§8 Cloudflare 提供哪些服务（全景目录）
状态：已可用。目录来自官方总索引
developers.cloudflare.com/llms.txt与官方定价页（notes/research/services-catalog.md，85 项，2026-09-14 核对）。 免责声明必须保留：Free只表示官方资料明确存在免费计划或免费额度，不表示无限用量、全部高级功能或生产 SLA。
8.0 先说结论：Cloudflare 不是"一个 CDN"
给小白的一句话定位：
Cloudflare = 全球边缘网络 + 建立在它之上的四条产品线： ① 网站加速与防护 ② 零信任办公（Zero Trust / Cloudflare One）③ 开发者平台（Workers 系）④ 媒体与其它。
"把域名托管到 Cloudflare"之所以成为默认选择（M-003 要回答的问题），是因为第 ① ② 条线路的能力都以"域名/账号托管在 CF"为前提——详见 §0.3。
8.1 网络与安全（31 项，摘重点）
| 服务 | 说明 | 免费边界 |
|---|---|---|
| DNS | 托管权威 DNS，全球解析 | Free |
| CDN / Cache | 全球缓存分发 | Free |
| DDoS Protection | 网络层 + 应用层自动缓解（官方称 unmetered） | Free |
| WAF | 托管规则 + 自定义规则过滤 Web 攻击 | Free（核心）/ 高级付费 |
| SSL/TLS | Universal SSL 证书与加密模式 | Free |
| Rules / Transform Rules | 改请求、响应、配置（Free 含 70 条 Cloudflare Rules） | Free |
| Bulk Redirects | 批量重定向（Free 含 10K 条） | Free |
| Bot Management | 机器人识别与处置 | Free 基础 / 付费 |
| Turnstile | 免 CAPTCHA 的人机验证 | Free |
| Argo Smart Routing | 优化"边缘 → 源站"路径 | 付费（按量，需账单资料） |
| Tiered Cache | 分层缓存减少回源与连接数 | Free/Pro/Business/Enterprise 均可用（Tiered Cache 与 Smart 拓扑）；Generic Global/Regional/Custom 拓扑仅 Enterprise |
| Cache Reserve | 持久化缓存层（建在 R2 上） | 付费（按存储与操作量） |
| Load Balancing | 健康检查 + 分流 + 故障切换 | 付费（$5/月起） |
| Waiting Room | 高峰排队 | 付费/企业 |
| Spectrum | 代理任意 TCP/UDP 应用 | 付费/企业 |
| API Shield | API 发现 / Schema 校验 / mTLS | 企业 |
| Magic Transit / Cloudflare WAN / Network Firewall | L3 与企业网络 | 企业 |
| BYOIP | 用自己的 IP 前缀 + CF 防护 | 企业 |
| China Network | 中国大陆网络节点（JD Cloud 合作） | 需企业（Contract + per-apex ICP） |
| Client-side Security | 第三方脚本风险监测 | Free（脚本监控） |
| Cloudflare for SaaS | 为客户自定义主机名提供 CF 服务（§5 优选落地依赖它） | 非企业计划内置；Free 支持少于 100 个 hostname |
关键落差：Argo / Cache Reserve / Load Balancing / Waiting Room / Spectrum 都是付费项；免费拿到的是"DNS + CDN + DDoS + Universal SSL + WAF 核心"这套地基。例外：Tiered Cache 基础能力在 Free 可用（见 §7.1）。
8.2 Zero Trust / Cloudflare One（13 项）
| 服务 | 说明 | 免费边界 |
|---|---|---|
| Cloudflare One | 网络 + 身份 + 安全统一控制面 | Free/付费分层 |
| Access | 按身份和设备给内部应用加门禁（无需改应用代码） | Free（小团队席位免费，规模扩大付费） |
| Gateway | 对 DNS / HTTP / 网络流量执行安全策略 | Free/付费 |
| WARP Client | 把终端设备接入 Cloudflare 网络 | Free（消费者 WARP）；组织管理付费 |
| Cloudflare Tunnel | 无公网 IP 也能提供服务（本文主角） | Free |
| Browser Isolation | 隔离环境运行浏览器 | 付费/企业 |
| DLP / CASB / Email Security | 数据防泄漏 / SaaS 风险 / 邮件安全 | 付费/企业 |
| Multi-Cloud Networking / Magic WAN / Workers VPC | 云与分支组网 | 付费/企业/未确证 |
8.2.1 重点：为什么"域名托管在 CF"能一路长成"零信任办公"
三条链路串起来，就是社区口口相传的"异地组网"：
机房/家里内网服务 ──Tunnel（出站，不开端口）──> Cloudflare 网络
