инфра/гид

Cloudflare не работает в России: что делать владельцу сайта

Обновлено08.11.2026 Цены проверены08.11.2026Источникdocs.selectel.ru, selectel.ruЧтение11 мин .md
Коротко

С лета 2025 года у части российских провайдеров трафик к Cloudflare ограничен, поэтому сайт за Cloudflare у пользователей в России открывается медленно или не до конца. Пока посетитель подключается к адресам Cloudflare, настройки в его панели не помогут. Рабочий выход — точка входа на сервере в России: облачный сервер 2 vCPU / 4 ГБ стоит от 2 539,74 ₽/мес плюс публичный IP 189,57 ₽/мес, он принимает запросы и передаёт их на ваш основной сервер.

В этой статье
Наш выбор

Если сайт или сервис не хочется переносить целиком, а аудитория в основном в России, — облачный сервер в Москве или Петербурге как точка входа: Caddy с бесплатными сертификатами Let's Encrypt и туннель WireGuard к основному серверу.

Конфигурация
Standard 2 vCPU · 4 ГБ · 20 ГБ сетевого SSD + публичный IPv4
Цена от
2 539,74 ₽/мес + IP 189,57 ₽/мес + диск
Что входит
3 ТБ исходящего трафика в месяц на аккаунт; DNS-хостинг бесплатно
Когда не подходит
аудитория в основном за рубежом; нужен кэш тяжёлой статики по всей стране
Облако Selectel

Реклама. АО «Селектел», ИНН 7810962785, selectel.ru. erid: 2VtzqwtXUsg

Что нужно понять за минуту

Когда в DNS Cloudflare у записи горит оранжевое облако, посетитель подключается не к вашему серверу, а к адресам Cloudflare. Cloudflare уже сам ходит к вашему серверу и отдаёт ответ. Если участок «посетитель → Cloudflare» тормозит, скорость вашего сервера ничего не решает.

С лета 2025 года именно этот участок у части российских провайдеров ограничен. Выглядит это так: в Европе сайт открывается мгновенно, а у пользователей в России страница висит, картинки и скрипты не догружаются, вход в личный кабинет не срабатывает. У одних всё работает, у других нет — зависит от провайдера и сети.

Отсюда главный вывод: всё, при чём посетитель по-прежнему подключается к адресам Cloudflare, не помогает. Ни настройки кэша, ни смена тарифа, ни туннель Cloudflare. Помогает только одно: дать российским посетителям другой адрес — сервер в России. Как устроена такая схема, коротко объясняет статья что такое реверс-прокси.

Как проверить, что дело в Cloudflare

Проверка занимает 10 минут. Нужен человек в России с обычным домашним Wi‑Fi или мобильным интернетом, без VPN.

1. Убедитесь, что сайт идёт через Cloudflare. С любого компьютера:

curl -sI https://example.ru/ | grep -i -E '^(server|cf-ray):'

Если в ответе есть server: cloudflare и cf-ray, запросы проксируются через Cloudflare.

2. Замерьте маленький и большой ответ. Пусть человек в России выполнит две команды в терминале macOS или Linux (в Windows — в WSL или Git Bash: команды ниже рассчитаны на bash):

curl -o /dev/null -s --max-time 30 -w 'первый байт %{time_starttransfer} с, всего %{time_total} с, скачано %{size_download} байт\n' https://example.ru/
curl -o /dev/null -s --max-time 30 -w 'первый байт %{time_starttransfer} с, всего %{time_total} с, скачано %{size_download} байт\n' https://example.ru/путь/к/большой-картинке.jpg

Подставьте адрес любой тяжёлой картинки или скрипта со своей страницы. Если маленький ответ приходит быстро, а большой зависает до таймаута или скачивается не полностью, это наш случай.

3. Сравните с сайтом не за Cloudflare. Пусть тот же человек откроет крупный сайт, который точно не проксируется через Cloudflare. Если он грузится быстро, а ваш нет — причина не в его интернете.

