Cloudflare proxy: arancione vs grigio
Quando si gestiscono i DNS tramite Cloudflare (integrato nel Pannello Manager G Tech Group), accanto a ogni record DNS appare un'icona a forma di nuvola che può essere arancione (proxy attivo) o grigia (DNS only). La scelta tra le due modalità ha implicazioni profonde su performance, sicurezza e funzionamento.
Cosa significa l'icona arancione
L'icona arancione (proxy attivo) significa che Cloudflare agisce come intermediario tra l'utente e il tuo server di origine. Quando un'utente visita esempio.it, la richiesta arriva ai server Cloudflare globali, viene processata (caching, security, ottimizzazioni) e solo poi inoltrata al tuo server. L'IP del tuo server resta nascosto: l'utente vede solo IP Cloudflare.
Cosa significa l'icona grigia
L'icona grigia (DNS only) significa che Cloudflare gestisce solo la risoluzione DNS, senza proxy. Quando l'utente visita esempio.it, ottiene direttamente l'IP del tuo server di origine e si connette ad esso. Cloudflare in questo caso è solo un nameserver: rapido, affidabile, ma senza i benefici di sicurezza e performance del proxy.
Vantaggi del proxy arancione
- Protezione DDoS: Cloudflare assorbe attacchi prima che raggiungano il tuo server.
- WAF (Web Application Firewall): blocca attacchi noti (SQL injection, XSS, ecc.).
- CDN e caching: contenuti statici serviti dalla edge più vicina all'utente.
- SSL universale: HTTPS automatico anche se il tuo server è HTTP.
- Bot protection: filtra traffico automatizzato malevolo.
- IP origine nascosto: difficile per attaccanti colpire direttamente il server.
- Analytics: statistiche di traffico dettagliate.
Quando usare il proxy grigio
Casi dove il proxy NON va attivato:
- Record MX: i mail server non funzionano con proxy. Lasciali sempre grigi.
- Record SRV: protocolli specifici (SIP, Jabber, ecc.) che non passano per HTTP.
- Record TXT: solo metadata, non richiede proxy.
- Servizi non HTTP: FTP, SSH, RDP, database. Cloudflare proxia solo HTTP/HTTPS.
- Sottodomini per IP diretti: es. server.esempio.it per accesso SSH, non proxyare.
- Verifiche DNS: alcuni servizi richiedono di vedere l'IP origine reale.
Procedura passo-passo
- Accedi al Pannello Manager e seleziona il dominio Cloudflare-managed.
- Vai su "Record DNS".
- Trova il record da modificare.
- Clicca sull'icona della nuvola accanto al record.
- Cambia da arancione a grigia (o viceversa).
- Salva le modifiche.
- L'effetto è quasi immediato (cache Cloudflare 30-60 secondi).
Performance: cosa cambia
Con proxy arancione: prima visita leggermente più lenta (handshake con Cloudflare), visite successive molto più veloci (cache CDN). Con proxy grigio: connessione diretta al server di origine, performance dipende esclusivamente da esso. Per siti pubblici con molti utenti, il proxy arancione è quasi sempre vantaggioso.
Errori comuni e come risolverli
- Email non funziona con MX arancione: i mail server non sono HTTP. Cambia MX in grigio sempre.
- Errore SSL con proxy arancione: il certificato Cloudflare non corrisponde a quello del server origine. Usa modalità "Full" o "Full Strict" in Cloudflare SSL.
- WebSocket non funziona: alcune funzionalità WebSocket richiedono configurazione specifica in Cloudflare.
- IP origine esposto in alcuni casi: subdomini con proxy grigio rivelano l'IP. Mantieni proxy attivo su tutti i sottodomini pubblici.
- Geolocalizzazione errata: il server vede solo IP Cloudflare. Usa header CF-Connecting-IP per ottenere l'IP utente reale.
Domande frequenti
D: Il proxy arancione è gratuito?
R: La maggior parte delle funzioni sì, sul piano free Cloudflare. Funzioni avanzate (Argo, Workers) richiedono piano a pagamento.
D: Il proxy rallenta il sito?
R: Quasi mai. Spesso lo velocizza grazie alla CDN globale e all'ottimizzazione automatica.
D: Posso avere proxy attivo per alcuni record e non altri?
R: Sì, è la norma: tipicamente attivo per A/AAAA del sito web, grigio per MX e servizi non HTTP.
D: Il proxy nasconde davvero l'IP del server?
R: Sì, ma se l'IP era stato pubblicato in passato, potrebbe essere ancora trovato tramite ricerche storiche o altri record DNS attivi.
Hai bisogno di aiuto?
Se hai dubbi sul Pannello Manager G Tech Group, contattaci tramite il modulo di contatto.