Cloudflare 优选 IP
把 Oracle 上的 sing-box 藏在 Cloudflare 后面做抗封锁前置，再用 CloudflareSpeedTest / CloudflareST 从大量边缘 IP 中选出延迟与丢包最优的「优选 IP」，改善客户端到 CDN 的链路质量。
#type / howto
#status / evergreen
#tech / network
#tech / security
[!info] related notes
- 部署：在 Oracle VPS 上部署 sing-box 代理
- 坑位（SSL 模式 / 522）：Oracle VPS 代理部署的坑
Cloudflare 优选 IP
一句话定义
Cloudflare 优选 IP = 从海量 Cloudflare 边缘节点 IP 中，挑出对你的运营商而言延迟最低、丢包最少的那批 IP，作为你代理流量的前置入口。
为什么需要它（和抗封锁的关系）
当你把 Oracle 上的 sing-box（VLESS-WS+TLS，监听 443）藏在 Cloudflare 后面：
- 域名 A 记录指向 VPS IP，并在 CF 开启橙色云朵（代理）。
- 客户端不再直连 VPS，而是连 Cloudflare 边缘；GFW 只看到你在访问一个 CDN，看不到真实 VPS IP 和协议 → 抗封锁。
- 但 CF 默认 anycast IP 在你的运营商可能绕路/拥塞，于是需要「优选」来找一条更近的边缘。
即：CF 前置解决「连得上」，优选解决「连得快」。
前置条件（缺一不可）
- 一个域名，A 记录指向 VPS IP，并开启橙色云朵（Proxied）。
- CF SSL/TLS 模式设为 Full（见 坑位-SSL 模式，别用 Flexible）。
- 源站 443 上跑着 WS+TLS 入站（如 sing-box 的
vless-ws）。 - OCI 安全列表放行 443（见 坑位-OCI 防火墙）。
工具
- CloudflareSpeedTest（社区最常用，跨平台，有图形/命令行版；linux.do 等社区有详细教程）。
- CloudflareST（另一个流行实现，输出延迟/丢包排序）。
步骤
1. 在本机（或一台网络环境与客户端相近的机器）跑测速工具
2. 工具会扫描大量 CF IP，给出 延迟 / 丢包 / 下载速度 排序
3. 取一个优选 IP，例如：104.25.x.x
4. 在客户端配置里二选一使用：
a) 域名版：server = oracle1.<your-domain>，sni = oracle1.<your-domain>
（让 CF 自己解析，简单但可能吃到默认 anycast 路线）
b) 优选 IP 版：server = 104.25.x.x，sni = oracle1.<your-domain>
（把连接钉在优选边缘，sni 仍填你的域名以通过 TLS 校验）[!tip] 优选 IP 会变动 CF 的边缘 IP 和路由会随时间/运营商调整，优选结果不是一劳永逸。速度明显变差时重新跑一次。
实测对比（同一 Oracle VPS，中国大陆客户端）
| 节点 | 实测延迟 | 角色 |
|---|---|---|
| SS 直连（:80） | ~307ms | 🥇 最快，但直连暴露、抗封锁弱 |
| CF 优选 IP（:443） | ~1792ms | 🥈 抗封锁 + 优选后尚可 |
| CF 域名（:443） | ~4189ms | 抗封锁，但没优选、绕路更慢 |
结论：
- 纯速度：SS 直连 > CF 优选 > CF 域名。
- 纯抗封锁：CF 前置（优选/域名）> SS 直连（直连 IP 易被针对性封锁）。
- 落地策略：主用 SS 直连（快），用 CF 前置（优选 IP） 做备用/封锁时切换。