Разрешаем доступ к веб-серверу только через CloudFlare (iptables)

0 */12 * * * root /root/cloudflare-update.sh &> /dev/null

Надо на всякий случай попробовать). Но лучше всё таки не компрометировать адрес. Например если придёт много трафика на порт будет уже сложно что-то сделать, провайдер пошлет его например в блекхол, ресурс потухнет и придется менять срочно адрес(.

Если в правилах iptables начинают появляться длинные списки IP-адресов, надо начинать использовать ipset. Кроме того, это позволяет добалять/удалять адреса не перегружая все правила iptables целиком.

Для сабжа в CloudFlare есть Authenticated Origin Pulls. Что позволяет отклонять все запросы без клиентского сертификата, подписанного Cloudflare CA. Это решение желательно попробовать в первую очередь, потому что оно проще. По желанию, можно ограничить доступ на уровне сети, как сделал автор — это безопаснее, имхо, но сложнее сделать правильно.

#!/bin/bash

IPTABLESCHAIN="CLOUDFLARE"

PREVLIST_MD5_FILENAME="lastchangedlist.md5"
[ -e "${PREVLIST_MD5_FILENAME}" ] && PREVMD5SUM=$(cat "${PREVLIST_MD5_FILENAME}")

IPLIST=$(curl -s https://www.cloudflare.com/ips-v4 2>/dev/null)
if [ -z "${IPLIST}" ] ; then
  echo -e "Hell! CF didn't give me IP list!"
  exit 1
fi
# Who know what CF return to me? I need only IPv4 networks
IPLIST=$(echo "${IPLIST}" | grep -o '[0-9]\{1,3\}\(\.[0-9]\{1,3\}\)\{3\}\(/[0-9]\{1,2\}\)\{0,1\}' | sort -t '.' -nk1,1 -nk2,2 -nk3,3 -nk4,4)

MD5SUM=$(echo "${IPLIST}" | md5sum | awk '{print $1}') #' I need only md5sum

if [ "${MD5SUM}" == "${PREVMD5SUM}" ] ; then
  # everything fine. No changes.
  exit 0
fi

ACTIVERULESLIST=$(iptables -nL "${IPTABLESCHAIN}" | awk '/^ACCEPT/{print $4}' | sort -t '.' -nk1,1 -nk2,2 -nk3,3 -nk4,4)
NONUNIQ=$(echo "${ACTIVERULESLIST}" | uniq -c | awk '{if($1!=1){print}}') #'
if [ -n "${NONUNIQ}" ] ; then
  echo -e "In ${IPTABLESCHAIN} chain found non unique values:\n${NONUNIQ}"
fi

while read IPNET ; do
  # check if ipv4 is valid
  ipcalc --silent -b "${IPNET}" >/dev/null
  if [ "${?}" -ne 0 ] ; then
    echo "[ERROR] \"${IPNET}\" is invalid. Skip."
    continue
  fi
  IPNETREGEX=$(echo "${IPNET}" | sed -e 's/\./\\./g')
  ALREADY=$(echo "${ACTIVERULESLIST}" | grep "^${IPNETREGEX}$")
  if [ "${ALREADY}" == "${IPNET}" ] ; then
    # echo "Already active ${IPNET}"
    ACTIVERULESLIST=$(echo "${ACTIVERULESLIST}" | grep -v "^${IPNETREGEX}$")
    continue
  fi
COLLECTEDIPLIST="${COLLECTEDIPLIST}\n${IPNET}"
  echo "iptables -I ${IPTABLESCHAIN} 1 \"${IPNET}\" -J ACCEPT -m comment --comment \"CloudFlare CDN\""
done < <(echo "${IPLIST}")

# delete everything what not in current ip network list
while read IPNET ; do
  echo "iptables -D CLOUDFLARE -s ${IPNET} -j ACCEPT"
done < <(echo "${ACTIVERULESLIST}")

echo -e "${MD5SUM}" > "${PREVLIST_MD5_FILENAME}"

А если на сервере закрыть вообще все порты, отключить ICMP и реализовать доступ только через IPMI/VNC, никто не узнает, что на нашем IP вообще что-то существует.

У CloudFlare есть огромное количество адресов, но все они ужимаются в небольшое количество подсетей....

Теперь попасть по 80 и 443 портам на ваш сервер можно только через прокси

Держите классическую схему — все веб-сервера — во внутренней ДМЗ на приватных ИП и только хорошо защищенная иптаблесом, naxsi и прочими вещами реверс-прокси — торчит наружу паблик-ИПом. И не надо будет гнуть велосипед — снаружи никто не подключится.