Cloudflare DNS 設為 Proxied，只能讓正常流量先到 Cloudflare，不能強制 Origin 拒絕直連。本文以單一 GCP Ubuntu VM 為環境；能管理 GCP Firewall 時，由 Cloud Run Job 更新 Firewall rule、Cloud Scheduler 每日觸發，即使 Origin VM 停機仍可同步 Cloudflare CIDR。無法控制 GCP Firewall 時，才在 VM 上使用 Nginx 或 Apache2 限制來源，並以 systemd timer 更新 allowlist。