国内 EdgeOne、海外 Cloudflare：配置全球分流来加速 R2 存储桶

名称约定#

全文使用 RFC 2606 示例域名。将 example.com 换成对外域名，将 example.net 换成已接入 Cloudflare 的区。

解析与回源关系：

1
境内: cdn.example.com → cdn.example.com.eo.dnse0.com → EdgeOne → HTTPS 回源 files.example.net
2
境外: cdn.example.com → customers.example.net → Cloudflare for SaaS → 回退源 files.example.net

example.com 继续由 DNSPod、阿里云 DNS 或华为云 DNS 等支持分线路的服务商托管。不要把 example.com 的 NS 切到 Cloudflare。

不要把 cdn.example.com 直接 CNAME 到 files.example.net。请求会到达 Cloudflare Anycast 地址，但证书主体备用名称（SAN）只有 files.example.net。客户端使用 SNI cdn.example.com 握手时失败。必须在 Cloudflare for SaaS 中添加自定义主机名，单独为 cdn.example.com 签发证书。

前置条件#

1. Cloudflare 账号已接入区 example.net，并且已开通 Cloudflare for SaaS（控制台路径：SSL/TLS → Custom Hostnames）。
2. files.example.net 已作为 R2 自定义域绑定，代理状态为已代理（橙云），并且可以直接返回对象。
3. EdgeOne 站点已创建。步骤 1 至步骤 5 在个人版与企业版均可完成。步骤 6 的流量调度仅企业版、且站点为 CNAME 接入时可用。
4. cdn.example.com 所在区支持「默认 / 境内 / 境外」等分线路解析。
5. 源站 WAF 或 Bot 管理不会拦截 EdgeOne 回源。回源 Host 与回源 SNI 必须是 files.example.net。R2 自定义域不接受 Host 为 cdn.example.com 的请求。

验证对象源：

1
curl -sI "https://files.example.net/path/to/object.webp"

预期结果：HTTP 状态为 200，Content-Type 与对象类型一致。

步骤 1：配置 Cloudflare 回退源与接入名#

回退源（Fallback origin）与接入名（CNAME target）不是同一个记录。

回退源填写 files.example.net。该主机名必须已代理，并且已经能够返回对象。

不要把回退源指到任意源站 IP。接入名使用 A 记录指向源站 IP 时，Cloudflare 可能返回 520。接入名 CNAME 到 R2 自定义域时，Cloudflare 可能返回 1014（CNAME Cross-User Banned）。

1
名称: _acme-challenge.cdn.example.com
2
值:   <控制台给出的令牌>

步骤 2：写入证书 TXT#

在自定义主机名的 Certificate 变为 Active 之前，不要修改境外 CNAME。

DNS 控制台会把主机记录与区名拼接成 FQDN。控制台复制的是完整名称，主机记录中不得再次包含区名。

主机记录如果写成 _acme-challenge.cdn.example.com，实际记录名为 _acme-challenge.cdn.example.com.example.com。证书颁发机构查询 _acme-challenge.cdn.example.com 得到空应答，证书保持 Pending Validation。

写入后检查：

1
dig +short TXT _acme-challenge.cdn.example.com

预期结果：应答中包含控制台给出的令牌。

返回 Custom Hostnames，刷新自定义主机名状态。同时满足以下条件后再继续：

• Hostname 为 Active
• Certificate 为 Active

检查证书是否已部署到边缘：

1
echo | openssl s_client -connect 104.26.1.14:443 -servername cdn.example.com 2>/dev/null \
2
  | openssl x509 -noout -ext subjectAltName

将 104.26.1.14 换成 customers.example.net 当前解析到的任一 Cloudflare 地址。预期结果：SAN 包含 DNS:cdn.example.com。SAN 中没有该名称时，停止修改 CNAME。

证书签发后，保留 _acme-challenge.cdn 这条 TXT，续期仍需要该记录。

步骤 3：处理境外回源 Host#

自定义主机名生效后，境外请求进入 example.net 区，浏览器 Host 仍是 cdn.example.com。R2 自定义域按 Host 匹配存储桶，因此直接回源 files.example.net 会失败。

