---
title: DNS và Cloudflare
description: Trỏ tên miền về máy chủ NexCMP, tùy chọn qua Cloudflare, và nhận chứng chỉ hợp lệ với chế độ SSL phù hợp.
url: https://nexcmp.com/vi/docs/getting-started/dns-and-cloudflare/
applies_to: NexCMP 1.6.1
updated: 2026-11-02
---

# DNS và Cloudflare {#dns-and-cloudflare}

NexCMP cần một tên miền DNS — **tên miền chính** của hệ thống — và hoạt động ở hai chế độ.

## Chế độ A: DNS trỏ trực tiếp về máy chủ {#mode-a-dns-points-straight-at-the-server}

1. Tạo bản ghi **A** `cloud.example.com → <server public IPv4>` (và bản ghi **AAAA** nếu máy chủ có IPv6).
2. Tùy chọn, nếu bạn sử dụng: `admin.cloud.example.com` và `partner.cloud.example.com` trỏ về cùng địa chỉ IP.
3. Chạy (hoặc chạy lại) [trình cài đặt](https://nexcmp.com/vi/docs/getting-started/installation/). Hệ thống sẽ nhận diện tên miền phân giải về IP công khai của máy chủ và xin chứng chỉ Let's Encrypt qua HTTP-01 challenge trên cổng 80.

## Chế độ B: tên miền được proxy qua Cloudflare {#mode-b-the-domain-is-proxied-by-cloudflare}

Tạo các bản ghi tương tự với đám mây màu cam (**Proxied**). Trình cài đặt sẽ phát hiện tên miền chỉ phân giải về địa chỉ Cloudflare và chuyển sang chế độ Cloudflare:

- nginx vẫn lắng nghe trên cổng 80/443 của máy chủ;
- IP thực của khách truy cập được đọc từ header `CF-Connecting-IP` — **chỉ áp dụng** cho các kết nối đến từ các dải IP đã công bố của Cloudflare, nhờ đó tránh được nguy cơ bị giả mạo;
- chứng chỉ được xin qua Let's Encrypt (Cloudflare chuyển tiếp challenge về máy chủ gốc); nếu chưa thể thực hiện, một **chứng chỉ gốc tự ký** sẽ được tạo để chế độ "Full" hoạt động, và việc chạy lại trình cài đặt sau đó sẽ nâng cấp lên Let's Encrypt.

Bạn có thể bắt buộc dùng chế độ này bằng `--behind-cloudflare`.

::: important Thiết lập chế độ SSL/TLS trong Cloudflare
Trong Cloudflare, hãy vào **SSL/TLS › Overview** và chọn **Full (strict)** sau khi trình cài đặt báo có chứng chỉ Let's Encrypt. Với chứng chỉ gốc tự ký, hãy chọn **Full**. **Flexible** sẽ gây vòng lặp chuyển hướng.
:::

::: tip
Nếu bật "Always Use HTTPS", Cloudflare sẽ gửi yêu cầu xác thực đến cổng 443 của máy chủ gốc. Trình cài đặt xử lý việc này bằng cách tạo chứng chỉ tự ký tạm thời trước, sau đó thử lại với Let's Encrypt.
:::

## Kiểm tra {#check-it}

```bash
dig +short cloud.example.com        # A record (a Cloudflare address in mode B)
curl -I https://cloud.example.com/healthz
sudo certbot certificates           # certificate name, domains and expiry
```

Chứng chỉ tự động gia hạn theo timer của certbot. Quá trình gia hạn sử dụng webroot `/var/www/nexcmp-acme`, vì vậy cổng 80 phải luôn truy cập được (trực tiếp hoặc qua Cloudflare).

## Các vấn đề thường gặp {#common-problems}

| Hiện tượng | Nguyên nhân | Cách khắc phục |
|---|---|---|
| Trình cài đặt báo "DNS … does not point to … (nor to Cloudflare) — skipping nginx/TLS" | Bản ghi DNS bị thiếu, sai hoặc chưa được cập nhật hoàn tất | Sửa bản ghi, đợi DNS cập nhật rồi chạy lại trình cài đặt. |
| Trình duyệt hiển thị `ERR_TOO_MANY_REDIRECTS` phía sau Cloudflare | Chế độ SSL đang là **Flexible** | Đặt thành **Full (strict)** (hoặc **Full**). |
| Lỗi Cloudflare 525/526 | Chứng chỉ máy chủ gốc bị từ chối | Dùng **Full** với chứng chỉ gốc tự ký, hoặc **Full (strict)** với Let's Encrypt. |
| Khách truy cập đều hiển thị IP của Cloudflare trong log | Không ở chế độ Cloudflare | Chạy lại trình cài đặt với `--behind-cloudflare`. |

Xem thêm tại [Các lỗi cài đặt](https://nexcmp.com/vi/docs/troubleshooting/installation-errors/).