▲
办公笔记本 / 手机 ──WARP（设备接入）──────────────────┘
由 Access 决定"谁能进"，由 Gateway 决定"流量怎么走"| 组件 | 作用 | 关键点 |
|---|---|---|
| Tunnel | 把内网服务（Web / SSH / RDP）安全挂到 CF | 源站不需要公网 IP、不开入站端口（§2） |
| WARP | 把设备接入 CF 网络 | 官方分两条线：消费者 WARP（1.1.1.1 with WARP） vs 企业 Cloudflare One Client |
| Access | 身份/设备门禁 | 不改应用代码；对自定义主机名也有官方方案（§7.1） |
| Gateway | DNS / HTTP / 网络层策略 | 拦域名、限出口、分流 |
8.3 开发者平台（24 项，摘重点）
| 服务 | 说明 | 免费边界 |
|---|---|---|
| Workers | 边缘运行无服务器代码 | Free：100,000 请求/天 |
| Pages | 全栈静态/函数部署 | Free（静态资产） |
| R2 | 对象存储，无出站流量费 | Free：10 GB-month + 免费 A/B 类操作额度 |
| D1 | 无服务器 SQL 数据库 | Free（含额度） |
| Workers KV | 全球键值存储 | Free（1 GB + 日额度） |
| Durable Objects | 有状态单实例协调 | Free（日额度） |
| Queues / Workflows | 消息队列 / 持久化多步流程 | Free（日额度） |
| Hyperdrive | 加速既有数据库查询 | Free（100,000 查询/天） |
| Vectorize | 向量数据库 | Free（按额度） |
| AI Gateway / Workers AI | AI 调用观测与路由 / 边缘推理 | Free（AI：10,000 Neurons/天） |
| Containers / Browser Rendering / Analytics Engine | 容器 / 无头浏览器 / 时序分析 | Free（各含额度） |
| Workers for Platforms / Dynamic Workers | 平台级多租户 | 付费 |
8.4 媒体与其它（25 项，摘重点）
| 服务 | 说明 | 免费边界 |
|---|---|---|
| Images Transformations | 按 URL 生成图片变换 | Free：5,000 次/月 |
| Email Routing | 自定义域邮件转发 | Free |
| 1.1.1.1 | 公共 DNS 解析器 | Free |
| Radar | 互联网数据研究 | Free（公开） |
| Web Analytics | 隐私友好的访问统计 | Free |
| Logpush / Analytics / Log Explorer | 日志推送与查询 | Free/付费（Log Explorer 首 10 GB 免费） |
| Stream | 视频托管编码分发 | 付费 |
| Realtime / RealtimeKit / Calls | WebRTC 实时音视频 | Free 含出口额度 / 部分付费 |
| Registrar | 成本价注册续费域名 | 付费（成本价） |
| Zaraz | 云端运行第三方工具 | 付费 |
8.5 免费边界速查（常见误区）
| 常见误解 | 事实 |
|---|---|
| "CF 免费版什么都免费" | Argo、Cache Reserve、Load Balancing、Waiting Room、Spectrum、Stream、Zaraz 均是付费 |
| "Tiered Cache 要付费才能用" | ❌ 官方可用性表：Tiered Cache 与 Smart 拓扑四档计划均可用（Free 含）；付费门槛只在 Generic Global / Regional / Custom 拓扑 |
| "免费版没有 DDoS 防护/证书" | 官方明确 Free 含 Unmetered DDoS Protection、CDN、Universal SSL、WAF（核心） |
| "Workers 免费随便跑" | Free 为 100,000 请求/天；R2/KV/D1/Queues 均按额度 |
| "中国访问也能走 CF 免费版加速" | China Network 需企业合同 + per-apex ICP；免费版下大陆体验取决于就近边缘（§7.3） |
| "自定义主机名（SaaS）要钱" | 官方：非企业计划内置，Free 支持少于 100 个 hostname |
| "开了代理（黄云）就没有源站保护了" | 恰恰相反：黄云不暴露源站 IP；灰云才暴露（§0.2） |
未确证条目（官方公开资料不足以确认 Free 边界）：DMARC Management、Health Checks、Workers VPC、Agents、Pipelines、R2 Data Catalog、R2 SQL、Email Service、Secrets Store、Sandbox SDK、Calls、Network Error Logging、Network Flow、Time Services、Web3 Gateway、Privacy Pass/Gateway/Proxy、Notifications、Resource Tagging。教程中不得替这些项下免费结论。