Cloudflare'in DNS sayfasında her A, AAAA ve CNAME kaydının yanında bir bulut simgesi görürsünüz: turuncu bulut Proxied, gri bulut DNS only demektir. Bu tek tıklık ayar, o kayda gelen trafiğin Cloudflare üzerinden mi geçeceğini yoksa doğrudan sunucunuza mı gideceğini belirler.
Yanlış seçim iki şekilde can yakar: web sitesini gri bırakırsanız Cloudflare'in koruması ve önbelleği devreye girmez ve sunucu IP'niz görünür; mail veya SSH gibi bir servisi turuncu yaparsanız o servis çalışmaz. Bu yazıda hangi kaydın hangi durumda olması gerektiğini Cloudflare belgelerine dayanarak anlatıyoruz.
Proxied ve DNS only ne demek?
| Proxied (turuncu bulut) | DNS only (gri bulut) | |
|---|---|---|
| DNS sorgusuna dönen adres | Cloudflare anycast IP adresi | Sunucunuzun gerçek IP adresi |
| HTTP/HTTPS trafiği | Cloudflare üzerinden geçer | Doğrudan sunucuya gider |
| Önbellek, WAF, DDoS koruması, analitik | Uygulanır | Uygulanmaz |
| Origin IP | Gizli kalır | Kaydı sorgulayan herkes görür |
| TTL | Auto (300 saniye, değiştirilemez) | Sizin belirlediğiniz değer |
Cloudflare belgesine göre Proxied durumda Cloudflare ziyaretçileriniz ile sunucunuz arasına girer; trafiği optimize eder, önbelleğe alır ve korur. DNS only durumda ise Cloudflare yalnızca DNS sağlayıcısı gibi davranır: sorguya sunucunuzun gerçek IP'sini döner ve HTTP/HTTPS trafiği Cloudflare ağından geçmez. Bu nedenle DNS only web trafiği için önbellek, koruma ve HTTP/HTTPS analitiği sağlanamaz. Mantığın tamamı için reverse proxy nedir yazımıza bakabilirsiniz.
Hangi kayıt türleri proxied olabilir?
Yalnızca A, AAAA ve CNAME kayıtları proxied yapılabilir. MX, TXT gibi diğer kayıt türleri belgeye göre her zaman DNS only'dir; onlar için bulut simgesi zaten görünmez. Kayıt türlerinin ne işe yaradığını DNS kayıt türleri yazısında anlattık.
Proxy durumunu değiştirmek için panelde DNS > Records sayfasına gidin, ilgili kaydın yanındaki Edit düğmesine tıklayın, Proxy status anahtarını ayarlayın ve Save deyin.
Cloudflare hangi portları proxy'ler?
Proxied bir kayda gelen trafik, yalnızca Cloudflare'in desteklediği HTTP ve HTTPS portlarından geçer. Cloudflare'in "Network ports" belgesine göre varsayılan olarak proxy'lenen portlar şunlardır:
| Protokol | Portlar |
|---|---|
| HTTP | 80, 8080, 8880, 2052, 2082, 2086, 2095 |
| HTTPS | 443, 2053, 2083, 2087, 2096, 8443 |
Belgeye göre 2052, 2053, 2082, 2083, 2086, 2087, 2095, 2096, 8880 ve 8443 portlarında önbellekleme kapalıdır (Enterprise müşteriler bir Cache Rule ile açabilir). Yani önbellekten tam yararlanmak için sitenizin standart 80 ve 443 portlarında çalışması en iyisidir. Bu listede olmayan bir porta (örneğin 22, 21, 25, 3306 veya 25565) proxied bir ad üzerinden bağlanamazsınız.
Mail, SSH, FTP ve oyun sunucuları neden DNS only olmalı?
Cloudflare'in standart proxy'si bir HTTP/HTTPS proxy'sidir. SMTP, IMAP, POP3, SSH, FTP, veritabanı bağlantıları veya bir oyun sunucusu protokolü HTTP değildir ve yukarıdaki port listesinde de yer almaz. Bu servislere giden bir adı turuncu yaparsanız istemci Cloudflare'in adresine bağlanmaya çalışır ve bağlantı kurulamaz. Belge de e-posta yönlendirmesi ve üçüncü taraf doğrulama kayıtları gibi web trafiği taşımayan kayıtlar için DNS only önerir.
| Kayıt / servis | Önerilen durum | Neden |
|---|---|---|
ornek.com, www (web sitesi) | Proxied | HTTP/HTTPS trafiği, koruma ve önbellek için |
mail.ornek.com (MX hedefi) | DNS only | SMTP/IMAP/POP3 proxy'lenemez |
| MX, TXT (SPF, DKIM, DMARC) | Her zaman DNS only | Bu türler proxy'lenemez |
ftp.ornek.com | DNS only | FTP, HTTP değildir |
| SSH için kullanılan ad | DNS only | Port 22 proxy listesinde yok |
| Oyun sunucusu (örn. Minecraft) | DNS only veya Spectrum | HTTP dışı TCP/UDP trafiği |
| Sahiplik doğrulama CNAME'leri | DNS only | Belgeye göre proxied olmamalı |
Spectrum nedir?
