子域名该怎么设置？Cloudflare配置你踩坑了吗？

在互联网的疆域中，每个子域名都像是一个独立行省，而Cloudflare则扮演着护城河与快速通道的双重角色。许多站长在配置子域名时都曾遭遇过DNS解析延迟、SSL证书失效、缓存”幽灵”等问题——就像建造城墙时忽略了瞭望塔的位置。本文将用实战经验带您绕开这些技术深坑，建立坚不可摧的域名管理体系。

业务隔离型：blog.example.com（博客）、shop.example.com（电商）
功能服务型：api.example.com（接口）、cdn.example.com（资源加速）
地域分站型：us.example.com（美国站）、eu.example.com（欧洲站）

🛡️ 安全盾牌：拦截99%的DDoS攻击与恶意爬虫
🚀 加速引擎：全球Anycast网络降低延迟30%到50%
🔒 加密通道：免费SSL证书实现全站HTTPS

登录Cloudflare控制台选择目标域名
点击”DNS”→”添加记录”
类型选择A/CNAME：
- A记录：直接指向服务器IP（适用于独立服务器）
- CNAME：别名解析到主域名（推荐负载均衡场景）
名称填写子域名前缀（如”blog”）
开启代理状态（橙色云图标）

避坑提示：当使用CNAME时，需确保目标域名已在Cloudflare完成验证，否则会出现解析环路

在”SSL/TLS”选项卡中：
1. 选择完全(严格)模式
2. 开启始终使用HTTPS
3. 检查证书状态：
“`plaintext
通用SSL证书：覆盖所有子域名
自定义证书：需上传pem格式证书链
“`

Nginx示例配置：
“`nginx
server {
listen 443 ssl;
server_name shop.example.com;
ssl_certificate /path/to/cert.pem;
ssl_certificate_key /path/to/privkey.pem;
强制Cloudflare IP验证
set_real_ip_from 173.245.48.0/20;
real_ip_header CF-Connecting-IP;
}
“`

缓存级别	推荐场景	设置路径
标准缓存	资讯类网站	缓存规则→继承全局
边缘缓存	电商图片资源	页面规则→.shop.com/image/
绕过缓存	实时数据接口	Cache Rules→Bypass Cache

执行dig shop.example.com +short检查DNS解析
通过SSL Checker验证证书链
使用curl -I查看响应头中的CF-Cache-Status

现象：配置后访问显示525 SSL错误
解决方案：
1. 在Cloudflare面板暂停代理再重新启用
2. 终端执行nslookup -q=ns example.com确认NS服务器已切换

现象：HTTPS页面加载HTTP资源
根治方案：
1. 安装Really Simple SSL插件（WordPress）
2. 在.htaccess添加：
“`apache
RewriteEngine On
RewriteCond %{SERVER_PORT} 80
RewriteRule ^(.)$ https://%{HTTP_HOST}/$1 [R=301,L]
“`

现象：更新内容后多地域访问不一致
应对策略：
1. 开发环境使用dev.example.com子域名并设置Bypass Cache
2. 生产环境通过API批量清除缓存：
“`bash
curl -X POST “https://api.cloudflare.com/client/v4/zones/:zone_id/purge_cache” \
-H “Authorization: Bearer API_TOKEN” \
-H “Content-Type: application/json” \
–data ‘{“files”:[“https://shop.example.com/product/123”]}’
“`

场景示例：限制api子域名的访问频率
1. 进入”防火墙规则”创建新规则
2. 设置匹配条件：
“`plaintext
字段：主机名
操作符：等于
值：api.example.com
“`
3. 添加频率限制：每分钟50次请求

配置路径：安全中心 → 事件日志
关键监控指标：
异常登录尝试（地理坐标突变）
SQL注入攻击模式（%27等特殊字符）
超出阈值的CC攻击（同一IP高频请求）

使用Cloudflare Workers实现：
“`javascript
addEventListener(‘fetch’, event => {
event.respondWith(handleRequest(event.request))
})

async function handleRequest(request) {
// 动态路由示例
const subdomain = request.headers.get(‘host’).split(‘.’)[0]
const regionMap = {
‘us’: ‘https://aws-us-server’,
‘eu’: ‘https://gcp-eu-server’
}
return fetch(regionMap[subdomain] || ‘https://default-server’)
}
“`

1. 每周检查清单：
SSL证书有效期（剩余≤30天时自动续期）
各子域名流量占比分析
安全事件TOP10分析

2. 监控告警配置：
邮件通知：证书到期前15天提醒
Slack报警：5分钟内超过500次5XX错误
短信告警：主域名解析状态异常