回源是什么？

当访问者请求你的网站时，Cloudflare 会先接收流量，再向后端服务器获取内容，这个过程就叫“回源”。回源时用哪种协议、连哪个端口，直接影响连接的安全性和稳定性。

SSL/TLS 加密模式怎么选？

Cloudflare 提供了五种回源加密模式，在 SSL/TLS 设置里可以切换：

• 关闭：不启用 HTTPS，回源走 HTTP，不安全。
• 灵活：访客到 Cloudflare 走 HTTPS，但 Cloudflare 回源走 HTTP（80 端口）。注意：如果你同时开启了源站强制 HTTPS，就会导致无限 301 重定向，网站打不开。
• 完全：回源走 HTTPS（443 端口），但不校验源站证书，源站可以使用自签或过期证书。
• 完全（严格）：回源走 HTTPS 并校验证书，证书必须有效，可以使用 Cloudflare 签发的源服务器证书。
• 严格（仅 SSL 源服务器拉取）：和“完全（严格）”类似，但可能不支持 Cloudflare 源服务器证书，需要确认是否适用。

自定义配置和回源端口

除了全局设置，你还可以通过“自定义配置”为某个域名或规则单独指定上述加密模式，灵活应对不同站点。

回源规则方面，目前 Cloudflare 只支持设置回源端口。你可以将回源流量指向源站的指定端口，而不仅仅是默认的 80/443。

小结

配置回源时，优先选择“完全（严格）”模式，并确保源站证书有效。如果使用“灵活”模式，记得关闭源站强制 HTTPS，避免死循环。回源端口按实际需求设置即可。