跳到主要内容

Cloudflare DNS 速查:橙云灰云、记录类型与代理模式怎么配

讲清 Cloudflare DNS 里 A、AAAA、CNAME、MX、TXT 等记录怎么填,橙云代理和灰云 DNS-only 的真实区别,以及 CDN 加速、SSL 模式和 Page Rules 在配置域名解析时的实际用法。

发布于 作者 李雷
#cloudflare #dns #cdn #域名解析 #运维

Cloudflare DNS 速查:橙云灰云、记录类型与代理模式怎么配

接手一个域名,第一件事往往就是去 Cloudflare 控制台改解析。记录类型一堆,每条还多一个橙云或灰云的开关,新手很容易一通乱点,结果要么网站打不开,要么邮件全丢。这篇把日常用得上的记录类型、代理模式和加速配置理顺,配几条真实记录的写法,改解析前过一遍能少踩不少坑。

常见 DNS 记录类型先认全

Cloudflare 控制台里能加的记录不少,但日常真正高频的就这几种:

  • A 记录:把域名指向一个 IPv4 地址,比如 198.51.100.10。
  • AAAA 记录:把域名指向一个 IPv6 地址。
  • CNAME 记录:把一个名字指向另一个域名,常用于 www 指向主域,或对接第三方托管。
  • MX 记录:指定收邮件的服务器,带优先级数字,数字越小越优先。
  • TXT 记录:存一段文本,SPF、DKIM、DMARC、各种域名验证 token 都走它。

一份典型的小站解析大概长这样:

example.com.        A      198.51.100.10
www.example.com.    CNAME  example.com.
example.com.        MX     10 mx.mailvendor.com.
example.com.        TXT    "v=spf1 include:_spf.mailvendor.com ~all"

四种记录各管一摊:A 管网站落地,CNAME 让 www 跟着主域走,MX 管收信,TXT 里那条 SPF 告诉收件方哪些服务器有资格替你发信。

橙云和灰云,差的不只是颜色

这是 Cloudflare 最有特色也最容易搞错的地方。每条 A、AAAA、CNAME 记录旁边都有一朵云,橙色叫代理开启,灰色叫 DNS-only。

橙云代理意味着流量先到 Cloudflare 边缘,再回源到你的服务器。对外查这条记录拿到的是 Cloudflare 的 IP,真实源站 IP 被藏在后面,顺带还能吃到 CDN 缓存、DDoS 防护和 WAF。灰云只做解析,对外直接返回你的真实 IP,Cloudflare 不掺和流量。

关键原则:只有面向 Web 的 A、AAAA、CNAME 才适合开橙云。MX、TXT、SRV、CAA、NS、SOA 这类记录必须保持灰云 DNS-only,因为它们根本不是 HTTP 流量,Cloudflare 没法替它们站到前面。把 MX 开成橙云,邮件直接收不到,这是最常见的事故之一。想逐条核对哪种记录该开哪种状态,可以用 /zh/t/cloudflare-dns-cheatsheet/ 把控制台复制出来的记录粘进去本地查一遍。

根域 CNAME 与 CNAME flatten

标准 DNS 里根域(也就是 example.com 本身)不能只放一条 CNAME,因为根域得同时带着 SOA 和 NS。但 Cloudflare 支持 CNAME flatten,控制台允许你在根域填一个类似 CNAME 的目标,它对外却返回地址记录。这让根域接第三方托管变得简单,但要记住这是 Cloudflare 的能力,导出 zone 文件搬到别家时不一定通用。

TTL、SSL 模式和 Page Rules

TTL 是解析结果的缓存时间。开了代理的记录通常交给 Auto TTL 由 Cloudflare 管。做迁移时如果是灰云记录,建议切换前先把 TTL 显式降到 300 秒这种短值,多地验证新目标稳定后再调高,这样回滚快。

SSL/TLS 模式决定 Cloudflare 到源站之间怎么加密。源站有有效证书就用 Full(strict),源站只有自签证书用 Full,源站完全没证书才退到 Flexible,但 Flexible 在源站那一段是明文,能不用尽量不用。

Page Rules 则是按 URL 模式做精细控制,比如对某个路径强制 HTTPS、调缓存策略或做重定向。新版更推荐用 Rules 里的 Cache Rules 和 Redirect Rules,但老站里 Page Rules 还广泛存在,排查缓存命中异常时记得翻一眼。

我自己踩过的坑

我第一次给公司站上 Cloudflare,顺手把所有记录的云都点成了橙色,觉得反正都加速一下。结果发布后客服反馈收不到客户邮件,排查半天才发现是 MX 被代理了。从那以后我的习惯固定下来:先把 A、AAAA、CNAME 里确实是网站的开橙云,邮件和验证类记录一律灰云,保存前再把整份记录过一遍。如果记录类型本身还没吃透,先到 /zh/t/dns-record-explainer/ 把每种记录的语义看明白,再回 Cloudflare 动手,会稳很多。

把这套顺序记牢:认清记录类型,分清橙云灰云,根域用对模式,迁移前压低 TTL。改解析这件事就从碰运气变成可控操作了。

Made by Toolora · Updated 2026-06-13