Cloudflare Flexible vs Full SSL: в чем разница и что выбрать

Введение

Cloudflare предлагает несколько режимов SSL/TLS для шифрования трафика между посетителем, сетью Cloudflare и вашим сервером. Выбор неправильного режима может привести к уязвимостям или ошибкам. В этой статье мы сравним Flexible, Full и Full (Strict), объясним, когда какой использовать, и дадим пошаговые инструкции по настройке.

Требования

• Домен, добавленный в Cloudflare (NS-серверы изменены).

• Доступ к панели управления Cloudflare.

• Установленный SSL-сертификат на вашем сервере (для режимов Full и Full Strict).

• Базовые знания о работе HTTPS.

Что такое режимы SSL/TLS в Cloudflare

Cloudflare работает как обратный прокси: трафик идет от пользователя к Cloudflare, затем к вашему серверу. Режим SSL определяет, как шифруется каждый участок:

• Flexible: между пользователем и Cloudflare — HTTPS, между Cloudflare и сервером — HTTP (без шифрования).

• Full: HTTPS на обоих участках, но сертификат на сервере может быть самоподписанным или просроченным.

• Full (Strict): HTTPS на обоих участках, сертификат на сервере должен быть действительным и подписан доверенным центром (или Cloudflare Origin CA).

Режим Flexible: что это и когда использовать

Flexible шифрует только трафик между посетителем и Cloudflare. Соединение от Cloudflare до вашего сервера остается открытым (HTTP). Это может быть удобно, если на сервере нет SSL-сертификата, но создает риск перехвата данных на участке между Cloudflare и сервером.

Плюсы:

• Простота настройки: не нужен сертификат на сервере.

• Подходит для временного решения или тестирования.

Минусы:

• Данные передаются в открытом виде внутри сети Cloudflare и до сервера.

• Возможны ошибки перенаправления (redirect loop), если сервер перенаправляет HTTP на HTTPS.

• Не соответствует требованиям PCI DSS и другим стандартам безопасности.

Когда использовать: крайне редко, только если нет возможности установить сертификат на сервер. Не рекомендуется для продакшена.

Режим Full: особенности и риски

Full шифрует трафик на обоих участках, но не проверяет валидность сертификата на сервере. Это позволяет использовать самоподписанные сертификаты, но делает соединение уязвимым к атакам «человек посередине» (MITM), если злоумышленник получит доступ к внутренней сети.

Плюсы:

• Шифрование на всех участках.

• Можно использовать самоподписанный сертификат.

Минусы:

• Нет проверки подлинности сервера, поэтому возможна подмена.

• Не соответствует строгим стандартам безопасности.

Когда использовать: если у вас есть самоподписанный сертификат и нет возможности получить доверенный, но при этом вы контролируете внутреннюю сеть.

Режим Full (Strict): максимальная безопасность

Full (Strict) требует, чтобы сертификат на сервере был действительным и подписан доверенным центром сертификации (или Cloudflare Origin CA). Cloudflare проверяет сертификат при каждом запросе. Это наиболее безопасный режим.

Плюсы:

• Полное шифрование с проверкой подлинности сервера.

• Защита от MITM-атак.

• Соответствует стандартам безопасности (PCI DSS, HIPAA и др.).

Минусы:

• Требуется валидный сертификат на сервере (можно использовать бесплатный Let's Encrypt или Cloudflare Origin CA).

• Необходимо следить за сроками действия сертификата.

Когда использовать: всегда, когда возможно. Это рекомендуемый режим для продакшена.

Сравнительная таблица режимов

Пошаговая настройка режима SSL в Cloudflare

1. Войдите в панель управления Cloudflare. 2. Выберите нужный домен. 3. Перейдите в раздел SSL/TLS → Overview. 4. Выберите режим: Flexible, Full или Full (Strict). 5. Нажмите Save.

Настройка Full (Strict) с Cloudflare Origin CA

1. В разделе SSL/TLS → Origin Server нажмите Create Certificate. 2. Оставьте настройки по умолчанию (или выберите срок действия) и нажмите Create. 3. Скопируйте сертификат и приватный ключ. 4. Установите сертификат на сервере (инструкция зависит от веб-сервера). 5. Убедитесь, что сервер отдает HTTPS. 6. В Cloudflare выберите режим Full (Strict).

Настройка Full (Strict) с Let's Encrypt

1. Установите Certbot или другой клиент Let's Encrypt на сервере. 2. Получите сертификат для вашего домена. 3. Настройте веб-сервер на использование сертификата. 4. В Cloudflare выберите Full (Strict).

Типичные ошибки и как их избежать

• Redirect loop (ERR_TOO_MANY_REDIRECTS): возникает, если на сервере настроено перенаправление с HTTP на HTTPS, а в Cloudflare выбран Flexible. Решение: переключитесь на Full или Full (Strict) или отключите перенаправление на сервере.

• Ошибка 526 (Invalid SSL certificate): появляется в режиме Full (Strict), если сертификат на сервере недействителен или самоподписан. Решение: установите валидный сертификат (например, от Let's Encrypt или Cloudflare Origin CA).

• Ошибка 525 (SSL handshake failed): возникает, если сервер не поддерживает SSL или порт 443 закрыт. Проверьте настройки сервера.

• Смешанный контент: если на сайте есть ресурсы по HTTP, браузер может блокировать их. Включите Automatic HTTPS Rewrites в Cloudflare.

• Использование Flexible для продакшена: это снижает безопасность. Рекомендуется перейти на Full (Strict).

FAQ

Вопрос: Можно ли использовать Flexible, если на сервере нет SSL? Да, но это небезопасно. Лучше установить бесплатный сертификат Let's Encrypt и перейти на Full (Strict).

Вопрос: В чем разница между Full и Full (Strict)? Full не проверяет сертификат сервера, Full (Strict) проверяет. Full (Strict) безопаснее.

Вопрос: Какой режим выбрать для интернет-магазина? Только Full (Strict), чтобы соответствовать PCI DSS и защитить данные клиентов.

Вопрос: Что делать, если после смены режима сайт перестал открываться? Проверьте логи сервера и убедитесь, что сертификат действителен. Временно можно вернуть предыдущий режим.

Вопрос: Нужен ли платный сертификат для Full (Strict)? Нет, можно использовать бесплатный Let's Encrypt или Cloudflare Origin CA.

Итог

Режим Full (Strict) — лучший выбор для большинства сайтов: он обеспечивает полное шифрование и проверку подлинности сервера. Flexible допустим только как временное решение при отсутствии сертификата на сервере, но несет риски. Full подходит для самоподписанных сертификатов в контролируемой среде. Настройте правильный режим и следите за сроками действия сертификатов, чтобы избежать простоев.