Cloudflare Tunnel 完整设置和使用方法

Cloudflare Tunnel 完整设置和使用指南：安全、快速地暴露您的本地服务

Cloudflare Tunnel 是一项强大的服务，它允许您将本地运行的 Web 服务器或应用程序安全地暴露到互联网上，而无需开放任何入站防火墙端口。这极大地提高了安全性，同时简化了网络配置。本文将深入探讨 Cloudflare Tunnel 的工作原理、设置步骤、高级配置以及实际应用场景，帮助您全面掌握这项技术。

1. Cloudflare Tunnel 的工作原理

传统的网络服务暴露方式通常需要在路由器或防火墙上配置端口转发，将外部请求导向内网服务器。这种方式存在以下问题：

• 安全风险： 开放入站端口会增加服务器遭受攻击的风险，例如暴力破解、DDoS 攻击等。
• 配置复杂： 端口转发配置繁琐，需要处理动态 IP、NAT 穿透等问题。
• 维护困难： 一旦网络环境发生变化，就需要重新配置端口转发规则。

Cloudflare Tunnel 采用了一种截然不同的方式来解决这些问题。它通过在您的服务器上运行一个轻量级的守护进程（cloudflared），建立一条到 Cloudflare 边缘网络的出站加密隧道。所有对您服务的请求都会先经过 Cloudflare 网络，然后通过这条隧道安全地转发到您的服务器。

核心优势：

• 无需开放入站端口： 由于隧道是出站连接，您的服务器无需在防火墙上打开任何入站端口，大大降低了安全风险。
• 自动处理动态 IP 和 NAT： Cloudflare Tunnel 可以自动适应网络环境的变化，无需手动配置端口转发或处理 NAT 穿透。
• 内置安全防护： Cloudflare 的全球网络提供了 DDoS 防护、Web 应用程序防火墙（WAF）等安全功能，保护您的服务免受攻击。
• 负载均衡和高可用性： 您可以运行多个 cloudflared 实例，实现负载均衡和故障转移，提高服务的可用性。
• 简化配置： 通过 Cloudflare Dashboard 或命令行工具，可以轻松管理 Tunnel 的配置。

2. 详细设置步骤

下面我们将详细介绍如何设置和使用 Cloudflare Tunnel。

2.1. 前提条件

• Cloudflare 账户： 您需要一个 Cloudflare 账户，并将您的域名添加到 Cloudflare。
• 服务器： 您需要一台可以运行 cloudflared 的服务器，这台服务器可以位于本地网络或云端。
• 已安装的 Web 服务： 您的服务器上需要运行一个 Web 服务（例如 Nginx、Apache）或应用程序，以便通过 Tunnel 暴露到互联网。
• 安装cloudflared 您需要安装cloudflared

2.2. 安装 cloudflared

cloudflared 是 Cloudflare Tunnel 的客户端程序，负责建立和维护到 Cloudflare 网络的隧道。您可以从 Cloudflare 官方网站下载适用于您操作系统的 cloudflared 安装包。

Linux (Debian/Ubuntu):

bash
wget https://github.com/cloudflare/cloudflared/releases/latest/download/cloudflared-linux-amd64.deb
sudo dpkg -i cloudflared-linux-amd64.deb

Linux (CentOS/RHEL):

bash
wget https://github.com/cloudflare/cloudflared/releases/latest/download/cloudflared-linux-amd64.rpm
sudo rpm -i cloudflared-linux-amd64.rpm

macOS (Homebrew):

bash
brew install cloudflare/cloudflare/cloudflared

Windows:

从 Cloudflare 官方网站下载 Windows 安装包并安装。

验证安装：

bash
cloudflared --version

2.3. 登录 Cloudflare 账户

使用以下命令登录您的 Cloudflare 账户：

bash
cloudflared tunnel login

此命令会在浏览器中打开 Cloudflare 登录页面，您需要授权 cloudflared 访问您的账户。

2.4. 创建 Tunnel

使用以下命令创建一个新的 Tunnel：

bash
cloudflared tunnel create <tunnel_name>

<tunnel_name> 是您为 Tunnel 指定的名称。此命令会生成一个 Tunnel ID 和一个凭证文件（cert.pem），用于后续配置。

2.5. 配置 Tunnel (两种方式)

有两种方式配置 Tunnel：

2.5.1 传统方式

1. 创建配置文件：

   在您选择的目录中创建一个名为 config.yml 的文件（例如 /etc/cloudflared/config.yml），并添加以下内容：

   ```yaml
   tunnel:
   credentials-file: /etc/cloudflared/.json

   ingress:
   - hostname:
   service: http://localhost:80
   - service: http_status:404
   ``
*tunnel: 替换为您的 Tunnel ID。
*credentials-file: Cloudflare 会自动创建.json文件.
*hostname: 替换为您要通过 Tunnel 暴露的域名。
*service`: 替换为您本地 Web 服务或应用程序的地址和端口。
   * 最后一条规则配置一个默认的 404 页面，用于处理未匹配到任何规则的请求。

2. 配置 DNS 记录：

   在 Cloudflare Dashboard 中，为您的域名添加一条 CNAME 记录，指向 <tunnel_id>.cfargotunnel.com。
   这条记录用于通过隧道连接您的域

3. 运行 Tunnel：

   bash
cloudflared tunnel --config /etc/cloudflared/config.yml run
   此命令会根据配置文件启动 Tunnel。

2.5.2 快速开始（Quick Tunnel)
Cloudflare 现在提供了一个快速配置选项，它将自动完成创建隧道、配置 DNS 记录和运行 cloudflared 的步骤，并且不需要创建本地配置文件。

1. 运行
   cloudflared tunnel --hostname <your_domain> http://localhost:<port>
<your_domain>：替换为您的域名或子域名。
   <port>：替换为您的应用程序正在监听的本地端口。

2.6. 设置开机自启 (可选)

为了确保 Tunnel 在服务器重启后自动运行，您可以将其配置为系统服务。

Linux (systemd):

1. 创建一个 systemd 服务文件：

   bash
sudo nano /etc/systemd/system/cloudflared.service

2. 添加以下内容：

   ```
   [Unit]
   Description=Cloudflare Tunnel
   After=network.target