三种做法只启用一套。不要同时配置 Origin Rule、Snippet 与 Worker。

Free、Pro、Business 的 Origin Rule 不能改写 Host header，也不能改写 SNI。以 Cloudflare 文档中 Origin Rules 的套餐表为准。控制台若没有「Host Header」或保存时报 entitlement 错误，改用 Worker。

公开图床只允许 GET 与 HEAD。不要在 Worker 中实现 PUT 或 DELETE。

1
const ORIGIN_HOST = "files.example.net";
2

3
export default {
4
  async fetch(request) {
5
    const incoming = new URL(request.url);
6
    if (incoming.hostname === ORIGIN_HOST) {
7
      return fetch(request);
8
    }
9

10
    const url = new URL(request.url);
11
    url.hostname = ORIGIN_HOST;
12
    url.protocol = "https:";
13

14
    const headers = new Headers(request.headers);
15
    headers.delete("host");
16

17
    return fetch(
18
      new Request(url.toString(), {
19
        method: request.method,
20
        headers,
21
        body: request.body,
22
        redirect: "manual",
23
      }),
24
    );
25
  },
26
};

1
export default {
2
  async fetch(request, env) {
3
    if (request.method !== "GET" && request.method !== "HEAD") {
4
      return new Response("Method Not Allowed", {
5
        status: 405,
6
        headers: { Allow: "GET, HEAD" },
7
      });
8
    }
9

10
    const url = new URL(request.url);
11
    const key = decodeURIComponent(url.pathname.replace(/^\/+/, ""));
12
    if (!key) {
13
      return new Response("Not Found", { status: 404 });
14
    }
15

16
    const object = await env.MY_BUCKET.get(key, {
17
      onlyIf: request.headers,
18
      range: request.headers,
19
    });
20

21
    if (object === null) {
22
      return new Response("Object Not Found", { status: 404 });
23
    }
24

25
    const headers = new Headers();
26
    object.writeHttpMetadata(headers);
27
    headers.set("etag", object.httpEtag);
28
    headers.set("Accept-Ranges", "bytes");
29

30
    const hasBody = request.method === "GET" && "body" in object;
31
    return new Response(hasBody ? object.body : undefined, {
32
      status: hasBody || request.method === "HEAD" ? 200 : 412,
33
      headers,
34
    });
35
  },
36
};

1
name = "cdn-example-r2"
2
main = "src/index.js"
3
compatibility_date = "2026-08-14"
4

5
[[r2_buckets]]
6
binding = "MY_BUCKET"
7
bucket_name = "example-assets"

1
import { AwsClient } from "aws4fetch";
2

3
const UNSIGNED_HEADERS = new Set([
4
  "authorization",
5
  "connection",
6
  "content-length",
7
  "expect",
8
  "host",
9
  "range",
10
  "user-agent",
11
  "x-amzn-trace-id",
12
  "x-forwarded-proto",
13
  "x-real-ip",
14
]);
15

16
function filterHeaders(headers) {
17
  const next = new Headers();
18
  for (const [name, value] of headers.entries()) {
19
    const lower = name.toLowerCase();
20
    if (UNSIGNED_HEADERS.has(lower) || lower.startsWith("cf-")) {
21
      continue;
22
    }
23
    next.set(name, value);
24
  }
25
  return next;
26
}
27

28
export default {
29
  async fetch(request, env) {
30
    if (request.method !== "GET" && request.method !== "HEAD") {
31
      return new Response("Method Not Allowed", {
32
        status: 405,
33
        headers: { Allow: "GET, HEAD" },
34
      });
35
    }
36

37
    const url = new URL(request.url);
38
    url.hostname = `${env.BUCKET_NAME}.${env.B2_ENDPOINT}`;
39
    url.protocol = "https:";
40

41
    const client = new AwsClient({
42
      accessKeyId: env.B2_APPLICATION_KEY_ID,
43
      secretAccessKey: env.B2_APPLICATION_KEY,
44
      service: "s3",
45
      region: env.B2_REGION,
46
    });
47

48
    const signed = await client.sign(url.toString(), {
49
      method: request.method,
50
      headers: filterHeaders(request.headers),
51
    });
52

