- VIE
- VIE
- ENG
Nhiều người cài Cloudflare vì nghe nói nó “bảo vệ và tăng tốc website.” Nhưng cài không đúng cấu hình, bạn có thể vừa chậm hơn, vừa kém an toàn hơn so với không dùng.
Bài này giải thích Cloudflare làm gì ở tầng kỹ thuật, tính năng nào thực sự có giá trị, ưu nhược điểm theo từng scenario, và hướng dẫn cài đặt tránh những lỗi phổ biến nhất. Đọc xong, bạn có thể đánh giá được Cloudflare có phù hợp với hạ tầng của mình không.
Contents
Cloudflare là nền tảng network-as-a-service, tích hợp ba thành phần trong một sản phẩm: CDN (mạng phân phối nội dung), DNS resolver, và WAF (tường lửa ứng dụng web).
Về mặt kỹ thuật, Cloudflare hoạt động như một Reverse Proxy. Khi bạn trỏ nameserver tên miền về Cloudflare, mọi request từ trình duyệt người dùng đi qua mạng lưới máy chủ Cloudflare trước. Cloudflare kiểm tra, lọc, cache rồi mới chuyển đến server gốc. Server gốc không bao giờ tiếp xúc trực tiếp với internet.
Cloudflare được thành lập năm 2009 tại San Francisco, Mỹ, xuất phát từ Project Honey Pot, một dự án theo dõi và phân tích nguồn gốc spam và botnet. Từ đó, công ty phát triển thành nền tảng bảo mật và phân phối nội dung phục vụ hơn 20% lưu lượng web toàn cầu, theo Cloudflare’s network page.
Cloudflare thay đổi đường đi của dữ liệu, không phải nội dung của dữ liệu. Hiểu điểm này giúp bạn dự đoán được khi nào Cloudflare phát huy tác dụng và khi nào không.
Không có Cloudflare, trình duyệt kết nối thẳng đến IP server gốc. Mọi tải trọng (xử lý request, băng thông, lọc traffic độc hại) do server gốc gánh. Kẻ tấn công biết chính xác IP của bạn và có thể nhắm trực tiếp.
Khi có Cloudflare, trình duyệt chỉ thấy IP của Cloudflare. Cloudflare đứng giữa và kích hoạt hai cơ chế chính:
Caching hiệu quả nhất với nội dung tĩnh và người dùng ở xa server gốc. Với nội dung động hoặc người dùng nội địa khi server đặt tại Việt Nam, kết quả sẽ khác và cần đo trước khi quyết định.
Cloudflare tích hợp năm nhóm tính năng trong một sản phẩm, mỗi nhóm giải quyết một vấn đề cụ thể về hiệu suất hoặc bảo mật:
Cloudflare vận hành hơn 300 PoP tại hơn 100 quốc gia theo Cloudflare network, sử dụng giao thức Anycast để tự động định tuyến mỗi request đến điểm gần nhất. Người dùng tại Tokyo nhận file CSS từ PoP Tokyo, không phải từ server ở Singapore hay Hà Nội.
Tác động thực tế phụ thuộc vào tỷ lệ nội dung tĩnh trong site và vị trí server gốc. Site có nhiều file tĩnh nặng và traffic quốc tế sẽ thấy cải thiện TTFB (Time to First Byte) rõ nhất.
Dịch vụ DNS public 1.1.1.1 của Cloudflare liên tục xếp hạng trong top 3 resolver nhanh nhất thế giới theo DNSPerf. Thời gian phân giải tên miền đo được thường dưới 15ms tại nhiều khu vực.
Với DNS quản lý zone khi bạn đưa domain về Cloudflare, thay đổi bản ghi DNS có hiệu lực trong vài giây thay vì vài giờ như propagation truyền thống. Hữu ích khi cần failover nhanh hoặc đổi server.
