Spectrum Cloudflare: TCP/UDP non-HTTP attraverso la rete edge

Cloudflare Spectrum estende la protezione e il reverse proxy Cloudflare a qualsiasi protocollo TCP o UDP, non solo HTTP/HTTPS. È pensato per esporre in sicurezza servizi come SSH, MQTT, IRC, Minecraft, RDP, FTP, protocolli custom IoT mantenendo i benefici della rete edge: protezione DDoS, accelerazione globale, IP nascondimento. Disponibile dai piani Pro (limitato a SSH, Minecraft) ed Enterprise (qualsiasi porta), è la soluzione per chi va oltre il classico sito web.

Cosa permette Spectrum

Spectrum agisce come Layer 4 (TCP/UDP) reverse proxy. Il client si connette a Cloudflare su una porta specifica del tuo dominio (es. tuosito.it:22 per SSH); Cloudflare termina la connessione TCP all'edge, autentica e ispeziona (limited), poi proxa il traffico verso il tuo server origine. L'IP origine resta nascosto come per il traffico HTTP. La protezione DDoS automatica si applica anche ai protocolli non-HTTP.

Procedura passo-passo

1. Verifica il piano: Spectrum SSH e Minecraft inclusi in Pro, altri protocolli Enterprise.
2. Vai sul dashboard Cloudflare → Spectrum.
3. Clicca Create Application.
4. Scegli tipo di applicazione: SSH, Minecraft, generic TCP, generic UDP.
5. Configura hostname (es. ssh.tuosito.it) e porta edge (es. 22).
6. Inserisci IP/hostname origine e porta origine.
7. Configura proxy protocol se l'origine deve sapere IP client (HAProxy v1/v2).
8. Salva: Cloudflare apre la porta sull'edge globale.
9. Testa con ssh user@ssh.tuosito.it.
10. Verifica logs su origine per confermare connessione.

Casi d'uso pratici

SSH protetto: nascondere IP server SSH e aggiungere protezione DDoS. Minecraft server: anti-DDoS gaming è critico contro raid. MQTT/IoT: brokers IoT esposti via Spectrum su porta 1883 con protezione. FTP/SFTP: servizi file transfer aziendali. RDP: accesso remoto Windows (anche se Cloudflare Tunnel è preferibile). Game server: protocolli UDP custom per giochi multiplayer.

Spectrum vs Cloudflare Tunnel

Spectrum richiede che la porta sia esposta pubblicamente sull'origine (anche se solo verso IP Cloudflare). Cloudflare Tunnel non richiede nessuna porta aperta: il client cloudflared inizia connessione outbound. Per molti scenari Tunnel è preferibile (più sicuro). Spectrum è obbligatorio quando: 1) non puoi installare cloudflared sull'origine, 2) serve UDP (Tunnel non supporta UDP arbitrario), 3) serve TCP gateway pubblico per client che non possono integrare Tunnel.

DDoS protection per non-HTTP

Spectrum eredita la mitigazione DDoS Layer 3/4 di Cloudflare: SYN flood, UDP flood, amplification attack, reflection attack. La rete Cloudflare ha capacità di assorbimento di multi-Tbps. Anche piccoli server hostati su VPS economici possono sopravvivere ad attacchi devastanti grazie a Spectrum. È particolarmente prezioso per game server, target frequente di attacchi DDoS competitivi.

Errori comuni e come risolverli

• Connection timeout: l'origine non è raggiungibile da IP Cloudflare. Verifica firewall e whitelist range IP Cloudflare.
• Origine vede sempre IP Cloudflare: attiva Proxy Protocol v2 e configura applicazione per parsing.
• Errore con piano Pro: solo SSH e Minecraft. Altri protocolli richiedono Enterprise.
• Performance peggiorate: Spectrum aggiunge ~10ms di latenza. Inevitabile per il passaggio attraverso edge.
• Cifratura client-edge non garantita: SSH/TLS/etc gestiti applicativamente. Cloudflare passa byte trasparentemente.

Pricing

SSH e Minecraft sono inclusi su Pro (25 dollari/mese) e Business. Spectrum generic TCP/UDP richiede Enterprise con pricing custom (tipicamente migliaia di dollari/mese). Per uso casual di SSH protetto considera Cloudflare Tunnel + Access che è gratuito. Spectrum brilla per scenari business specifici (gaming, IoT massive scale) dove la latenza e la protezione DDoS giustificano l'investment.

Domande frequenti

D: Spectrum supporta WebSocket?
R: Sì, ma WebSocket è già supportato nativamente dal proxy HTTP standard Cloudflare.

D: IPv6 supportato?
R: Sì, Spectrum funziona su entrambi gli stack.

D: Posso usare TLS custom su Spectrum?
R: Sì, il traffico TLS è opaco a Cloudflare. Solo Layer 4 protezione.

D: Spectrum sostituisce un load balancer?
R: Per scenari semplici sì. Per LB complesso considera Cloudflare Load Balancer dedicato.

Considerazioni operative finali

Quando applichi una configurazione di questo tipo in produzione è sempre buona norma seguire un'approccio incrementale: parti con un test su staging, monitora gli effetti per qualche giorno, poi estendi gradualmente al traffico live. La rete Cloudflare elabora ogni cambiamento in pochi secondi a livello globale, quindi le modifiche sono effettive quasi immediatamente, ma gli effetti collaterali su utenti reali possono richiedere ore o giorni per emergere. Annota nel runbook interno data, motivo e parametri di ogni modifica significativa. Una documentazione precisa accelera enormemente il troubleshooting futuro e facilita il passaggio di consegne tra membri del team.

Vale anche la pena ricordare che Cloudflare aggiorna frequentemente l'interfaccia del dashboard e le posizioni delle voci di menu. La logica e le funzionalità descritte in questa guida restano valide, ma il percorso esatto per raggiungere ogni opzione può variare leggermente nel tempo. In caso di difficoltà a trovare una specifica voce, utilizza la barra di ricerca interna del dashboard oppure consulta la documentazione ufficiale aggiornata. La community Cloudflare sul forum ufficiale e su Stack Overflow è inoltre molto attiva e offre spesso risposte rapide a problemi specifici di configurazione.

Per progetti complessi che coinvolgono più servizi Cloudflare contemporaneamente (CDN, Workers, WAF, Access, R2) conviene strutturare la configurazione come codice tramite Terraform o Pulumi. Questo permette versioning, code review, rollback atomici e deploy ripetibili tra environment. Per team con esigenze più semplici la gestione manuale via dashboard resta perfettamente valida, soprattutto se accompagnata da una checklist scritta delle impostazioni applicate. La scelta dell'approccio dipende dalle dimensioni del progetto e dal grado di automazione desiderato. L'importante è essere consistenti e mantenere tracciabilità delle modifiche effettuate.

Hai bisogno di aiuto?

Se vuoi configurare Cloudflare per il tuo sito con il team di G Tech Group, scrivici tramite il modulo di contatto.