← Cloudflare for Platforms / cloudflare-for-platforms / cloudflare-for-saas / start

Настройка Cloudflare for SaaS

Перед началом работы

Перед тем как начать создавать пользовательские имена хоста:

Add вашу зону в Cloudflare на плане Free.
Включить Cloudflare for SaaS для вашей зоны.
Просмотрите Правила приоритизации имён хостов. Пользовательские имена хостов с wildcard ведут себя иначе, чем при точном совпадении имени хоста.
(необязательно) Ознакомьтесь со следующей документацией:

Документация по API (если вы раньше не работали с Cloudflare API).
Проверка сертификата.

Первоначальная настройка

Когда вы впервые включить Cloudflare for SaaS необходимо выполнить несколько шагов, прежде чем создавать какие-либо пользовательские имена хостов.

1. Создайте резервный исходный сервер

Резервный исходный сервер представляет собой место, куда Cloudflare направляет трафик, отправленный на ваши пользовательские имена хостов (сервер должен быть проксирован).

Создание резервного исходного сервера:

Создание проксированную A, AAAA, или CNAME запись, указывающую на IP-адрес вашего резервного исходного сервера (куда Cloudflare будет направлять трафик пользовательских имён хостов).

Тип	Название	Адрес IPv4	Статус прокси
`A`	`proxy-fallback`	`192.0.2.1`	Proxied

Назначьте эту запись своим резервным исходным сервером.

На панели управления Cloudflare перейдите к разделу Custom Hostnames страницу.
Перейдите в Custom Hostnames ↗
Для Резервный исходный сервер, введите имя хоста для вашего запасного origin-сервера.
Выберите Add Fallback Origin.

Используя имя хоста только что созданной записи, обновить значение резервного исходного сервера.

Как только вы добавите резервный исходный сервер, убедитесь, что его статус Активно.

2. (Необязательно) Создайте цель CNAME

Целевой CNAME (необязательный, но настоятельно рекомендуемый) предоставляет клиентам более удобное и гибкое место, чтобы маршрутизировать свой трафик. Возможно, вы захотите использовать поддомен, например customers.<SAAS_PROVIDER>.com.

Создание проксированную запись CNAME, которая указывает цель вашего CNAME на запасной origin-сервер (может быть доменом с wildcard, например *.customers.saasprovider.com).

Тип	Название	Цель	Статус прокси
`CNAME`	`.customers`	`proxy-fallback.saasprovider.com`	Proxied

Настройка для отдельных имён хостов

Для каждого пользовательского имени хоста нужно выполнить следующие шаги.

1. Спланируйте проверку

Перед созданием имени хоста продумайте следующее:

Проверка сертификата: После успешной проверки сертификаты развёртываются в глобальной сети Cloudflare.
Проверка имени хоста: После успешной проверки Cloudflare проксирует трафик для этого имени хоста.

Чтобы имя хоста работало как ожидается, нужно выполнить оба этих шага.

2. Создайте пользовательское имя хоста

Когда вы спланируете процесс сертификации и проверки имени хоста, можно создавать пользовательское имя хоста.

Создание пользовательского имени хоста:

На панели управления Cloudflare перейдите к разделу Custom Hostnames страницу.
Перейдите в Custom Hostnames ↗
Выберите Add Custom Hostname.
Добавьте имя хоста своего клиента app.customer.com и настройте соответствующие параметры, в том числе:
- Выберите минимальная версия TLS.
- Выберите метод проверки.
- Определение пользовательский исходный сервер.
- Клиенты с тарифом Enterprise также могут выбрать центр сертификации (CA), загрузить пользовательский сертификат, или включите wildcard, что добавляет *.<custom-hostname> SAN к сертификату пользовательского имени хоста. Подробнее см. в Приоритет имени хоста и Планы.
Выберите Add Custom Hostname.

