülür; Cloudflare yalnızca DNS hizmeti verir | E-posta, SSH, veritabanı, VPN ve diğer protokoller |
Proxy yalnızca belirli portlarda çalışır:
- HTTP: 80, 8080, 8880, 2052, 2082, 2086, 2095
- HTTPS: 443, 2053, 2083, 2087, 2096, 8443
Bu portların bir kısmında (2052, 2053, 2082, 2083, 2086, 2087, 2095, 2096, 8880, 8443) önbellekleme varsayılan olarak kapalıdır. Farklı port veya protokol kullanan servisler için kayıt DNS-only bırakılır ya da Cloudflare Tunnel / Spectrum ile ayrıca tasarlanır. MX kayıtları proxy’lenemez.
SSL/TLS modları
SSL/TLS modu, iki bağlantının nasıl şifreleneceğini belirler: ziyaretçi ile Cloudflare arası ve Cloudflare ile sunucunuz arası.
| Mod | Cloudflare → sunucu bağlantısı | Değerlendirme |
|---|---|---|
| Off | Şifresiz | Kullanılmamalı |
| Flexible | Şifresiz HTTP | Sunucu bacağı açık; yönlendirme döngüsü riski |
| Full | HTTPS, sertifika doğrulanmaz | Geçiş aşaması için; araya girme saldırısına açık |
| Full (strict) | HTTPS, sertifika doğrulanır | Önerilen |
| Strict (SSL-Only Origin Pull) | Ziyaretçi HTTP ile gelse bile her zaman doğrulanan HTTPS | Enterprise |
Cloudflare’in kademeli olarak varsayılan hale getirdiği Automatic SSL/TLS, sunucunuzu tarayıp mümkün olan en güvenli modu kendisi seçebiliyor; ancak bu mekanizma modu hiçbir zaman daha az güvenli bir seviyeye indirmez ve sunucudaki sertifikanın geçerliliği her zaman sizin sorumluluğunuzdadır.
Full (strict) için sunucuda iki tür sertifika kullanılabilir:
- Herkese açık bir sertifika otoritesinden (örneğin Let’s Encrypt) alınmış sertifika. Cloudflare DNS doğrulamasıyla (ACME DNS-01) wildcard dahil otomatik alınıp yenilenebilir; kurgusunu çözüm ortağı sayfamızda anlatıyoruz.
- Cloudflare Origin CA sertifikası. Uzun ömürlüdür ama yalnızca Cloudflare tarafından tanınır; proxy kapatıldığında tarayıcılar bu sertifikaya güvenmez.
Önbellek davranışı
Cloudflare varsayılan olarak dosya uzantısına göre önbellekler: görseller, CSS, JavaScript, fontlar ve benzeri statik dosyalar önbelleğe alınır; HTML ve JSON alınmaz.
- Sunucunuzun gönderdiği
Cache-Controlbaşlıkları önbellek süresini belirler; doğru başlık göndermek kural yazmaktan önce gelir. - HTML’i önbelleğe almak için Cache Rules kullanılır. Oturum açmış kullanıcıya özel sayfaların, sepet ve hesap sayfalarının önbellekten başkasına sunulmaması için çerez ve yol bazlı istisnalar tanımlanmalıdır.
- Yayın sonrası değişen dosyalar için ya dosya adında sürüm bilgisi kullanılır ya da önbellek hedefli olarak temizlenir (purge).
Sunucunuzu (origin) korumak
Cloudflare’in koruması, saldırganın sunucunuza doğrudan ulaşamamasına bağlıdır. Sunucu IP’si biliniyorsa Cloudflare atlanabilir.
- Güvenlik duvarında yalnızca Cloudflare IP aralıklarına izin verin. Güncel aralıklar cloudflare.com/ips adresinde yayımlanır.
- Authenticated Origin Pulls ile sunucu yalnızca Cloudflare’in istemci sertifikasını sunan bağlantıları kabul eder (mTLS).
- Cloudflare Tunnel ile sunucu internete hiç port açmaz; bağlantıyı içeriden Cloudflare’e kendisi kurar.