4. Не верьте онлайн-проверкам «из России». Их узлы стоят в дата-центрах, где ограничений обычно нет. Мы на этом обожглись: все проверки показывали «зелёный», а живые пользователи не могли войти в кабинет.

Три выхода для владельца сайта

Выход Что делаете Плюсы Минусы
Снять проксирование Ставите режим DNS only, домен смотрит прямо на ваш сервер Бесплатно, 5 минут Теряете кэш и защиту Cloudflare; помогает, только если ваш сервер быстро открывается из России напрямую
Точка входа в России Арендуете облачный сервер в России, он принимает запросы и передаёт их основному серверу по туннелю Основной сервер остаётся где был, переезд за вечер Ещё один сервер, который надо обслуживать
Полный переезд Переносите сайт целиком на сервер в России Самый короткий путь для российских пользователей Долго и рискованно для сложных сервисов

Первый вариант стоит попробовать сразу: снимите проксирование у одной записи и повторите замер из шага 2. Если сайт открывается быстро, можно на этом остановиться. Если нет — выбирайте между точкой входа и переездом. Как переехать без простоя, мы разобрали в гайде о переносе сайта на VPS.

Если на сайте много тяжёлой статики (видео, большие картинки) и аудитория по всей стране, к любому варианту можно добавить CDN с российскими узлами. Когда он действительно нужен и сколько стоит трафик, — в статье про CDN в России.

Сколько стоит точка входа

Точке входа не нужен мощный сервер: она только принимает запросы, держит сертификаты и передаёт трафик дальше. Цены Selectel:

Что Для чего Цена
Shared Line 2 vCPU · 2 ГБ один-два небольших сайта, процессор — гарантированная доля ядра от 828,23 ₽/мес
Standard 2 vCPU · 4 ГБ несколько доменов, запас по нагрузке; наш вариант 2 539,74 ₽/мес
Публичный IPv4 обязателен: на него смотрят DNS-записи 189,57 ₽/мес
Сетевой базовый SSD за 1 ГБ; системе хватит 20 ГБ 10,09 ₽ за ГБ/мес
Исходящий трафик сверх 3 ТБ в месяц первые 3 ТБ на аккаунт бесплатно 0,90 ₽/ГБ
DNS-хостинг зоны и записи без лимита, при пополнении баланса от 200 ₽ 0 ₽

проверено 08.11.2026 · калькулятор · прайс · DNS

Цены серверов — без диска и IP. Наш расчёт для рекомендованной строки: 2 539,74 + 189,57 + 20 × 10,09 ≈ 2 930 ₽ в месяц. Это ориентир: сервер в калькуляторе посчитан для пула в Петербурге, IP и диск — по прайсу для Москвы, в других пулах цифры немного отличаются. У нас такая машина обходится примерно в 3 000 ₽ в месяц.

Про трафик: точка входа отдаёт посетителям весь трафик сайта. Пока это меньше 3 ТБ в месяц на весь аккаунт, он бесплатный. Фиксированные тарифы VDS на 8 ноября 2026 распроданы, поэтому считаем по облачным серверам. Сравнить с другими вариантами аренды можно в калькуляторе стоимости сервера.

Как сделать точку входа

Схема: облачный сервер в России с публичным IP принимает HTTPS-запросы, а основной сервер подключается к нему по туннелю WireGuard. Наружу основной сервер открывать не нужно. Ниже — минимальная рабочая версия для Ubuntu 24.04/26.04 или Debian 12/13; адреса 10.8.0.1 и 10.8.0.2 — внутренние адреса туннеля.

1. Создайте сервер и откройте порты

Создайте облачный сервер в Москве или Петербурге с публичным IP и откройте порты: 22 для SSH, 80 и 443 для сайта и сертификатов, 51820/udp для туннеля.

apt update && apt install -y wireguard caddy ufw
ufw allow 22/tcp && ufw allow 80/tcp && ufw allow 443/tcp && ufw allow 51820/udp
ufw enable

Пакет caddy есть в стандартных репозиториях этих версий Ubuntu и Debian; ufw в Debian по умолчанию не установлен, поэтому он тоже в списке. Если нужна свежая версия, ставьте его из официального репозитория Caddy.