   [Service]
   TimeoutStartSec=0
   Type=notify
   ExecStart=/usr/local/bin/cloudflared tunnel --config /etc/cloudflared/config.yml run
   Restart=on-failure
   RestartSec=10

   [Install]
   WantedBy=multi-user.target
   ```

3. 启用并启动服务：

   bash
sudo systemctl enable cloudflared
sudo systemctl start cloudflared
   您可以将 ExecStart 这一行换为快速开始选项。

3. 高级配置

Cloudflare Tunnel 提供了许多高级配置选项，可以满足更复杂的需求。

3.1. 多服务配置

您可以在同一个 Tunnel 中配置多个服务，例如：

yaml
ingress:
- hostname: app1.example.com
service: http://localhost:8080
- hostname: app2.example.com
service: http://localhost:8081
- service: http_status:404

3.2. HTTPS 支持

如果您希望通过 HTTPS 访问您的服务，有两种方式：

• 使用 Cloudflare 的自动 HTTPS： Cloudflare 会自动为您的域名提供 SSL/TLS 证书，无需您在本地服务器上配置证书。这是最简单的方式。
• 在本地服务器上配置 HTTPS： 您可以在本地服务器上配置 SSL/TLS 证书，并将 service 配置为 https://localhost:443。这种方式需要您自行管理证书。

3.3. 负载均衡

您可以在多个服务器上运行 cloudflared 实例，并将它们指向同一个 Tunnel。Cloudflare 会自动将流量分发到这些实例，实现负载均衡和故障转移。

3.4. Cloudflare Access

Cloudflare Access 是一项零信任网络访问（ZTNA）服务，可以与 Cloudflare Tunnel 集成，为您的应用程序提供更细粒度的访问控制。您可以基于用户身份、设备状态等因素来控制访问权限。

3.5 使用TryCloudflare (可选)
如果您不想创建 Cloudflare 账户，可以使用 TryCloudflare 快速测试 Cloudflare Tunnel。

运行以下命令：
cloudflared tunnel
此命令将启动一个临时隧道并将 URL 打印到终端。 此 URL 将在 24 小时后过期。

4. 实际应用场景

Cloudflare Tunnel 可以应用于各种场景，例如：

• 安全地暴露本地开发环境： 您可以在本地开发 Web 应用程序，并使用 Tunnel 将其安全地暴露给团队成员或客户进行测试和演示。
• 远程访问家庭网络服务： 您可以将家庭网络中的 NAS、摄像头等设备通过 Tunnel 安全地暴露到互联网，方便远程访问。
• 构建混合云应用： 您可以将本地数据中心或私有云中的应用程序与 Cloudflare 的全球网络集成，构建混合云应用。
• 物联网设备连接： 您可以将物联网设备连接到 Cloudflare Tunnel，实现安全的远程管理和数据收集。

5. 总结

Cloudflare Tunnel 是一项强大而灵活的服务，它提供了一种安全、简单、高效的方式来将本地服务暴露到互联网上。通过本文的详细介绍，您应该已经掌握了 Cloudflare Tunnel 的基本原理、设置步骤和高级配置。希望这些信息能帮助您更好地利用 Cloudflare Tunnel，构建更安全、更可靠的网络应用。

6. 常见问题解答 (FAQ)

• Q: Cloudflare Tunnel 是否免费？

  A: Cloudflare Tunnel 包含在所有 Cloudflare 计划中，包括免费计划。但是，免费计划可能有带宽限制。
  * Q: Cloudflare Tunnel 是否支持 TCP 和 UDP 协议？

  A: Cloudflare Tunnel 主要用于 HTTP/HTTPS 流量。对于 TCP 和 UDP 协议，您可以使用 Cloudflare Spectrum 或 Warp。
  * Q: Cloudflare Tunnel 的性能如何？

  A: Cloudflare Tunnel 的性能取决于您的服务器性能和网络状况。Cloudflare 的全球网络通常可以提供较低的延迟和较高的吞吐量。
  * Q: 如何监控 Cloudflare Tunnel 的状态？
  A: 您可以使用 Cloudflare Dashboard 或命令行工具来监控 Tunnel 的状态，包括连接状态、流量统计等。
  * Q: 我可以自定义 Cloudflare Tunnel 的错误页面吗？
  A：可以通过配置ingress部分，为没有匹配到域名的流量设置回退页面。
  * Q: cloudflared是否支持 ARM 架构
  A: 是的，可以前往github下载页面寻找对应版本。

希望这份详尽的指南能帮助您充分利用 Cloudflare Tunnel 的强大功能！