搭建属于自己的cloudflare反代IP
2023-11-23 13:02:07

本文链接:https://blog.tanglu.me/cloudflare_proxy_ip

为方便大家测试,我自己搭建了一个cloudflare反代IP:cf-proxy.1323123.xyz (139.99.52.254)

可用端口为 80 443

为避免滥用,屏蔽了中国大陆的IP

一、前言

cloudflare虽然是一家cdn服务商,但其丰富的规则配合workers往往可以实现很多我们所需要的功能,还有反机器人验证等等防护功能。

但是 cloudflare的IP现在经常被国内地区运营商间歇性屏蔽 ,之前通过 不良林大佬的视频初次了解了反代了CF IP的IP(也被称作非cloudflare官方节点) ,确实可以解决cloudflare国内访问慢的问题,参考了 中转cloudflare的安全隐患与隐患利用 这篇文章后知道这类 反代了CF IP的IP 其实可以通过像iptables这类中转程序 同端口转发到cloudflare,实现既加速访问 又用到了cloudflare某些功能

本文记录一下利用常见的中转协议搭建一个属于自己的 cloudflare反代IP ,类似前置代理

链路为:用户 >> 自己的vps >> cloudflare cdn >> 源服务器

本文是站在服务端视角,所做的均为对自己的服务端优化,让所有用户尽可能有更好的体验

而不是站在客户视角 去让自己更好的访问什么

二、搭建方法

其实原理很简单,就是将自己(速度快的)vps的端口转发到cloudflare对应的端口

测试中我会将我的vps 80/442/8080/8443 端口转发到cloudflare官网IP对应的 80/442/8080/8443

更多cloudflare允许的端口可以查看 官方文档

我测试机器都是境外vps 所以vps和cloudflare交互的数据不需要加密直接iptables转发就行(当然我也没有权限操作cloudflare服务器 也设置不了) ,这样并不会对cloudflare的IP造成任何影响

如果你是用的国内服务器,我不建议你直接将流量转发到cloudflare的IP,这样可能会使防火墙对这个IP进行封锁。你可以选择再拿一台国外vps组隧道并加密数据,这样防火墙只可能封禁你的两个节点机

法一:iptables中转

最直接的就是iptables直接转发,后续的方法也是基于 iptables/ 等端口转发工具开发的程序实现

我对iptables的端口转发操作不太熟悉,这里使用 arloor 大佬的一键脚本:https://github.com/arloor/iptablesUtils

此方法演示机器:5.78.90.112

1、执行脚本

1
bash <(curl -fsSL https://www.arloor.com/sh/iptablesUtils/natcfg.sh)

依次添加80/443等你需要的端口即可

你可以随意设置一个属于cloudflare cdn的IP,我这里简便就直接写的cloudflare官网

可以看到添加后这台vps会将所有的80端口流量(tcp&udp)全部转发到104.16.132.229:80

建议用其他cloudflare的IP而非cloudflare官网,否则可能会出现1034报错,下文有提到

image

2、测试

测试需要你的域名已经CNAME接入cloudflare(不会的可以参考:https://blog.tanglu.me/cloudflare-configure/#Custom-Hostnames)

因为cloudflare官方的限制,不能随意自选,因为即使SaaS接入后cloudflare也会每次检查你的接入域名是否CNAME指向 Fallback Origin。但是因为cloudflare dns服务器在国外(应该是在美国)这就让我们国内有机可乘,即国内可以自选,国外走官方CNAME

image

如下图,成功转发流量,类似前置代理

image

image

法二、利用端口转发管理面板

常见的端口转发管理面板有 咸蛋面板极光面板 (都支持ipv6)

咸蛋面板免费版只支持iptables协议,极光面板纯免费支持 iptables socat gost ehco realm brook等中转协议,这里我以极光面板的realm中转为例

