【实操与避坑】Cloudflare 免费版核心功能完全手册：额度底线、应用实战与实事求是测评

# 【实操与避坑】Cloudflare 免费版核心功能完全手册：额度底线、应用实战与实事求是测评

> **前言导读**：市面上充斥着大量将 Cloudflare（下文简称 CF）过分神话的言论，诸如“零成本无限建站”、“彻底告别服务器”、“网速飞快”等。
> 本篇文档力求**实事求是、不吹不黑**，从实际工程与个人站长视角出发，深度拆解免费版（Free Plan）的**每一项核心功能、确切数据指标、实操落地步骤与客观存在的物理硬伤**，配以清晰拓扑流程图与对照表，方便随查随用。

---

## 目录索引
1. [Cloudflare 免费版技术拓扑架构](#1-cloudflare-免费版技术拓扑架构)
2. [DNS 与基础网络加速：实打实的优势与国内现状](#2-dns-与基础网络加速实打实的优势与国内现状)
3. [DDoS 防护与 WAF 安全防线：真能防住大攻击吗？](#3-ddos-防护与-waf-安全防线真能防住大攻击吗)
4. [边缘计算与全栈部署：Workers 与 Pages 深度实操](#4-边缘计算与全栈部署workers-与-pages-深度实操)
5. [免费存储三剑客：KV、D1 与零出网费的 R2](#5-免费存储三剑客kv-d1-与零出网费的-r2)
6. [Zero Trust 零信任：无需公网 IP 的内网穿透（Tunnel）](#6-zero-trust-零信任无需公网-ip-的内网穿透tunnel)
7. [客观测评：免费版的六大硬伤与避坑指南](#7-客观测评免费版的六大硬伤与避坑指南)

---

## 1. Cloudflare 免费版技术拓扑架构

通过一张端到端架构图，直观展现免费版在整个网络链路中的位置与作用：

```text
                                  【 客户端发起请求 】
                                           │
                                           ▼
                      ┌────────────────────────────────────────┐
                      │    Cloudflare Anycast 全球边缘网络     │
                      │ ────────────────────────────────────── │
                      │  ① 权威 DNS 解析 (毫秒级响应 / CNAME 扁平化)   │
                      │  ② 免费 L3/L4/L7 DDoS 流量清洗与过滤   │
                      │  ③ 免费 WAF (5 条自定义安全拦截规则)   │
                      │  ④ 免费 Universal SSL (全自动握手加密) │
                      └──────────────────┬─────────────────────┘
                                         │
                   ┌─────────────────────┴─────────────────────┐
                   │                                           │
        【 静态 / 边缘 Serverless 算力 】               【 传统源站服务器回源 】
                   │                                           │
       ┌───────────┴───────────┐                   ┌───────────┴───────────┐
       │ • Pages (无限制流量)   │                   │ • 隐藏源站真实 IP      │
       │ • Workers (10万次/天) │                   │ • 静态资源缓存加速    │
       │ • KV/D1/R2 (免费存储)  │                   │ • HTTP/2, HTTP/3 赋能 │
       └───────────────────────┘                   └───────────────────────┘
```

---

## 2. DNS 与基础网络加速：实打实的优势与国内现状

### (1) 权威 DNS 解析（业界顶尖水平）
- **功能特性**：
  - 支持几乎全部主流解析记录（A、AAAA、CNAME、TXT、MX、SRV、CAA、NS 等）。
  - **CNAME Flattening（扁平化）**：传统 DNS 规范中根域名（`example.com`）不允许使用 CNAME，CF 自研技术在 DNS 层面自动将 CNAME 查询解析为 A 记录返回，解决了根域名无法直接绑定 CDN 或 GitHub Pages 的行业历史痛点。
  - **全球多节点同步**：基于 Anycast 技术，修改 DNS 记录后全球刷新时间通常在 **5 秒至 1 分钟** 之间。
- **实事求是评价**：无论是否开启 CDN，**仅将 CF 作为单纯的 DNS 解析商也是绝对的第一梯队选择**，完全免费且稳定性极高。