53
    const outbound = new Request(signed);
54
    const range = request.headers.get("Range");
55
    if (range) {
56
      outbound.headers.set("Range", range);
57
    }
58

59
    return fetch(outbound);
60
  },
61
};

步骤 4：配置 EdgeOne 源站#

加速域名使用对外主机名 cdn.example.com。源站填写对象源，不要填写接入名或源站 IP。

回源 Host 仍为 cdn.example.com 时，R2 无法按自定义域匹配存储桶，源站返回 4xx 或 1014。

回源 SNI 必须为 files.example.net，TLS 才会进入 example.net 区。

EdgeOne 回源被源站 WAF 拦截时，边缘状态码常为 403，响应头可能出现 eo-cache-status: MISS。需要为 EdgeOne 回源放行，或为回源请求增加固定头部并在 Cloudflare 跳过对应规则。不要把该 403 解释为边缘节点延迟高。

使用 R2 作为对象源时，EdgeOne 回源 Host 与 SNI 仍必须是 files.example.net。不要把 EdgeOne 源站填成接入名。

步骤 5：配置分线路 CNAME#

未开通企业版流量调度时，用 DNS 分线路完成境内 / 境外切分。已开通流量调度时，见步骤 6：DNS 可以只保留指向 EdgeOne 的一条 CNAME。

仅在 Certificate 为 Active 之后修改 CNAME。同一解析线路只保留一条 CNAME。

效果：

• 中国大陆运营商，以及未命中「境外」的解析，指向 EdgeOne。
• 境外解析指向 Cloudflare for SaaS。

也可以改为「默认 → customers.example.net，境内 → EdgeOne CNAME」。两种写法都有效。默认指向 EdgeOne 时，未携带 EDNS Client Subnet 的境内递归解析器更不容易误指向 Cloudflare。

不要同时配置：

• 同一线路上的两条 CNAME
• 境外目标为 files.example.net 或其它 R2 自定义域

EdgeOne 要求的域名归属 TXT（主机记录通常为 _dnsauth.cdn）保留，线路选择默认。

步骤 6：企业版流量调度（可选）#

DNS 分线路通常只能区分「境内 / 境外」或「电信 / 联通 / 移动」。EdgeOne 企业版的「流量调度管理」在请求已经打到 EdgeOne 接入 CNAME 之后，再按更细的地理位置与运营商选择服务商。

官方前提：已购买 EdgeOne 企业版，并且站点使用 CNAME 模式接入。免费版与个人版没有该功能。

相对 DNS 分线路，流量调度可以指定：

• 国家或地区
• 中国大陆运营商
• 中国大陆省份
• 省份加运营商（例如某一省的电信）
• 美国各州
• 印度各邦
• 按比例分配（同一线路上多个服务商设置权重）

细粒度规则优先于粗粒度规则。官方示例：北京走源站，中国大陆其它地区走服务商 A，默认线路走服务商 B。未匹配到的请求走默认策略。默认策略不可删除，未修改时全部流量走 EdgeOne。

验收#

证书为 Active、解析生效后执行以下检查。仅使用步骤 5、未启用流量调度时，CNAME 预期如下。

1
dig @1.1.1.1 cdn.example.com CNAME
2
dig @223.5.5.5 cdn.example.com CNAME

启用步骤 6 后，境外解析也可以是 cdn.example.com.eo.dnse0.com。此时以响应头区分服务商，见 6.3。

权威应答不得在两次查询之间切换目标：

1
dig @ns1.example.com cdn.example.com CNAME
2
dig @ns2.example.com cdn.example.com CNAME

将 ns1.example.com / ns2.example.com 换成 example.com 的权威 NS。

请求同一对象：

1
curl -sI "https://cdn.example.com/path/to/object.webp"

不要用 https://customers.example.net/ 判断对象是否可访问。接入名是空源记录，不提供内容。

完成效果#

以下为配置完成后的一次 ITDOG 多点拨测截图，约 260 个监测点。数字只反映该次测试，不是长期统计，也不能外推到未出现在图中的对象体积或时间段。