WAF (Web Application Firewall) của Cloudflare phân tích request dựa trên signature database và behavioral rules để chặn các loại tấn công phổ biến như SQL injection, XSS, path traversal. Gói Free chỉ có managed rulesets cơ bản. Từ gói Pro, bạn mới có thể tạo custom rules theo logic riêng.
Về chống DDoS, Cloudflare có capacity mạng khoảng 296 Tbps tính đến 2024 theo Cloudflare network, đủ để hấp thụ phần lớn các cuộc tấn công volumetric. Với tấn công ở tầng ứng dụng (Layer 7), hiệu quả phụ thuộc vào cấu hình WAF và rate limiting.
Cloudflare cấp SSL/TLS miễn phí cho mọi domain sử dụng dịch vụ. Quan trọng là chọn đúng chế độ SSL, vì bốn tùy chọn của Cloudflare có mức độ bảo mật khác nhau hoàn toàn. Phần hướng dẫn cài đặt bên dưới giải thích chi tiết từng chế độ và khuyến nghị cụ thể.
Hai tính năng đáng dùng ở gói miễn phí:
Từ gói Pro có thêm Polish, tự động nén và chuyển đổi hình ảnh sang WebP hoặc AVIF phù hợp với từng trình duyệt.
Lưu ý: Cloudflare đã ngừng hỗ trợ Auto Minify từ tháng 3/2024. Để minify HTML/CSS/JS, xử lý ở tầng build tool (webpack, Vite, esbuild) trước khi deploy, không dựa vào proxy-level minification.
Cloudflare mang lại lợi ích thực tế rõ nhất trong bốn tình huống sau:
Có bốn hạn chế cần biết trước khi triển khai Cloudflare:
Quá trình kết nối domain vào Cloudflare gồm sáu bước – bước 4 và bước 6 là hai điểm dễ xảy ra lỗi nhất, đọc kỹ trước khi thực hiện:
Truy cập cloudflare.com và tạo tài khoản bằng email doanh nghiệp. Sau khi xác thực email, bật xác thực hai yếu tố (2FA) ngay. Đây là điểm truy cập DNS của toàn bộ domain, mất tài khoản đồng nghĩa mất kiểm soát website.
Nhấn “Add a Site”, nhập tên miền dạng tenmien.com (không cần www hay https). Cloudflare tự quét và import bản ghi DNS hiện tại của domain.
Gói Free đủ để bắt đầu: CDN, DNS, bảo vệ DDoS cơ bản và SSL đều hoạt động đầy đủ. Nâng lên Pro ($20/tháng) khi cần custom WAF rules hoặc tối ưu hình ảnh tự động.
(Giá tham khảo tại thời điểm viết bài. Kiểm tra lại tại cloudflare.com/plans trước khi quyết định.)
Đây là bước dễ sai nhất. So sánh danh sách DNS records Cloudflare quét được với bản ghi hiện tại tại nhà đăng ký tên miền. Kiểm tra kỹ ba loại sau:
Cloudflare cấp hai địa chỉ nameserver riêng cho domain của bạn (dạng xxx.ns.cloudflare.com). Đăng nhập vào nhà đăng ký tên miền, ví dụ Tenten.vn nếu bạn đăng ký domain ở đó — và thay toàn bộ nameserver cũ bằng hai địa chỉ này.
Propagation DNS thường mất 30 phút đến 48 giờ tùy nhà đăng ký. Website vẫn hoạt động bình thường trong thời gian chờ.
Bước này nhiều người bỏ qua nhưng ảnh hưởng trực tiếp đến bảo mật. Cloudflare có bốn chế độ SSL với mức bảo vệ khác nhau hoàn toàn:
Khuyến nghị: dùng Full (Strict) cho mọi site production. Nếu hosting chưa có SSL, cài Cloudflare Origin Certificate (miễn phí, có trong dashboard Cloudflare) trước rồi mới bật Full (Strict).