Чтобы создать пользовательское имя хоста с помощью API, используйте Create Custom Hostname конечная точка.
- Только клиенты с планом Enterprise могут использовать certificate_authority параметр для указания CA, custom_certificate/custom_cert_bundle чтобы загрузить собственный сертификат, либо wildcard для создания wildcard сертификата. См. Планы.
- Можно оставить certificate_authority параметр пустым, чтобы задать значение "default CA". При этом варианте Cloudflare перед запросом сертификатов проверяет записи CAA, что помогает убедиться в возможности выпуска сертификатов данным CA.
Для только что созданного пользовательского имени хоста POST ответ может не содержать проверочный токен DCV validation_records. Рекомендуется выполнить второй GET команда (с задержкой) для получения этих сведений.

Ответ содержит полное описание нового пользовательского имени хоста.

Примечание

Для каждого пользовательского имени хоста Cloudflare выпускает два сертификата, объединённых в цепочки, которые обеспечивают максимальную совместимость с браузерами (если только вы загрузить пользовательские сертификаты).

Первичный сертификат использует P-256 ключ, равен SHA-2/ECDSA подписан и будет предоставляться браузерам, которые поддерживают криптографию на эллиптических кривых (ECC). Дополнительный или запасной сертификат использует RSA 2048-bit ключ, равен SHA-2/RSA подписан и будет предоставляться браузерам, которые не поддерживают ECC.

Проверьте, когда пользовательское имя хоста готово

Пользовательское имя хоста использует отдельные процессы проверки для активации имени хоста и выпуска сертификата.

Поле API	Что это значит	Значение Ready
`result.status`	Cloudflare проверил имя хоста и может проксировать для него трафик.	`active`
`result.ssl.status`	Cloudflare выпустил и развернул сертификат для этого имени хоста.	`active`

Пользовательское имя хоста готово к обработке продакшен-трафика, если:

result.status это active.
result.ssl.status это active.
DNS-запись имени хоста указывает на вашу цель SaaS.

Успешное TLS-рукопожатие может произойти до того, как result.ssl.status меняется на active если Cloudflare может предоставить другой подходящий сертификат. Используйте Custom hostname details endpoint как источник достоверных данных о состоянии подключения. Дополнительную информацию см. в Приоритет сертификата и хоста.

3. Попросите клиента создать запись CNAME

Чтобы завершить настройку пользовательского имени хоста, клиенту нужно создать в своём авторитетном DNS запись CNAME, которая указывает на ваш Цель CNAME ¹.

Внимание

Прежде чем клиент направит DNS на вашу SaaS-цель, решите, должна ли проверка имени хоста и сертификата происходить до переключения DNS или после него.

Если вам нужно, чтобы имя хоста было активно ещё до переключения DNS, используйте предварительная проверка имени хоста и подождите, пока Статус имени хоста это Активно. Если вам нужно, чтобы сертификат был активен ещё до переключения DNS, используйте Проверка TXT или Делегированная DCV и подождите, пока Статус сертификата это Активно.

Если вы используете автоматическая проверка сертификата через HTTP или проверка имени хоста в реальном времени, проверка происходит после того, как клиент добавит свою DNS-запись. Из-за этого может возникнуть короткое окно простоя, пока имя хоста активируется или сертификат переходит в Активно.

Запись CNAME вашего клиента может выглядеть следующим образом:

mystore.example.com CNAME customers.saasprovider.com

Эта запись будет направлять трафик следующим образом:

flowchart TD
accTitle: How traffic routing works with a CNAME target
A[Request to <code>mystore.example.com</code>] --> B[<code>customers.saasprovider.com</code>]
B --> C[<code>proxy-fallback.saasprovider.com</code>]

Запросы к mystore.example.com будет перенаправляться на целевой адрес CNAME (customers.saasprovider.com), которая затем будет направлять трафик на ваш резервный исходный сервер (proxy-fallback.saasprovider.com).

Продолжение обслуживания

Если ваш клиент тоже использует Cloudflare для своего домена, ему следует сохранять DNS-запись, указывающую на вашего поставщика SaaS, пока он пользуется вашим сервисом.

Подробнее см. в Удаление пользовательских имён хостов.

Сноски

Если у вас есть regional services настроена для ваших пользовательских хостнеймов, Cloudflare всегда использует регион обработки, связанный с целевой записью DNS (а не регион обработки любого пользовательские origin-серверы).
↩