Почему сайт за Cloudflare не открывается в России

В сообщении от 26 июня 2025 года Cloudflare описал механику: с 9 июня трафик пользователей из России к его сети замедляют и обрывают — в соединение вставляют пакеты, которые его гасят, и дропают пакеты, чтобы соединение вышло по таймауту. Затронуты все протоколы: HTTP/1.1 и HTTP/2 поверх TCP и TLS, HTTP/3 поверх QUIC.

Ключевая деталь — тактика, начавшаяся 9 июня: объём отдаваемого контента ограничивается 16 килобайтами. Этого хватает на заголовки и кусок HTML, но не на стили, скрипты и картинки. Отсюда самый частый симптом — страница начинает открываться и замирает на полпути.

Среди операторов, про которых Cloudflare писал, что они это делают, названы Ростелеком, МегаФон, Вымпелком, МТС и МГТС.

Сообщений о снятии ограничения Cloudflare с тех пор не публиковал. Предыстория тоже была: в ноябре 2024 года Роскомнадзор рекомендовал российским сайтам переходить на отечественные CDN.

Потому что ограничение применяет оператор связи, а не сайт. Cloudflare перечислил операторов поимённо — а значит, результат зависит от того, через чью сеть пришёл посетитель: у одного страница открывается, у соседа на другом операторе — обрывается на полпути.

Вывод простой: проверять со своего компьютера бесполезно. Ваш провайдер, ваш VPN и кеш браузера — это не то, что видит клиент с мобильного интернета. «У меня всё открывается» не аргумент ни в одну сторону.

Для этого у нас есть отдельный инструмент: он открывает ваш сайт через модемы в сетях российских операторов и показывает результат по каждому.

Проверить доступность сайта у операторов

Под фразой «сайт на Cloudflare не открывается» прячутся три разные поломки. Лечатся они по-разному, а статьи в выдаче их смешивают — и советуют не то.

«Выключите оранжевое облако», то есть переведите запись в режим DNS only. Это работает: домен снова указывает прямо на ваш сервер, сайт оживает. Ценой того, что вы теряете защиту целиком и публикуете настоящий адрес сервера — он становится виден всем, включая тех, кто его искал.

«Отключите ECH и TLS 1.3». Совет родом из осени 2024 года и отвечает на другую поломку: тогда шифрование имени сайта действительно рвало соединения. Механизм, описанный Cloudflare в июне 2025-го, устроен иначе — он затрагивает HTTP/1.1, HTTP/2 и HTTP/3 одинаково. Попробовать стоит, это бесплатно, но рассчитывать на это как на починку — нет.

«Смените IP в панели Cloudflare». Новый адрес будет из тех же диапазонов: ограничение адресное, и переезд внутри одной сети ничего не меняет.

Остаётся одна рабочая стратегия: сделать так, чтобы посетитель из России приходил на адрес, которого ограничение не касается.

Нет. Сервер, хостинг, код и база остаются там, где они есть. Меняется только адрес, который получает посетитель из России.

Делается это гео-записью в DNS: на одно имя посетитель из России получает адрес нашего узла, остальные — адрес вашего сервера, как и раньше. Узел принимает соединение на 443, терминирует TLS и передаёт запрос дальше. Сертификат выпускается автоматически, через запись в вашей же зоне.

TTL у такой записи — одна секунда: если понадобится вернуть трафик на прежний адрес, переключение дойдёт до посетителей почти сразу.

DNS-хостинг: NS-серверы, записи, гео-маршрутизация

Таблица честная в обе стороны: там, где Cloudflare сильнее, так и написано.

Главное, чтобы не было сюрприза: переезд означает, что DNS домена переезжает к нам целиком. Вы прописываете у регистратора наши NS-серверы вместо серверов Cloudflare и дальше управляете зоной в нашей панели. Оставить DNS в Cloudflare и включить у нас только гео-маршрутизацию нельзя: разный ответ для разных стран формирует тот, кто отвечает за зону.

Порядок действий

1. Добавьте домен в панели — до смены NS. Мы заранее поднимаем зону-заглушку: часть регистраторов проверяет, отвечают ли новые NS-серверы, прежде чем их принять.
2. Снимите оранжевое облако или возьмите адрес сервера из панели хостинга. Пока проксирование включено, публичный DNS отдаёт адреса Cloudflare, а не ваш сервер: такие записи мы помечаем предупреждением, но угадать настоящий адрес за вас не можем.
3. Перенесите записи: автоматическим сканом публичного DNS, экспортом зоны из Cloudflare в формате BIND или вручную.
4. Пропишите у регистратора оба наших NS-сервера вместо серверов Cloudflare. Это единственное действие, которое делается не у нас.
5. Дождитесь делегации. Проверяем её мы, через два независимых публичных резолвера; заявка живёт и после закрытия вкладки.
6. Включите гео-прокси на нужном имени и проверьте сайт из сетей операторов.

Про сроки честно: точное время не назовёт никто. Первые проверки идут часто, дальше интервал растёт от двух до шестидесяти минут, а реальный срок задают регистратор и реестр зоны, а не мы. Зона-заглушка ждёт делегацию семь дней; одновременно в ожидании — до десяти доменов, гео-прокси включается максимум на три.

Шероховатости. Импорт zone-файла понимает A, AAAA, CNAME, TXT, MX и NS; SRV и CAA из экспорта он пропустит — в панели эти типы есть, заведёте руками. Лимит заявки — 200 КБ и 500 записей. Автоматический скан находит только apex, www, mail и m: перечислить зону снаружи нельзя, остальные имена переносятся вручную.

Тонкость именно для переезда с Cloudflare: сервер, за которым TLS всё это время терминировал Cloudflare, часто не имеет собственного сертификата на имя домена. Мы проверяем это настоящим TLS-рукопожатием и, если сертификата нет, ходим на сервер по HTTP. Не отвечает ни на 443, ни на 80 — включение падает с внятной ошибкой, а не молча.

Page Rules, Transform Rules, Workers и редиректы Cloudflare не переносятся ничем: таких сущностей у нас нет, логику придётся переложить на сервер или в приложение. На имени с гео-записью остаётся один ответ — IPv4-адрес узла, AAAA с него снимается.

И главное: бесплатного тарифа у нас нет, после 3 дней пробного периода — подписка. У Cloudflare базовый набор бесплатен, бесплатные российские CDN тоже существуют. Если бюджета нет совсем, честнее начать с них, чем переносить домен дважды.

Начните не с переезда, а с диагноза: посмотрите, что видят посетители, — из сетей операторов, а не со своего компьютера. Проверка показывает по каждому оператору, дошёл ли запрос до сайта; если картина различается от оператора к оператору, при одном и том же сервере дело не в сервере.

Что такое Taucloud и из чего состоит платформа — на главной. Состояние наших серверов — на странице статуса.