كيفية إعداد بروكسي عكسي من Cloudflare، دليل عملي

يقف بروكسي Cloudflare العكسي أمام خادم الويب الخاص بك: فعند ضبط سجل DNS على Proxied، تصل طلبات الزوار إلى شبكة حافة Cloudflare أولا، ثم يعيد Cloudflare توجيهها إلى المصدر. يوضح هذا الدليل الخطوات الدقيقة لتحويل Cloudflare إلى بروكسي عكسي لموقع تستضيفه، بدءا من سجلات DNS المعتمدة على البروكسي وأوضاع SSL/TLS، وصولا إلى التخزين المؤقت وقواعد المصدر والاختبار باستخدام curl وأخطاء 522 و525 الشائعة.

للاطلاع على المفهوم العام والفرق بينه وبين البروكسي الأمامي، راجع شرحنا عن البروكسي العكسي مقابل البروكسي الأمامي. سنركز هنا على تفاصيل Cloudflare فقط.

DataImpulse مزود بروكسي أخلاقي يتيح أكثر من 90 مليون عنوان IP سكني ومحمول ومن مركز بيانات في 195 دولة. يعتمد نموذج الدفع حسب الاستخدام ابتداء من 1 دولار لكل GB مع حركة مرور لا تنتهي صلاحيتها، ويستخدم في تجريف الويب والتحقق من الإعلانات ومراقبة الأسعار وأبحاث السوق وإدارة الحسابات المتعددة.

ما الذي تحتاجه قبل البدء؟

تحتاج إلى نطاق وحساب Cloudflare وخادم ويب بعنوان IP عام يقدم موقعك بالفعل. البروكسي العكسي هو خادم يستقبل طلبات العملاء ويوجهها إلى خادم مصدر خلفي واحد أو أكثر، ويوفر Cloudflare هذا الدور عند الحافة بمجرد أن يستخدم نطاقك خوادم الأسماء التابعة له.

لإتمام الإعداد، اجمع هذه العناصر أولا:

• مصدر نشط: موقعك متاح عبر عنوان IP عام، مثل 203.0.113.10، باستخدام HTTP أو HTTPS.
• خوادم أسماء Cloudflare: يجب أن يشير مسجل نطاقك إلى خادمي الأسماء اللذين يعينهما Cloudflare عند إضافة الموقع.
• شهادة TLS على المصدر: شهادة صالحة، مثل Let’s Encrypt أو Cloudflare Origin Certificate المجانية، كي تتمكن من استخدام وضع SSL آمن.

من المفيد تصور تدفق حركة المرور. يتكون مسار طلب البروكسي العكسي في Cloudflare من 5 مراحل: DNS -> الحافة -> التخزين المؤقت -> WAF -> المصدر. يتحول الطلب إلى عنوان IP عند حافة Cloudflare، ويخضع للفحص وقد تتم خدمته من التخزين المؤقت، ثم يمر عبر جدار حماية تطبيقات الويب قبل أن يصل إلى المصدر. معرفة المرحلة التي يوجد فيها الطلب تجعل كل إصلاح لاحق واضحا.

كيف تعد بروكسي Cloudflare عكسيا خطوة بخطوة؟

أضف موقعك إلى Cloudflare، واضبط سجل DNS على Proxied، واختر وضع SSL صارما. السحابة البرتقالية في سجل DNS هي المفتاح الذي يحول Cloudflare إلى بروكسي عكسي لاسم المضيف، أما السحابة الرمادية فتعني DNS فقط وتتجاوز الحافة كليا.

