09-03 CDN中转节点与隐藏IP：IP 被封时的保命通道
用途
主节点 IP 被墙后怎么办？让流量先进 Cloudflare，再由 Cloudflare 转给你的服务器——墙封不掉 Cloudflare（会误伤全国大量企业）。这就是兜底节点。 关联：05-07 CDN、05-06 WebSocket、09-02 Reality协议与流量伪装。
一、为什么 Cloudflare 能藏 IP
05-07 CDN 的本质是「在你和源站之间加一层中转」。把域名挂到 Cloudflare 并开启代理（橙色云朵），用户连的就是 Cloudflare 的 IP，你服务器的真实 IP 藏在后面。
墙不敢封 Cloudflare 的 IP 段——那是全球海量正常网站共用的，封了会误伤一大片。所以走 Cloudflare 的节点封不掉，是最终保命手段。
二、这条链路怎么走
备用节点用 VLESS + WebSocket + TLS（05-06 WebSocket 是能穿过 HTTP/CDN 的长连接）：
客户端 ──(TLS)──▶ cdn.域名:443 ──▶ Cloudflare ──(HTTP)──▶ 服务器:80 ──▶ xray(WS)
- 客户端到 Cloudflare 这段是 TLS 加密（连的是 Cloudflare:443）。
- Cloudflare 到源站这段走 HTTP 明文（端口 80），靠的是 Cloudflare SSL 模式设为 Flexible（对访客 HTTPS、对源站 HTTP）。
- WebSocket 带一个路径（如
/vless-ws/）和 Host 头，xray 在源站按这个路径收。
排查口诀
这条链路环节多（客户端→CF→源站→xray），坏了要分段查：先确认 CF 能不能到源站（看订阅/网页是否 200），再看 WS 路径对不对，最后看客户端 DNS 把节点域名解析到哪了（见 09-05 客户端分流与DNS）。
三、代价：慢
Cloudflare 免费版的中转延迟高（1500~3500ms 都正常），所以：
- 日常用主节点（Reality 直连，快）。
- CDN 只在主节点 IP 被封、连不上时切过去顶着，能连上就达到目的，慢是正常的。
- 客户端的「延迟测试」常对 CDN 显示 Timeout（探测超时），但实际能打开网页就算可用——以真实访问为准，别只看那个数字。
一句话总结
CDN 兜底节点 = 让流量绕道 Cloudflare，藏住真实 IP，墙封不掉。慢，但是 IP 被封时的保命通道；和快速但暴露 IP 的 Reality 主节点正好互补。