Cloudflare 回源把服

CF 套了半年一直没事，昨天发现源站 IP 被扫到了，一看日志全是直连 443 的扫描流量。查了下是 SSL/TLS 加密模式选的 Full (strict) 但回源端口没改，CF 默认回源 443，等于源站直接暴露。改回源端口到 8443 然后在防火墙只放行 CF 的 IP 段，世界清净了。顺便说下，宝塔面板里那个 Cloudflare 插件就是个摆设，别指望它帮你配安全组。