### (2) 免费 CDN 缓存（动静分离与源站防护）
- **功能特性**：
  - 开启“**橙色小云朵 (Proxied)**”后，默认自动对 `.png`、`.jpg`、`.css`、`.js`、`.ico` 等标准静态文件进行边缘缓存。
  - 源站服务器真实公网 IP 完全被 CF 节点隐藏，网络探测工具只能扫描到 CF 的 Anycast 节点。
- **实事求是评价**：
  - **海外访客访问**：速度极快，全球平均延迟在 20ms~50ms。
  - **中国大陆直连访问**：由于国内网络环境和三大运营商路由策略，免费版普通节点通常经由美国圣何塞、洛杉矶或德国法兰克福路由回源。**晚高峰时期国内直连延迟可达 180ms~300ms，偶有丢包**。如果是针对国内极速响应的商业网站，建议配合优选 IP、国内备案 CDN 或双线 DNS 分流。

### (3) Universal 免费 SSL 证书
- **功能特性**：
  - 自动为根域名及一级二级子域名生成免费证书（基于 Let's Encrypt / Google Trust），支持全自动续期。
  - **4 种 SSL 加密模式图解**：
    - `Off`：完全不加密。
    - `Flexible`：浏览器到 CF 加密，CF 到源站走明文 HTTP（适合源站没装证书的场景，但不安全且容易出现重定向循环）。
    - `Full`：全程加密，允许源站使用自签名证书。
    - `Full (Strict)`（**最推荐**）：全程高强度加密，源站必须拥有合规有效证书。

---

## 3. DDoS 防护与 WAF 安全防线：真能防住大攻击吗？

![安全事件分析与防御](https://dash.cloudflare.com/assets/images/analytics/web-traffic.svg)

### (1) 无计量的 DDoS 攻击吸收能力（名副其实）
- **实事求是事实**：
  - 很多云厂商的防 DDoS 策略是“超出防护阈值直接黑洞封 IP（拔网线）”，或者次月寄出天价账单。
  - **Cloudflare 免费版拥有真正无计量的 DDoS 防护能力**。无论是几万 QPS 的 HTTP 泛洪攻击，还是上百 Gbps 的流量冲击，流量进入其全球分布式机房时会被直接清洗过滤，**绝对不会因为遭遇大流量攻击向免费用户收费，也不会强行销户**。
- **实操功能：Under Attack 模式**：
  - 在控制台首页可随时一键开启该模式。开启后，所有进入网站的未知访问均会强制经过一段 JavaScript 浏览器环境校验（无感或展示 5 秒盾），直接阻断 99% 的普通脚本黑客攻击。

### (2) 免费 WAF（Web 应用程序防火墙）
- **免费配额**：每个托管域名可免费配置 **5 条自定义安全规则**。
- **高频经典实操规则**：
  1. **后台目录防护**：
     - 条件：`URI 路径 包含 /wp-admin 或 /admin` 并且 `IP 地址 不等于 你的常用公网IP`
     - 动作：直接阻止（Block）或交互式质询（Managed Challenge）。
  2. **屏蔽指定恶意地区**：
     - 条件：`国家/地区 等于 某些恶意爬虫频发的地区`
     - 动作：执行 JS 质询。

---

## 4. 边缘计算与全栈部署：Workers 与 Pages 深度实操

```text
                  【 边缘部署两大主力对比 】
┌───────────────────────────┬───────────────────────────┐
│     Cloudflare Pages      │    Cloudflare Workers     │
├───────────────────────────┼───────────────────────────┤
│ • 适用：前端静态与全栈 SSR │ • 适用：API 接口、网络中转 │
│ • 流量：无限制 (不计费)   │ • 额度：100,000 次请求/天 │
│ • 构建：每月 500 次自动化 │ • CPU：10ms 净计算时间    │
│ • 特点：深度集成 Git 工作流│ • 特点：轻量边缘事件驱动   │
└───────────────────────────┴───────────────────────────┘
```

### (1) Cloudflare Pages（静态与轻量全栈神器）
- **免费额度**：
  - **请求次数完全免费，下行出网流量完全免费（真正的不限流量）**。
  - 每月提供 **500 次自动构建**（与 GitHub / GitLab 联动，代码推送即自动构建并发布）。
- **实战应用**：
  - 个人独立博客（Hugo、Hexo、VuePress、Astro）。
  - 前端单页应用（React、Vue 3、Vite 构建产物）。
  - 支持绑定自定义域名，自动配置 CNAME 映射与 SSL 证书。

### (2) Cloudflare Workers（边缘微服务）
- **免费额度**：
  - **每天 100,000 次免费请求**（每天 UTC 时间 0:00 自动重置）。
  - **10ms CPU 运行时间**（注意：这 10ms 是纯代码执行消耗的时间，等待上游服务器网络响应的 I/O 等待时间**不计入**该耗时）。
- **实战应用**：
  - 开发轻量 API 中转与 CORS 跨域请求头自动补全。
  - 动态重定向与短链接系统。
  - 边缘反代与轻量数据过滤。