- Geçmiş DNS kayıtlarından sunucu IP’si öğrenilebileceği için, Cloudflare’e geçişten önce internete açık olan sunucularda IP değişikliği değerlendirilmelidir.
Gerçek ziyaretçi IP’si
Proxy açıkken sunucunuza bağlanan istemci Cloudflare olduğu için loglarda, rate limiting kurallarında ve uygulama içi IP kontrollerinde Cloudflare IP’leri görünür. Gerçek ziyaretçi IP’si CF-Connecting-IP başlığıyla gelir. Web sunucusu bu başlığa yalnızca Cloudflare IP aralıklarından gelen isteklerde güvenecek şekilde ayarlanmalıdır; aksi halde başlık sahte gönderilebilir.
# /etc/nginx/conf.d/cloudflare-realip.conf
set_real_ip_from 173.245.48.0/20;
set_real_ip_from 103.21.244.0/22;
# ... cloudflare.com/ips adresindeki tüm IPv4 ve IPv6 aralıkları
real_ip_header CF-Connecting-IP;
Aralık listesi zamanla değişebileceği için elle değil, otomasyonla güncel tutulmalıdır.
Limitler
| Limit | Varsayılan |
|---|---|
| İstek gövdesi (dosya yükleme) | Free/Pro 100 MB, Business 200 MB, Enterprise 5 GB’a kadar |
| Sunucudan yanıt bekleme (Proxy Read Timeout) | 125 saniye (Enterprise’da 6.000 saniyeye kadar) |
| Sunucuya veri yazma (Proxy Write Timeout) | 30 saniye |
Büyük dosya yüklemeleri ve uzun süren istekler (rapor üretimi, toplu dışa aktarma) bu limitlere takılır. Bu işler parçalı yüklemeye veya arka plan işine çevrilmeli ya da proxy’lenmeyen ayrı bir alt alan adından sunulmalıdır.
52x hataları: ilk kontrol
| Hata | Anlamı | İlk bakılacak yer |
|---|---|---|
| 520 | Sunucu boş veya tanımsız bir yanıt döndü | Uygulama çökmesi, çok büyük başlıklar, sunucu/proxy logları |
| 521 | Sunucu bağlantıyı reddetti | Web servisi çalışıyor mu; güvenlik duvarı Cloudflare IP’lerini engelliyor mu |
| 522 | Sunucuya TCP bağlantısı zaman aşımına uğradı | Güvenlik duvarı paketleri düşürüyor mu, sunucu aşırı yüklü mü |
| 523 | Sunucuya ulaşılamıyor | DNS kaydındaki IP doğru mu, yönlendirme/ağ sorunu |
| 524 | Bağlantı kuruldu ama 125 saniyede yanıt gelmedi | Uzun süren sorgu veya işlem |
| 525 | SSL el sıkışması başarısız | Sunucuda 443 dinleniyor mu, SNI ve TLS sürümü desteği |
| 526 | Sunucu sertifikası geçersiz (Full strict) | Sertifika süresi, alan adı uyumu, eksik ara sertifika |
Hatanın kaynağı her zaman sunucunun kendisi olmayabilir; Cloudflare ile sunucu arasındaki yük dengeleyici, proxy ve güvenlik duvarı logları da incelenmelidir.
Güvenlik kurallarını devreye alma
WAF, rate limiting ve bot kuralları yanlış ayarlandığında meşru kullanıcıları, mobil uygulamaları veya entegrasyon yapan sistemleri engelleyebilir.
- Yeni kuralları önce dar bir kapsamla (belirli yol, ülke veya istek tipi) devreye alın; engelleme yerine Managed Challenge ile başlamak etkiyi görmeyi kolaylaştırır.
- Security Events ekranında hangi isteklerin hangi kurala takıldığını izleyip yanlış pozitifleri ayıklayın.
- API’ler, webhook’lar ve sunucudan sunucuya istekler tarayıcı doğrulamasını (challenge) geçemez; bu yollar için ayrı kurallar tanımlayın.
Cloudflare’e geçiş, yapılandırma ve yönetim desteği için Cloudflare çözüm ortağı sayfamıza göz atabilirsiniz.
