Como funciona: depois que um domínio está atrás do Cloudflare, você quer que só o Cloudflare
alcance a porta web da VPS. Assim, se seu IP "vazar", ataques batem no Cloudflare, não no seu servidor.
Esta página baixa os ranges atuais da Cloudflare e aplica regras no Windows Firewall.
—
Ranges CF cacheados
—
Regras ativas (allow CF)
—
Última aplicação
Etapa A · Atualizar ranges do Cloudflare
Baixa os intervalos de IP oficiais (ips-v4/ips-v6) e grava localmente. A Cloudflare altera esses ranges de tempos em tempos.
Etapa B · Aplicar no firewall
Permite a porta 80 apenas para os IPs do Cloudflare e bloqueia o restante.
⚠️ Isso afeta o tráfego WEB da VPS. Seu acesso RDP (porta 3389) NÃO é tocado.
Checklist do guia (origem invisível)
- ✅ Registros DNS em proxy (nuvem laranja) — o painel já cria o registro A com proxy ON
- ✅ Nenhum registro "DNS only" apontando p/ seu IP (o Verificar nos Domínios confirma)
- 🔲 SSL como Flexível e origem só na porta 80 — ajuste manual na Cloudflare (SSL/TLS → Flexible); e desligue a 443 na origem se for usar
- ⛨ Firewall permitindo só o Cloudflare nesta porta — aplique acima
- 🔲 Regra de desafio / Modo de Ataque — na Cloudflare, Security → WAF, quando houver inundação L7