תיעוד 5

כתובות IP של Cloudflare

עודכן לאחרונה: 21 באפריל 2026

כשמוסיפים דומיין ל-Cloudflare ומפעילים פרוקסי על רשומות ה-DNS שלו, מבקרים שמחפשים את הדומיין מקבלים כתובת IP של Cloudflare במקום כתובת ה-IP האמיתית של שרת המקור. כך מוסתרת כתובת ה-IP של שרת המקור, ו-Cloudflare יכולה לבצע אופטימיזציה, שמירה במטמון והגנה על כל הבקשות לפני שהן מועברות אליך.

ל-Cloudflare יש כמה טווחי כתובות IP המשותפים לכל שמות המארח שעוברים דרך הפרוקסי. יחד, כתובות ה-IP האלה יוצרות את עמוד השדרה של רשת ה-anycast של Cloudflare: שיטת ניתוב שבה אותה כתובת IP מוכרזת ממרכזי נתונים ברחבי העולם, כך שכל בקשה של מבקר מנותבת למרכז נתונים קרוב.

הערה

Cloudflare משתמשת בטווחי IP אחרים למוצרים ולשירותים שונים, אבל הכתובות האלה לא ייצרו חיבורים לשרת המקור שלך.

#לאפשר כתובות IP של Cloudflare

כל התעבורה אל רשומות DNS עם פרוקסי עוברת דרך Cloudflare לפני שהיא מגיעה לשרת המקור. המשמעות היא ששרת המקור יפסיק לקבל תעבורה מכתובות IP של מבקרים בודדים, ובמקום זאת יקבל תעבורה מכתובות IP של Cloudflare, המשותפות לכל שמות המארח שעוברים דרך הפרוקסי.

עבור חומת האש של שרת המקור, זה יכול להיראות כמו מספר מצומצם של מקורות ששולחים נפח תעבורה גבוה, וזה עלול להפעיל חסימה אוטומטית או הגבלת קצב. מכיוון שכל תעבורת המבקרים נראית כאילו היא מגיעה מכתובות IP של Cloudflare, חסימת כתובות ה-IP האלה, גם בטעות, תמנע מתעבורת המבקרים להגיע ליישום שלך.

ההנחיה שלמעלה חלה על דומיינים שמשתמשים בפרוקסי ה-HTTP של Cloudflare. Magic Transit פועל אחרת: במקום לבצע פרוקסי לבקשות אינטרנט, הוא מגן על רשתות IP שלמות בשכבת הרשת. Cloudflare מכריזה על טווחי כתובות ה-IP שלך (prefixes) באמצעות BGP, כך שכל התעבורה המיועדת לרשת שלך עוברת דרך Cloudflare לבדיקה ולסינון DDoS לפני שהיא מועברת לתשתית שלך.

#הגדרת שרת המקור

#הוספת כתובות IP של Cloudflare לרשימת ההיתר

כדי להימנע מחסימה לא מכוונת של כתובות IP של Cloudflare, כדאי גם לאפשר את כתובות ה-IP של Cloudflare בשרת האינטרנט של המקור.

אפשר לאפשר את כתובות ה-IP האלה במפורש באמצעות קובץ .htaccess או באמצעות iptables.

הדוגמה הבאה מראה איך אפשר להשתמש בכלל iptables כדי לאפשר טווח כתובות IP של Cloudflare. החלף את $ip למטה באחד מטווחי כתובות ה-IP של Cloudflare. צריך להריץ את הפקודה הזו פעם אחת עבור כל טווח IP שמופיע בדף הזה.

# For IPv4 addresses
iptables -I INPUT -p tcp -m multiport --dports http,https -s $ip -j ACCEPT

# For IPv6 addresses
ip6tables -I INPUT -p tcp -m multiport --dports http,https -s $ip -j ACCEPT

להנחיה מפורטת יותר, פנה לספק האחסון או למנהל האתר.

#חסימת כתובות IP אחרות (מומלץ)

אם מישהו מגלה את כתובת ה-IP של שרת המקור, למשל דרך רשומות DNS היסטוריות או הגדרות שרת דואר, הוא יכול לשלוח תעבורה ישירות לשרת ולעקוף לגמרי את הגנות האבטחה של Cloudflare. כדי למנוע זאת, חסום את כל התעבורה שלא מגיעה מכתובות IP של Cloudflare או מכתובות ה-IP של שותפים, ספקים או יישומים מהימנים.