Cloudflare'in HTTP dışı TCP/UDP uygulamaları için sunduğu ürün Spectrum'dur. Belgeye göre Free planda yoktur; Pro ve Business planlarda ücretli eklenti olarak sunulur ve bu planlarda yalnızca sınırlı protokoller desteklenir:
| Free | Pro | Business | Enterprise | |
|---|---|---|---|---|
| Spectrum | Yok | Ücretli eklenti | Ücretli eklenti | Var |
| Minecraft (tek uygulama) | Yok | Var | Var | Var |
| SSH (tek uygulama) | Yok | Var | Var | Var |
| RDP (tek uygulama) | Yok | Yok | Var | Var |
| Genel TCP / UDP | Yok | Yok | Yok | Ücretli eklenti |
Kaynak: Cloudflare Docs: Spectrum protocols per plan. Free plan kullanıyorsanız HTTP dışı servisler için tek seçenek bu adları DNS only bırakmaktır.
Origin IP sızıntısı: gri bulutun gizli riski
Web sitenizi turuncu yapmanız, sunucu IP'nizin gizli kaldığı anlamına gelmez. Cloudflare'in "Exposed IP address" belgesine göre, proxied bir kayıtla aynı sunucuyu gösteren DNS only bir kayıt varsa, o kayda yapılacak basit bir dig sorgusu sunucunuzun gerçek IP adresini ortaya çıkarır. Belge bunun en sık nedenini de belirtir: web sitesi ve e-posta gibi birden fazla servisin aynı fiziksel sunucuda barındırılması.
# Web sitesi proxied: Cloudflare adresi döner
dig +short ornek.com
# Mail kaydı DNS only ve aynı sunucuda: gerçek IP görünür
dig +short mail.ornek.com
dig +short MX ornek.comcPanel gibi paylaşımlı hosting panellerinde mail, ftp, cpanel, webmail gibi kayıtlar çoğunlukla sitenin bulunduğu sunucu IP'sine gider. Cloudflare'e geçerken tarama bu kayıtları içe aktarır ve bunlar DNS only kalır. Saldırgan bu adları sorgulayarak sitenizin gerçek adresini bulabilir ve Cloudflare'i atlayarak doğrudan sunucuya saldırabilir.
Sızıntıyı azaltmak için
- Web trafiği taşıyan her kaydı proxied yapın. Belge, apex alan adıyla aynı origin IP'yi paylaşan ve Cloudflare'den güvenle geçebilecek tüm kayıtların proxied yapılmasını önerir. Örneğin
webmailveya bir web paneli HTTPS ile Cloudflare'in desteklediği portlarda çalışıyorsa proxied olabilir. - Kullanmadığınız kayıtları silin. İhtiyacınız olmayan
ftpveya eski alt alan adı kayıtları yalnızca IP sızdırır. - E-postayı ayrı bir altyapıda tutun. Mail kaydı web sunucunuzdan farklı bir IP'yi (ayrı bir mail sunucusu veya harici e-posta hizmeti) gösterirse, DNS only kalsa bile sitenizin IP'sini açığa çıkarmaz. Belge, aynı sunucuda kalmak zorundaysanız riski değerlendirmenizi söyler; saldırganlar origin'i yine bulabilir, sadece daha zor olur.
- Sunucuda HTTP/HTTPS erişimini Cloudflare IP'leriyle sınırlayın. Güvenlik duvarında 80 ve 443 portlarını yalnızca www.cloudflare.com/ips sayfasındaki aralıklara açmak, IP bilinse bile doğrudan web erişimini engeller. Aralıklar değiştiği için listeyi elle kopyalamak yerine düzenli güncelleyin. Gerçek ziyaretçi IP'sini loglarda görmek için bu rehbere bakın.
Proxied kayıtlarda TTL: neden hep Auto?
