Blog

Domain über Cloudflare absichern

Konfiguration Cloudflare

  1. Login in Cloudflare (CF) mit dem shopmanager@constancy.de
  2. Links auf Domains => Übersicht, dann rechts oben auf Domain hinzufügen
  3. Domain eintragen und DNS importieren
  4. bei United Domains einloggen bei der domain auf DNS
  5. DNS Einträge
  6. von dort alle fehlenden Einträge im CF ergänzen
  7. falls nicht schon dabei, A-Eintrag für “mail” auf 51.89.104.180 (Constancy Mail-Server) im CF als direkt ergänzen
  8. im CF nur den A für * über CF laufen lassen, die anderen vorerst direkt (Zertifikat muss erst angefordert werden)
  9. übernehmen
  10. dann bei United Domains eins zurück auf “Eigener Nameserver” dort die beiden Nameserver von CF eintragen (können je Account andere Namen haben)
  11. übernehmen
  12. im CF bestätigen
  13. im CF links unter SSL / TSL > Edge-Zertifikate:
    • immer HTTPS verwenden
    • TLS-Mindestversion 1.1
  14. Speed > Einstellungen
    • HTTP/3 deaktivieren (kann zu Verbindungsfehlern führen, wenn aktiv)
  15. Sicherheit > Sicherheitsregeln
    • Regel erstellen
    • Benutzerdefinierte Regel
      • Constancy-Whitelist
        • ip_adresse ist in liste ip_whitelist
        • -> alles Überspringen
      • Captcha for Non-DE and Non-Bot
        • Land ungleich Germany und
        • bekannte Bots false
        • -> verwaltete Abfrage
  16. Regeln > Einstellungen > X-Powered-by-Header entfernen
  17. Caching > Cache-Rules
    • Regel erstellen
    • benutzerdefiniert
    • “Cache disabled”
      • URI enthält nicht /media/ und
      • URI enthält nicht /static/
    • Cache umgehen
    • bereitstellen zum anwenden

Nun ein paar Stunden warten, damit Cloudflare die nötigen Zertifikate beantragen und prüfen kann.

Unter SSL / TSL > Edge-Zertifikate kann man den aktuellen Stand einsehen.

Hier muss ganz oben unter “Edge-Zertifikate verwalten” eins grün mit “Aktiv” gelistet werden.

Zum Abschluss dann unter DNS > Einträge noch für die A-Einträge der Domain und www “mit Proxy” aktivieren.

Ab jetzt wird der Webtraffic über Cloudflare geleitet.

 

Anpassung am Apache

Ubuntu

cd /etc/apache2
mc

ist /etc/apache2/cloudflare-ips.txt noch nicht vorhanden, von einem anderen Server kopieren
chwon root:root /etc/apache2/cloudflare-ips.txt

weiter in /etc/apache2/sites-available

gehe jede domain-conf durch

prüfe ob das schon so in jedem Vhost drin steht und ggf. anpassen
SetEnvIf X-Forwarded-Proto "^https$" HTTPS=on
SetEnvIf X-Forwarded-Proto "^https(, *https)*$" HTTPS=on
falls noch kein Vhost für Cloudflare-Domains angelegt ist, den aktuellen Vhost duplizieren
beim Servername das shop. oder cluster. durch cloudflare. ersetzen
anschließend nur im Cloudflare-Vhost hinter
RemoteIPHeader X-Forwarded-For
RemoteIPInternalProxy 192.168.50.1
noch den zweiten Proxi hinzufügen
RemoteIPHeader CF-Connecting-IP
RemoteIPTrustedProxyList /etc/apache2/cloudflare-ips.txt
ansonsten nur die neuen Cloudflare-Domain vom allgemeinen Vhost in den Cloudflare verschieben
speichern
neue Config testen
sudo apache2ctl configtest
neue Config übernehmen
sudo systemctl reload apache2

 

für CentOS

cd /etc/httpd
/etc/httpd/cloudflare-ips.txt

/etc/httod/conf/httpd.conf

RemoteIPTrustedProxyList /etc/httpd/cloudflare-ips.txt

sudo apachectl configtest

sudo systemctl reload httpd
sudo systemctl status httpd

 

 

Mögliche Probleme

Falls dann beim laden der ShopURL ein “redirect Loop” auftritt, hat das meist mit der X-Forwarded-Proto: https einstellung im Apache zu tun.

Falls die Seite mal läd und dann wieder nicht. Prüfen ob HTTP/3 aktiv ist. Das Quick-Protokoll kann Probleme mit den SSL-Zertifikaten machen.  => HTTP/3 deaktivieren

No route found for "GET ... URL-Normalisierung bei Cloudflare deaktivieren und prüfen ob alle Datei geladen werden. Kann Auftreten, wenn Dateien fehlen oder Leerzeichen enthalten.

Schreibe einen Kommentar

Menü schließen