Plugin chính thức Cloudflare có trong WordPress Plugin Directory. Plugin cho phép purge cache trực tiếp từ wp-admin và tự xóa cache khi publish bài mới. Sau khi cài, kết nối bằng Cloudflare API token là hoàn tất.
Bảng dưới đây so sánh các điểm khác biệt thực chất giữa Free và Pro, hai tier được dùng nhiều nhất:
Gói Free phù hợp với blog, landing page và website doanh nghiệp vừa và nhỏ chưa cần custom WAF. Toàn bộ tính năng CDN, DNS và SSL hoạt động đầy đủ mà không tốn phí.
Nâng lên Pro khi bạn cần tạo quy tắc WAF riêng để chặn loại traffic cụ thể, muốn tối ưu hình ảnh tự động, hoặc cần SLA và support ưu tiên.
(Giá tham khảo tại thời điểm viết bài. Kiểm tra mới nhất tại cloudflare.com/plans.)
Cloudflare giải quyết ba bài toán cùng lúc qua một proxy layer duy nhất: phân phối nội dung qua CDN, bảo vệ tầng ứng dụng qua WAF, và phân giải DNS tốc độ cao. Đây là lý do hơn 20% lưu lượng web toàn cầu đi qua nó.
Nhưng không phải website nào cũng hưởng lợi như nhau. Site với traffic quốc tế và nhiều nội dung tĩnh sẽ thấy tác động ngay. Site chỉ phục vụ người dùng nội địa với server tại Việt Nam có thể thấy latency tăng nếu không đo trước.
Nếu bạn muốn thử, bắt đầu bằng cách bật Cloudflare ở chế độ DNS Only, chưa bật proxy. Dùng WebPageTest đo tốc độ hiện tại làm baseline, rồi bật proxy và đo lại. Nếu kết quả cải thiện, tiếp tục. Nếu không, điều chỉnh cấu hình theo hạ tầng thực tế thay vì bật mặc định và hy vọng.
Không. Cloudflare là Reverse Proxy và CDN, không lưu trữ database hay file website. Server gốc (hosting) vẫn là nơi chứa toàn bộ dữ liệu. Cloudflare đứng trước server gốc để lọc traffic, cache nội dung tĩnh và phân phối đến người dùng nhanh hơn.
Phụ thuộc vào hạ tầng. Website có nhiều nội dung tĩnh và người dùng ở xa server gốc sẽ thấy cải thiện rõ. Website chỉ phục vụ người dùng nội địa với server tại Việt Nam có thể không thấy cải thiện, thậm chí tăng latency. Đo bằng WebPageTest trước và sau khi bật để có số liệu thực.
Cloudflare cấp SSL/TLS miễn phí cho đường truyền giữa người dùng và edge Cloudflare. Nhưng để bảo mật toàn đường truyền kể cả đoạn từ Cloudflare đến server gốc, bạn cần SSL trên server gốc và bật chế độ Full (Strict) trong Cloudflare. Dùng Flexible SSL để đi tắt là rủi ro bảo mật thực sự, không nên dùng cho production.
Gián tiếp có. Cloudflare cải thiện Core Web Vitals (LCP, FID) qua CDN và Rocket Loader, đây là tín hiệu xếp hạng của Google. HTTPS mặc định cũng là yếu tố ranking. Tuy nhiên cấu hình redirect sai, ví dụ redirect loop giữa Cloudflare và server, có thể gây lỗi 522/525 và ảnh hưởng xấu đến crawl.
Có, khi bật proxy (biểu tượng đám mây màu cam trong DNS settings). Nhưng IP có thể bị lộ qua: subdomain không bật proxy như bản ghi A của mail server, lịch sử DNS cũ có thể tra trên SecurityTrails, hoặc email header nếu gửi email từ chính server đó. Để ẩn IP hiệu quả hơn, kiểm tra toàn bộ DNS records và cấu hình server chỉ nhận kết nối từ IP ranges của Cloudflare.