此方法演示机器:5.78.101.164

1、一键脚本安装极光面板

执行官方一键安装脚本,执行后选 1. 安装 极光面板 ,设置管理员邮箱和密码,通过 http://ip:8000 访问

国内机器连接不了github可能需要自己想办法,似乎docker好像也被国内屏蔽了

1
2
3
bash <(curl -fsSL https://raw.githubusercontent.com/Aurora-Admin-Panel/deploy/main/install.sh)

#修改密码 修改端口啥的,再次执行这个脚本就会出现控制台

添加中转服务器,这里我演示就用这台面板机器了

image

显示连接成功后,点击查看端口,添加端口即可,我这里测试就添加80和433

image

添加转发,选择你喜欢的中转程序(有些不是中转程序而是代理程序)

image

激光面板还可以限制端口的流量和出入站速度,点击 修改端口 进行配置

如这个配置就表示443这个端口出站+入站总能量为2TB,超出后限速1Mbit/s(约为1Mbps)

image

2、测试

测试正常

image

法三、使用nginx的四层转发

这里我直接用cdnfly提供的转发程序,我自己对nginx的stream模块不太了解

安装配置cdnfly可以参考我这篇记录:使用cdnfly自建CDN并配置CC防护

此方法演示节点机器:159.223.69.251

我80 443被nginx占用了,就用的8443端口反代的 1.0.0.1:8443

image

image

测试正常

image

三、借用其他人的反代IP

上面三种搭建方法都是使用的自己的vps,大多数用户可能想(不道德的)直接用其他人已经反代好的IP,其实是可以的,这里记录一下知道这些反代IP可以做什么

此节的测试IP为我之前搭的已经反代CF的IP:5.78.90.112

1、加速自己的网站

上一节搭建中的三个测试都是CNAME接入到cloudflare自选IP,你也可以这样做,方法一模一样 这里就不再演示

2、加速访问其他人的网站

比如我要加速访问 www.nodeseek.com ,我没有对该域名DNS的解析权,这里只能修改hosts文件

win10的hosts文件在 C:\Windows\System32\drivers\etc

在上节中 5.78.90.112:443 是转发到了 cloudflare.com:443

这里如果访问nodeseek的话,就不能填写cloudflare.com 会产生 1034报错

可能一些IP是cloudflare自己服务专用的吧(不过这也不好解释为什么cname接入后就可以使用这些IP),你换成其他的一个IP就可以了 例如 digitalocean.com:443

image

image

image

3、富强上网

这个不难,和套cdn/中转服务 类似

server填写反代的IP 有域名的话clash是设置sni v2rayN是设置伪装域名(host)

可以参考 不良林大佬的教程

这里不建议瞎搞的小伙伴直接使用扫描到的国内IP,一个是不安全 你无法判断数据是否被监听,另一个是可能扫描到的国内机器到国外(如cloudflare)速度并不好 可能和你直连cloudflare速度差不多(毕竟都是国内访问国外),如果真的想用国内IP 建议再买个国外vps搭隧道,并确保国内机器和国内机器连通速度(可以使用iperf3等工具速)

四、常见问题

  • 为什么开头要强调服务端视角和客户端视角

因为如果文中端口转发机器的所有者不同 会造成机器的属性不同。比如如果这台端口转发机属于用户,那么他(用户)只是用来让自己一个人更好的访问,机器由用户操作,机器的角色相当于用户的前置代理(类似于客户端开启富强软件)


  • 作为用户 我可以直接使用反代了CF IP的IP吗

的确可以 滥用 借用这些IP来实现自己某些目的


  • 此方法cloudflare防ddos还起作用吗?

不起作用,用自己vps端口转发后,防dd效果完全取决于你的前置代理机,也就是取决于你的前置代理机的机房


  • nat机可以吗?

可以,例如将nat机的50001端口转发到cf 80端口,将50002端口转发到cf 443端口,但是这样访问的话需要带上对应的端口号(如 https://blog.tanglu.me:50002)


  • 只能转发到cloudflare吗?