2. Поднимите туннель WireGuard

Ключи создаются на каждом сервере отдельно (на основном сервере тоже нужен пакет wireguard):

umask 077
wg genkey | tee /etc/wireguard/private.key | wg pubkey > /etc/wireguard/public.key

На российском сервере — /etc/wireguard/wg0.conf:

[Interface]
Address = 10.8.0.1/24
ListenPort = 51820
PrivateKey = <приватный ключ российского сервера>

[Peer]
PublicKey = <публичный ключ основного сервера>
AllowedIPs = 10.8.0.2/32

На основном сервере — тот же файл, но подключается он сам:

[Interface]
Address = 10.8.0.2/24
PrivateKey = <приватный ключ основного сервера>

[Peer]
PublicKey = <публичный ключ российского сервера>
Endpoint = <публичный IP российского сервера>:51820
AllowedIPs = 10.8.0.1/32
PersistentKeepalive = 25

На обоих серверах запустите туннель и проверьте связь:

systemctl enable --now wg-quick@wg0
wg show
ping -c 3 10.8.0.1    # с основного сервера

PersistentKeepalive держит туннель открытым со стороны основного сервера, поэтому ему не нужен входящий порт.

3. Настройте Caddy

Веб-сервер на основном сервере должен отвечать на адресе 10.8.0.2:80 для ваших доменов, а файрвол основного сервера — пропускать на этот порт запросы с 10.8.0.1. Внутри WireGuard трафик уже шифруется, поэтому обычного HTTP достаточно. Файл /etc/caddy/Caddyfile на российском сервере:

example.ru, www.example.ru, auth.example.ru {
    reverse_proxy 10.8.0.2:80
}

systemctl reload caddy

Caddy сам получит и будет продлевать сертификаты Let's Encrypt, как только DNS начнёт указывать на этот сервер. Имя домена он передаёт основному серверу без изменений, а реальный IP посетителя — в заголовке X-Forwarded-For. Чтобы видеть его в логах, разрешите основному серверу доверять этому заголовку от 10.8.0.1. Если сайт сам перенаправляет HTTP на HTTPS, научите его доверять и заголовку X-Forwarded-Proto, иначе запросы уйдут в бесконечный редирект.

4. Переключите DNS

В Cloudflare переведите записи домена в режим DNS only (серое облако) и укажите в них публичный IP российского сервера. Не забудьте поддомены: авторизацию, API, картинки на отдельном домене — всё, что подгружает страница.

DNS можно оставить в Cloudflare, а можно перенести в российский DNS-хостинг. В Selectel он бесплатный при пополнении баланса от 200 ₽; домен делегируется на a.ns.selectel.ru … d.ns.selectel.ru. Если домен давно живёт на DNS Selectel со старыми NS-серверами, проверьте делегирование: по документации старые серверы отключают 1 декабря 2026. Что такое делегирование и записи, коротко — в статье что такое DNS.

5. Проверьте результат

С любой машины убедитесь, что домен смотрит на новый сервер и Cloudflare из цепочки ушёл:

dig +short example.ru
curl -sI https://example.ru/ | grep -i cf-ray || echo "Cloudflare больше не в цепочке"

Затем повторите замер из раздела про диагностику — с домашнего или мобильного интернета в России. Только этот тест показывает, что пользователям стало лучше.

Что не подойдёт и ограничения

  • Аудитория в основном за рубежом. Точка входа в России добавит зарубежным посетителям задержку. Если россиян у вас мало, проще снять проксирование только у нужных поддоменов или оставить всё как есть.
  • Медленный основной сервер. Точка входа убирает проблему пути до Cloudflare, но не ускоряет сам сайт. Если страница долго собирается на основном сервере, медленно будет и через Россию.
  • Туннель — единая точка отказа. Если связь между серверами рвётся, сайт недоступен целиком. Поставьте проверку доступности хотя бы трёх разных доменов и держите запасной путь для отката.
  • Вы теряете то, что давал Cloudflare. Кэш, правила файрвола и защиту от атак на уровне приложения придётся настраивать заново. В облачных серверах Selectel включена базовая защита от DDoS на сетевом уровне (L3/L4), но от атак на сам сайт она не спасает.
  • Персональные данные. Точка входа не переносит данные в Россию. Если сайт собирает персональные данные россиян, а база лежит за рубежом, требования о хранении в России она не закрывает — подробнее в разборе хостинга по 152-ФЗ.
  • Только для своего сайта. Схема нужна владельцу, чтобы его сайт открывался у пользователей. Это не прокси для доступа к чужим ресурсам, и для таких задач мы её не описываем.