לדוגמה, אפשר לעדכן את iptables באמצעות הפקודות הבאות:

# For IPv4 addresses
iptables -A INPUT -p tcp -m multiport --dports http,https -j DROP
# For IPv6 addresses
ip6tables -A INPUT -p tcp -m multiport --dports http,https -j DROP

להנחיה מפורטת יותר, פנה לספק האחסון או למנהל האתר.

#סקירת כלים חיצוניים

כדי להימנע מחסימה לא מכוונת של כתובות IP של Cloudflare, בדוק את הכלים החיצוניים וודא ש:

תוספי אבטחה, למשל כאלה ל-WordPress, מאפשרים כתובות IP של Cloudflare.
תוסף ModSecurity מעודכן.

#הגנה נוספת

להמלצות נוספות על אבטחת שרת המקור, עיין במדריך שלנו על הגנה על שרת המקור.

#התאמה אישית של כתובות IP של Cloudflare

לקוחות Enterprise שלא רוצים להשתמש בכתובות IP של Cloudflare, המשותפות לכל שמות המארח שעוברים דרך הפרוקסי, יכולים לבחור בשתי חלופות אפשריות:

Bring Your Own IP (BYOIP): Cloudflare מכריזה על כתובות ה-IP שלך (טווח כתובות IP ששכרת או שבבעלותך) בכל המיקומים שלנו.
כתובות IP סטטיות: Cloudflare מגדירה כתובות IP סטטיות לדומיין שלך. לפרטים נוספים, פנה לצוות החשבון שלך.

לקוחות Business ו-Enterprise יכולים גם לצמצם את מספר כתובות ה-IP של Cloudflare שהדומיין שלהם חולק עם דומיינים של לקוחות Cloudflare אחרים באמצעות העלאת אישור SSL מותאם אישית.

#עדכוני טווחי IP

טווחי ה-IP של Cloudflare לא משתנים לעיתים קרובות. כשהם כן משתנים, הם מתווספים לרשימת טווחי ה-IP שלנו לפני שהם נכנסים לייצור. אפשר גם להשתמש ב-API של Cloudflare כדי לעדכן את ההגדרות באופן תכנותי.

#התנגשות ניתוב ב-AWS VPC עם טווחי IP של Cloudflare

Cloudflare משתמשת ב-172.64.0.0/13 (172.64.0.0-172.71.255.255) כמרחב IP ציבורי ליציאה. הטווח הזה אינו מרחב פרטי לפי RFC 1918. RFC 1918 מכסה את 172.16.0.0/12 (172.16.0.0-172.31.255.255), ואין חפיפה עם 172.64.0.0/13.

טבלאות ניתוב של AWS VPC כוללות לפעמים נתיב שמכסה את 172.16.0.0/12 (או סופרנט רחב יותר כגון 172.16.0.0/8) לקישוריות Transit Gateway או VPN. אם הנתיב הזה מצביע ליעד פנימי ולא ל-Internet Gateway, הוא יכול ללכוד את תעבורת 172.64.x.x של Cloudflare לפני שהיא מגיעה ל-Internet Gateway, ולגרום לשגיאות חיבור (521, 522) ממרכזי הנתונים של Cloudflare שמשתמשים בטווח הזה.

כדי לפתור:

בדוק בטבלת הניתוב של AWS VPC אם יש נתיב שמכסה טווח 172.x.x.x ומנתב ליעד פנימי (Transit Gateway, VPN Gateway, NAT Gateway או חיבור VPC peering).
הוסף נתיב ספציפי יותר עם יעד 172.64.0.0/13 שמצביע ל-Internet Gateway. בניתוב של AWS, נתיבים ספציפיים יותר מקבלים עדיפות.
לחלופין, צמצם את הנתיב הרחב בדיוק ל-172.16.0.0/12 (טווח RFC 1918), שאינו כולל את 172.64.0.0/13.

הבעיה הזו לא מופיעה בביקורות של קבוצות אבטחה, כי קבוצות אבטחה נבדקות ברמת המופע ולא בשכבת הניתוב.