5. オリジンサーバーへの直接接続を遮断する

Cloudflareを導入していても、VPSの実IPが知られていると、攻撃者はCloudflareを通さず直接Nginxへ接続できます。

したがって、オリジンサーバーでは次を実施します。

• 80番・443番はCloudflareの送信元IPだけ許可

• 管理用SSHはWireGuardや許可IPだけ許可

• Authenticated Origin Pullsを有効化

• 不要な8000、8080、8443、1099番などを閉じる

• Cloudflareを通さないDNSレコードを作らない

Cloudflareも、オリジン側でCloudflareのIPアドレスだけを許可し、それ以外を明示的に遮断する構成を推奨しています。また、Authenticated Origin Pullsを使うことで、Cloudflareネットワークから来た接続かを証明できます。

Nginxの推奨設定

1. Cloudflare経由でも実IPを正しく取得する

Cloudflare配下で$remote_addrをそのまま使用すると、CloudflareのIPを利用者IPとして扱ってしまう場合があります。

set_real_ip_fromには、Cloudflare公式の最新IPレンジを登録します。