Как мы сделали

Как мы сделали

У нас 5–6 доменов одного сервиса: сайт, авторизация, личный кабинет клиента и служебные адреса. После того как с лета 2025 года трафик к Cloudflare начали ограничивать, наши пользователи в России не могли открыть личный кабинет, хотя онлайн-проверки доступности показывали «зелёный». Мы поставили облачный сервер в Москве на 2 vCPU и 4 ГБ, на нём Caddy с автоматическими сертификатами Let's Encrypt и туннель WireGuard, который основной сервер сам открывает к московскому. Страницы отвечают примерно за 0,35 с, а сервер обходится около 3 000 ₽ в месяц. Старый туннель Cloudflare мы не удалили — он остался запасным путём. Грабли, на которые наступили: оранжевое облако в DNS продолжает гнать трафик через Cloudflare, поэтому каждой записи нужен режим DNS only; поддомены авторизации, API и картинок надо переводить вместе с основным; порт 80 должен быть открыт, иначе сертификаты не выпустятся. После любой правки на точке входа проверяем минимум три несвязанных домена.

Частые вопросы

Почему Cloudflare не работает в России?

С лета 2025 года часть российских провайдеров ограничивает трафик к сетям Cloudflare. Ваш сервер при этом работает нормально: проблема на участке между посетителем и Cloudflare. Поэтому одни пользователи открывают сайт без проблем, а у других он висит или загружается частично — всё зависит от провайдера.

Cloudflare не работает в России: как исправить, если сайт мой?

Нужно, чтобы посетители из России подключались не к адресам Cloudflare, а к серверу в России. Для этого снимите проксирование в DNS (режим DNS only) и направьте домен на российский сервер: либо на точку входа, которая передаёт запросы основному серверу, либо на сам сайт после переезда. Настройки кэша и тарифа Cloudflare здесь не помогают.

Почему онлайн-проверки показывают, что сайт открывается нормально?

Узлы таких сервисов обычно стоят в дата-центрах, а ограничения затрагивают в первую очередь домашние и мобильные сети. Мы видели это сами: проверки были «зелёными», а пользователи не могли открыть личный кабинет. Надёжный тест — обычный домашний или мобильный интернет в России без VPN.

Cloudflare Tunnel не работает в России — поможет ли он?

Нет. Туннель Cloudflare связывает ваш сервер с Cloudflare, но посетитель всё равно подключается к адресам Cloudflare — именно этот участок и страдает. Мы свой туннель не удалили, а оставили запасным путём на случай отката.

Можно ли оставить Cloudflare для остального мира, а россиян вести на свой сервер?

С обычным DNS — нет: у записи один ответ для всех посетителей. Так можно сделать только DNS-сервисом, который отвечает по географии, и эту функцию нужно отдельно проверить у своего провайдера. Проще направить весь домен на российский сервер: зарубежные посетители тоже пойдут через него, это добавит им немного задержки.

Источники

  1. Облачные серверы — selectel.ruпроверено 08.11.2026
  2. Калькулятор облачных серверов — selectel.ruпроверено 08.11.2026
  3. Прайс-лист: IP-адреса и диски — selectel.ruпроверено 08.11.2026
  4. Бесплатный DNS-хостинг — selectel.ruпроверено 08.11.2026
  5. DNS-хостинг: условия и NS-серверы — docs.selectel.ruпроверено 08.11.2026
  6. CDN — selectel.ruпроверено 08.11.2026

Связанные гайды