وجّه DNS إلى المصدر وفعل السحابة البرتقالية. في علامة تبويب DNS، أنشئ سجلات A، أو AAAA، للنطاق الجذر وwww تتضمن عنوان IP للمصدر، واجعل حالة البروكسي Proxied:

Type   Name   Content        Proxy status
A      @      203.0.113.10   Proxied (orange cloud)
A      www    203.0.113.10   Proxied (orange cloud)

اختر وضع تشفير SSL/TLS. ضمن SSL/TLS، يتحكم الوضع في كيفية اتصال Cloudflare بالمصدر. استخدم Full (strict) كلما كانت لدى المصدر شهادة صالحة:

SSL/TLS encryption mode
  Off            no HTTPS, do not use
  Flexible       browser-to-Cloudflare only, origin unencrypted (avoid)
  Full           encrypts to origin, accepts any certificate
  Full (strict)  encrypts to origin, requires a valid certificate

أضف قاعدة للتخزين المؤقت أو للمصدر. تتيح لك القواعد التحكم فيما تخزنه الحافة مؤقتا أو بكيفية وصولها إلى المصدر. تعين قاعدة Cache Rule بسيطة مسارا ثابتا قابلا للتخزين المؤقت لكي يخدمه Cloudflare من دون الرجوع إلى خادمك:

# Rules > Caching > Create rule
When incoming requests match:
  (http.request.uri.path contains "/static/")
Then:
  Cache eligibility = Eligible for cache
  Edge TTL = 1 day

يمكن لقواعد المصدر تجاوز ترويسة المضيف أو المنفذ الذي يتصل Cloudflare عبره، وهذا مفيد عندما تستمع الواجهة الخلفية إلى منفذ غير قياسي. بعد حفظها، يعمل Cloudflare كبروكسي عكسي أمام المصدر.

كيف تتحقق من عمل البروكسي العكسي؟

أرسل طلبا إلى نطاقك وتأكد أن الاستجابة تعود عبر Cloudflare. أسرع فحص هو طلب HEAD باستخدام curl مع البحث عن ترويسات server وcf-ray التي يضيفها Cloudflare:

curl -I https://example.com

# Expected headers when proxied:
#   server: cloudflare
#   cf-ray: 8a1b2c3d4e5f6789-FRA
#   cf-cache-status: HIT | MISS | DYNAMIC

إذا ظهر server: cloudflare وقيمة cf-ray، فإن حركة المرور تمر عبر الحافة. تؤكد قيمة HIT في cf-cache-status أن قاعدة التخزين المؤقت تخدم المحتوى من Cloudflare بدلا من المصدر. وللتأكد من أن DNS يتحول إلى عنوان IP عند الحافة لا إلى عنوان المصدر الخام، شغّل dig example.com +short وتحقق من أن العنوان المعاد ضمن نطاق Cloudflare، لا 203.0.113.10.

كيف تعالج أخطاء 522 و525؟

تقع معظم حالات فشل البروكسي العكسي في Cloudflare عند جانب المصدر وترتبط بمرحلة محددة في مسار الطلب. يعني خطأ 5xx مصحوبا بصفحة تحمل علامة Cloudflare أن الحافة وصلت إلى مرحلة المصدر، لكن المصدر لم يستجب بصورة صحيحة.

• الخطأ 522، انتهت مهلة الاتصال: لم يتمكن Cloudflare من فتح اتصال TCP بالمصدر. تحقق من أن جدار الحماية يسمح بنطاقات IP الخاصة بـ Cloudflare، وأن خادم الويب يعمل، وأن سجل DNS يتضمن عنوان IP الصحيح للمصدر.
• الخطأ 525، فشلت مصافحة SSL: رفض المصدر مصافحة TLS. يعني ذلك عادة أن Full (strict) مضبوط لكن شهادة المصدر مفقودة أو منتهية أو موقعة ذاتيا، لذا ثبّت شهادة صالحة أو Cloudflare Origin Certificate.
• حلقات إعادة التوجيه: يؤدي وضع SSL المرن مع خادم يفرض HTTPS إلى حلقة لا نهائية، لذا انتقل إلى Full أو Full (strict).

بما أن مسار الطلب هو DNS -> الحافة -> التخزين المؤقت -> WAF -> المصدر، فإن الخطأ 522 أو 525 يشير دائما إلى القفزة الأخيرة، لذا ابدأ تصحيح الأخطاء من المصدر وشهادته.

أي نوع بروكسي يناسب مهمتك فعلا؟

استخدم بروكسي Cloudflare العكسي لحماية خادم تملكه وتسريعه، واستخدم بروكسي أماميا عندما تحتاج إلى إرسال طلبات صادرة من عناوين IP مختلفة كثيرة. هاتان أداتان متعاكستان، والخلط بينهما هو أكثر الأخطاء شيوعا لدى قراء هذا الموضوع.