很明显不是,你可以转发其他cdn的IP或者像 扩展 中的搭建隧道cdn等


  • 只能处理http协议的内容吗?

iptables gost realm等端口转发工具都支持tcp所有流量中转,nginx四层代理实测可以支持 ssh rdp等tcp流量(可能支持所有tcp流量 我也不太清楚)


  • 我的vps80端口必须转发到其他IP的80端口吗?

很明显不,你可以将80转发到81 或者81转发到80,我的示例是同端口转发只是为了方便演示


  • 其他人是否可以扫描发现并使用我的反代IP

是可以的,或许这篇文章可以帮到:通过zmap和zgrab2扫描cloudflare的反向代理 - 矢澤にこ (ni-co.moe)

反代CF的IP有一个很明显的特征 就是访问其IP 不管是否会报错,响应头的server一定是 cloudflare 这个通过cloudflare的规则也更改不了。扫描这类IP可以通过 https://fofa.info ,教程可以参考 不良林大佬的教程


  • 如何设置sni白名单阻止其他人扫到并使用

暂时不清楚。它们扫描一般是根据响应头的 server 为 cloudflare 来判断


五、扩展

除了反代cloudflare的IP,你可以反代任何cdn,不过似乎没啥用用 :)

我尝试过使用端口转发来搭建一个隧道cdn,结果可以用 但还是有细节待完善,这里记录一下

情况是这样的:

我有一台国内vps,但是资源是放在几台国外服务器,我最初想使用国内vps做cdn节点,但很快意识到一个问题,就是我在晚高峰使用iperf3测试国内vps和我三台国外vps的网络速度,结果是cdn节点和我一台机器之间速度很好,但是和其他两台机器之间的网络很差。国内带宽贵 我没法再买一台国内vps 将文件放在上面,另外因为ddcc稳定性的问题 我也没法直接将文件放到这台国内vps上。

最后就是尝试了一些商家,找了一个晚高峰和我国内vps能跑满的机器做cdn后端节点,在国内机器上搭建端口转发程序 转发到这台国外机器上,这样一个隧道cdn就组好了。将域名解析到国内vps的IP 可以正常访问

数据包为 用户 >> 国内vps(iptables转发) >> 国外vps(cdn程序) >>文件服务器

最后感觉这样还有一个优势就是:之前我的cdn节点既要优质线路加速用户访问,又需要较高的配置来运行cdn程序,这往往代价比较高(因为一般优质线路机器配置很低往往只有1核0.5GB内存 加配置要贵很多)。而隧道cdn则解决了这一点,我只需要低配置的优质线路机器来运行iptables中转程序,吃配置的cdn程序等放到一台线路普通的高配置vps上 这样可以节省一部分费用

例如我想使用阿里云的机器,价格如下图。之前我需要花费$19购买2H4G配置来运行cdn 但是我每月仅需要200GB的流量,$19很大部分是流量费用。

现在我只需要购买一台$3.5的最低配机器运行iptables(占用内存低于50MB)将流量无脑中转,再花费€6购买一台普通线路的vps运行cdn程序即可,这样几乎节省了一半的成本。

有小伙伴可能会疑惑

既然用户访问中转机 那么运行cdn程序的机器就无法实现对访客进行拦截等 cdn防护规则不起作用

其实不是,因为这两台机器整个才是一个cdn节点或者说运行中转机的机器才是cdn节点,在cdn面板添加cdn节点时 你填写的cdn IP是运行中转程序的IP,而不是运行cdn程序的IP

我用的是cdnfly,运行cdn机器的文件设置确实无法反馈给中转机,导致无法封禁用户IP 暂时不清楚如何解决(似乎iptables有cc速率限制 但是我不会)

image

image

六、杂谈

我不清楚是iptables realm socat gost brook nginx四层转等发哪个占用资源更低,也不清楚不同程序的效率和速度是否有差异,有知道的小伙伴可以评论区留言告诉我,实测iptables占用不超过50MB

上一页
2023-11-23 13:02:07
下一页