2026.11.07

Cloudflare DNS 灰雲與橘雲：判讀流量並安全切換

網站管理者可能遇到 Cloudflare 橘雲代理後連線異常，或想排查網站是否經過 Cloudflare。切換灰雲與橘雲會改變網站流量路徑及公開 DNS 回應，不能只憑一個 IP 位址判定原站是否安全。開始前先記錄 Dashboard 中相關 DNS 紀錄、代理狀態與目前網站表現，確認自己有權調整網域與原站設定，並安排可觀察與還原的時間。

先在 Dashboard 判讀紀錄和流量

登入 Cloudflare，選擇正確網域並開啟 DNS 管理頁。先找網站實際使用的主機名稱，例如根網域與 www，逐筆確認類型、名稱、內容、代理狀態和 TTL。A 紀錄指向 IPv4，AAAA 指向 IPv6，CNAME 指向另一個主機名稱；同一網站可能同時有根網域、子網域與多筆位址紀錄。請對照網站設定、原站主機資料及近期變更，不要只看其中一筆就推論所有流量路徑。

橘雲（Proxied）：符合條件的 HTTP/HTTPS 請求會經過 Cloudflare，再送往原站；DNS 查詢通常回傳 Cloudflare 的代理位址。
灰雲（DNS only）：Cloudflare 只提供 DNS 回應，HTTP/HTTPS 流量依 DNS 解析結果連至目的地，不經此紀錄的 Cloudflare 代理。A、AAAA 回傳設定的位址；CNAME 指向的服務及其解析結果仍須另外確認。
TXT、MX 等紀錄不支援代理；只有用於位址解析的 A、AAAA、CNAME 等符合條件的紀錄可設為代理。

因此，若某個網站主機名稱是灰雲，對應代理功能不會處理該主機名稱的流量，相關快取、防護、WAF 或流量分析也不會以橘雲代理路徑提供。灰雲可能讓原站 IP 對查詢者可見，因而少一層 Cloudflare 代理隔離；但公開 IP 顯示為 Cloudflare 位址，也不能證明原站已安全。其他 DNS 紀錄、郵件設定、歷史資料或外部服務都可能影響可見資訊與攻擊面，安全性須另外檢查。

切換前檢查原站條件

在 Dashboard 切換前，確認原站 HTTPS 憑證有效、主機名稱涵蓋正確，且原站能直接接收預期流量。檢查防火牆是否允許必要來源與連線埠；Cloudflare 代理只支援特定 HTTP/HTTPS 埠，使用其他服務或非支援埠時，應先核對官方限制與服務架構。檢查主機是否依賴 Cloudflare 的防火牆規則、快取、重新導向或其他產品設定。若直接連線會暴露管理介面，或原站防火牆沒有相應保護，先不要切成灰雲。

逐筆切換、驗證與還原

先截圖或記錄原有紀錄內容及橘雲／灰雲狀態，方便復原。只修改要測試的 A、AAAA 或 CNAME 紀錄，在該列點選雲朵切換狀態；不要改動 TXT、MX 等不適用代理的紀錄。等待 DNS 快取與設定更新後，分別測試網站首頁、登入頁、HTTPS 憑證、必要子網域及實際應用功能，並觀察伺服器日誌與 Cloudflare 分析。DNS 解析結果會受 TTL、遞迴解析器快取及不同網路環境影響；使用者看到舊結果一段時間不一定代表操作失敗。

若錯誤增加或原站連線異常，先把受影響紀錄切回記錄的原始狀態，再檢查快取、憑證、防火牆與原站日誌。不要因為 DNS 查到某個公開 IP，就自行認定那是原站或原站已受保護。Cloudflare 官方說明了代理與 DNS only 的路徑差異、支援紀錄類型及限制，請參考Proxy status 文件。若切換同時造成 HTTPS 重新導向迴圈，可參考 BarryBlogs 的Cloudflare 與 HTTPS ERR_TOO_MANY_REDIRECTS 排查。