يقف البروكسي العكسي أمام خادمك ويمثله على الإنترنت. ويقف البروكسي الأمامي أمام العملاء ويمثلهم أمام الإنترنت الأوسع. توضح المقارنة التالية الاتجاه صراحة:

وهنا النقطة الصريحة التي تستند إليها هذه الوصلة: يقف بروكسي Cloudflare العكسي أمام موقعك ولا يمكنه جعل الطلبات الصادرة تبدو وكأنها أتت من عناوين IP مختلفة كثيرة. إذا كانت مهمتك جمع البيانات أو إجراء اختبارات محلية أو التحقق من الإعلانات من مواقع متعددة، فأنت تحتاج إلى بروكسي أمامي، وهي أداة مختلفة. لهذا الغرض، يقدم DataImpulse بروكسيات سكنية دوارة وبروكسيات من مركز بيانات عبر 195 دولة. Cloudflare ليس منتجا من DataImpulse، والأداتان تحلان مشكلتين متعاكستين.

استخدم مصفوفة القرار هذه:

• استخدم بروكسي Cloudflare عكسيا عندما تستضيف موقع ويب أو API وتريد التخزين المؤقت وTLS وحماية DDoS وإخفاء عنوان IP للمصدر.
• تحتاج فعليا إلى بروكسي أمامي عندما يلزمك إصدار طلبات صادرة من عناوين IP متنوعة لأغراض التجريف أو مراقبة الأسعار أو التحقق من الإعلانات، كما نغطي في التجريف من دون التعرض للحظر.
• تجنب بروكسي Cloudflare العكسي عندما يكون الهدف إخفاء الهوية لحركة المرور الصادرة الخاصة بك، لأن البروكسي العكسي يحمي الوجهة لا مقدم الطلب.

ما القيود والمخاطر؟

بروكسي Cloudflare العكسي قوي لحماية موقع تملكه، لكنه ليس أداة عامة للشبكات. افهم هذه الحدود قبل الاعتماد عليه.

• لا يخفي هوية حركة المرور الصادرة: يخفي البروكسي العكسي مصدرك عن الزوار، لا طلباتك عن الجهات الخارجية.
• كشف عنوان IP للمصدر يفسد الحماية: إذا اكتشف المهاجمون عنوان IP الخام للمصدر عبر سجلات DNS قديمة أو ترويسات البريد الإلكتروني، فيمكنهم تجاوز الحافة، لذا أبق جدار حماية المصدر مقصورا على نطاقات Cloudflare.
• SSL المرن غير آمن: يترك المسار بين Cloudflare والمصدر غير مشفر، لذا فضّل Full (strict).
• صحة التخزين المؤقت: قد تعرض قواعد التخزين المؤقت واسعة النطاق محتوى قديما أو خاصا، لذا احصر القواعد في المسارات الثابتة.

DataImpulse مزود بروكسي أخلاقي ولا يبيع بروكسيات ISP ثابتة، وليس API مدارا للتجريف، ولا خدمة بروكسي ويب مجانية. إذا كنت جديدا على مصطلحات البروكسي، فإن دليلنا عن ما هو بروكسي الويب يشرح الأساسيات قبل اختيار الأداة.

الأسئلة الشائعة

أدلة ذات صلة

• بروكسي NGINX العكسي
• بروكسي Docker العكسي
• بروكسي NGINX الأمامي

هل تحتاج إلى عناوين IP صادرة بدلا من بروكسي عكسي؟

إذا كانت مهمتك جمع البيانات أو التحقق من النتائج من مواقع كثيرة، بدلا من حماية موقعك الخاص، فإن البروكسي الأمامي هو الأداة المناسبة. يقدم DataImpulse بروكسيات سكنية دوارة ابتداء من 1 دولار لكل GB مع الدفع حسب الاستخدام وحركة مرور لا تنتهي صلاحيتها في 195 دولة. أنشئ حسابا للبدء.