---

## 5. 免费存储三剑客：KV、D1 与零出网费的 R2

这是近两年 Cloudflare 杀入云计算基础设施最受关注的王牌组件：

### 为什么 R2 被称为个人图床终极方案？
传统的云存储服务商（AWS S3、阿里云 OSS、腾讯云 COS）其主要成本往往不是“存储费”，而是**“数据传出流量费”**（通常 0.5元 ~ 1元 / GB）。当你的博客或网站图片被盗链或流量激增时，会产生不可预估的账单。
**Cloudflare R2 无论你消耗多少下行带宽，出站流量费永远为 0 元**，搭配 10GB 免费空间，是搭建个人图床与静态资源下载站的首选。

---

## 6. Zero Trust 零信任：无需公网 IP 的内网穿透（Tunnel）

很多个人玩家和企业由于没有公网 IPv4 地址，通常依赖 Frp、Ngrok 等第三方工具，不仅需要一台带宽昂贵的云服务器作为中转跳板，配置还极其繁琐。

```text
[ 家庭局域网环境 (无公网IP) ]                   [ 互联网公网 ]
  ┌──────────────────────┐                         │
  │ • NAS (群晖/TrueNAS) │                         │
  │ • 本地开发环境 :3000 │                         │
  │ • 内网 Linux 服务器  │                         ▼
  │          │           │               [ 访客正常浏览器访问 ]
  │          ▼           │                         │
  │ [ cloudflared 守护进程 ] ─────────────> [ Cloudflare 边缘节点 ]
  └──────────────────────┘     (主动建立隧道)      (映射到 nas.yourdomain.com)
```

- **真实功能与体验**：
  - **彻底告别公网 IP**：无需在家庭光猫或路由器上做端口转发（NAT），无需配置复杂 DDNS。
  - **一条命令启动**：在内网机器（Windows / Linux / Docker / 树莓派）上运行官方轻量守护进程 `cloudflared`，即可将内网端口（例如本地 `127.0.0.1:8080`）安全绑定至你的域名。
  - **前置安全身份网关（Access）**：免费版提供最多 **50 个席位**。你可以给穿透出去的后台加上“访问拦截窗”，访客必须通过 GitHub 授权或邮箱验证码二次校验后才能触达内网，大幅提升内网暴露到公网时的安全性。

---

## 7. 客观测评：免费版的六大硬伤与避坑指南

为了贯彻**实事求是**，使用 Cloudflare 免费版必须正视以下客观限制：

1. **国内直连网络延迟波动（物理硬伤）**：
   - 免费版节点的 Anycast 并不包含国内大陆优化机房（如中国电信 CN2 / 中国联通 9929）。国内访问走普通国际出口，晚高峰丢包与延迟高于国内备案 CDN。
2. **单次上传请求体大小限制（100 MB）**：
   - 只要开启了“橙色小云朵”代理，通过 HTTP/HTTPS POST 或 PUT 单次上传的文件**最大不得超过 100 MB**（超出直接返回 `413 Request Entity Too Large`）。
   - *破解方案*：超大文件上传通过单独二级域名直连源站（灰色小云朵），或通过 R2 预签名 URL 客户端直接分片上传。
3. **WebSocket 空闲保持时长（约 100 秒）**：
   - 免费代理支持 WebSocket，但如果在 **100 秒** 内没有任何数据流动，连接将被 CF 边缘节点强制切断。
   - *应对方案*：业务客户端必须实现每 30~60 秒一次的心跳包（Ping/Pong 保活机制）。
4. **自定义规则数量有限**：
   - 免费版仅包含 5 条自定义 WAF 规则、3 条页面规则（Page Rules）以及基础级缓存规则，无法满足极其复杂的多租户灰度分流需求。
5. **客服支持仅限社区论坛与邮件工单**：
   - 免费版不具备电话支持或实时在线 IM 客服，遇到异常故障只能依赖官方社区、论坛交流或提交普通工单等待排期答复。
6. **合规与国内域名解析**：
   - 使用 Cloudflare 代理节点（小云朵）必须将 Nameserver 整体托管给 CF，不支持在其他国内域名商后台仅设置单条 CNAME 接入（CNAME 接入仅限企业版 Enterprise）。

---
*本文内容基于 Cloudflare 官方最新产品体系及生产环境实测结果整理，旨在提供客观、公正的技术参考。*