Belgeye göre tüm proxied kayıtların TTL değeri varsayılan olarak Auto'dur ve bu 300 saniyeye karşılık gelir; proxied kayıtlarda bu değeri düzenleyemezsiniz. Cloudflare, nadiren de olsa bu değeri değiştirme hakkını saklı tutar. DNS only kayıtlarda ise TTL'i kendiniz seçebilirsiniz. Proxied kayıtta sunucu IP'nizi değiştirdiğinizde ziyaretçiler zaten Cloudflare adresine gittiği için değişiklik Cloudflare tarafında uygulanır; TTL ve yayılma mantığı için DNS yayılma süresi ve TTL yazımıza bakın.
CNAME flattening kısaca
DNS standardı gereği kök alan adında (@) normalde CNAME kullanılamaz. Cloudflare'in CNAME flattening özelliği CNAME zincirini çözer ve sorguya CNAME yerine doğrudan IP adresi döner. Belgeye göre kök alan adında CNAME kullandığınızda bu, tüm planlarda varsayılan olarak yapılır. Proxied kayıtlar da Cloudflare anycast IP'leri döndürdüğü için varsayılan olarak düzleştirilir. Tüm CNAME kayıtlarını düzleştirme seçeneği ise yalnızca ücretli planlarda bulunur.
Sorun giderme
| Belirti | Olası neden | Ne yapmalı |
|---|---|---|
| E-posta gelmiyor/gitmiyor | mail kaydı proxied veya MX/TXT kaydı eksik | Mail adını DNS only yapın, MX ve SPF/DKIM kayıtlarını kontrol edin |
| SSH veya FTP bağlanmıyor | Bağlandığınız ad proxied | Ayrı bir DNS only ad kullanın veya doğrudan IP ile bağlanın |
| Site açılıyor ama önbellek/WAF çalışmıyor | Kayıt DNS only | Web kaydını Proxied yapın |
| Özel portta çalışan uygulama açılmıyor | Port, Cloudflare'in proxy listesinde değil | Desteklenen bir porta taşıyın veya DNS only kullanın |
| Proxied sitede 52x hatası | Cloudflare origin'e ulaşamıyor veya zaman aşımı | Cloudflare 5xx hataları rehberi |
Bağlantı hatalarının genel analizi için ERR_CONNECTION_REFUSED ve TIMED_OUT çözümü yazısı da işinize yarayabilir.
Sık Sorulan Sorular
Tüm kayıtları turuncu yaparsam daha güvenli olmaz mı?
Hayır. Proxy yalnızca HTTP/HTTPS trafiğini taşır. Mail, SSH, FTP veya oyun sunucusu gibi servisleri turuncu yaparsanız bu servisler çalışmaz. Doğru yaklaşım web trafiği taşıyan kayıtları proxied, diğerlerini DNS only yapmaktır.
Turuncu bulutu kapatırsam site kapanır mı?
Hayır, site çalışmaya devam eder; ancak DNS only olduğunda Cloudflare'in önbelleği, WAF'ı ve DDoS koruması devre dışı kalır ve sunucunuzun gerçek IP adresi görünür. Sorun giderme için geçici olarak kapatabilirsiniz, sonra yeniden açmayı unutmayın.
MX kaydında neden bulut simgesi yok?
Çünkü yalnızca A, AAAA ve CNAME kayıtları proxied olabilir. MX ve TXT kayıtları her zaman DNS only çalışır. Dikkat etmeniz gereken, MX kaydının işaret ettiği A kaydının (örneğin mail.ornek.com) DNS only olmasıdır.
Minecraft sunucumu Cloudflare arkasına alabilir miyim?
Free planda alamazsınız; oyun sunucusu adı DNS only kalmalıdır. Belgeye göre Spectrum Pro ve Business planlarda ücretli eklenti olarak sunulur ve tek bir Minecraft uygulamasını destekler.
Proxied kaydın TTL değerini değiştirebilir miyim?
Hayır. Proxied kayıtların TTL'i Auto (300 saniye) olarak sabittir. TTL'i kendiniz belirlemek istiyorsanız kaydın DNS only olması gerekir.
Cloudflare ve adı geçen diğer hizmet adları sahiplerine aittir. Bu yazı bağımsız bir teknik rehberdir; Cloudflare ile ortaklık veya bayilik ilişkisi bulunduğu anlamına gelmez.
İlgili içerikler: Cloudflare nasıl kurulur · Gerçek ziyaretçi IP adresi · DNS kayıt türleri · Reverse proxy nedir · DDoS koruma rehberi · Cloudflare WAF rehberi