Cloudflare Tunnel：现代化的安全隧道解决方案
随着云原生技术的兴起和远程工作的普及，如何安全、快速地访问内部服务变得至关重要。传统的 VPN 或端口转发方案常常面临安全隐患和复杂的配置问题。而 Cloudflare Tunnel 提供了一种现代化的解决方案，无需暴露 IP 或打开防火墙端口，即可安全地将本地服务暴露到互联网上。
什么是 Cloudflare Tunnel？
Cloudflare Tunnel（原名 Argo Tunnel）是 Cloudflare 提供的一种安全隧道服务，用于将本地服务与 Cloudflare 的全球网络连接起来。通过 Cloudflare Tunnel，您无需公开服务器的 IP 地址，也不需要复杂的防火墙配置，就可以将服务安全地暴露在互联网上。
Cloudflare Tunnel 的核心优势
- 无需暴露 IP
使用 Cloudflare Tunnel 后，您的服务器 IP 地址对外完全隐藏，大幅减少攻击面。 - 端到端加密
数据通过隧道传输，并由 Cloudflare 自动为域名配置 HTTPS，加密保障强大。 - 无需打开端口
隧道不需要任何端口转发配置，方便 NAT 网络或防火墙后的服务使用。 - 全球加速
借助 Cloudflare 的全球 Anycast 网络，访问速度更快，可靠性更高。 - 支持零信任访问
与 Cloudflare Access 配合，您可以为服务启用身份验证，确保只有授权用户可以访问。
如何创建和使用 Cloudflare Tunnel
以下是从零开始创建并使用 Cloudflare Tunnel 的详细步骤。
1. 前置条件
- 一个已注册的 Cloudflare 账户。
- 一个 Cloudflare 管理的域名（域名的 DNS 需托管在 Cloudflare）。
- 安装
cloudflared（Cloudflare Tunnel 的命令行工具）。
2. 安装 cloudflared
在服务器上安装 cloudflared。
Linux 安装
# 添加 Cloudflare 的官方仓库
curl -fsSL https://pkg.cloudflare.com/cloudflare-release.gpg | sudo gpg --dearmor -o /usr/share/keyrings/cloudflare-archive-keyring.gpg
echo "deb [signed-by=/usr/share/keyrings/cloudflare-archive-keyring.gpg] https://pkg.cloudflare.com/ $(lsb_release -cs) main" | sudo tee /etc/apt/sources.list.d/cloudflare.list
sudo apt update
sudo apt install cloudflared
macOS 安装
brew install cloudflared
Windows 安装
- 下载 cloudflared 的可执行文件：Cloudflare Downloads.
3. 创建 Tunnel
运行以下命令，开始创建一个新的隧道：
cloudflared tunnel create my-tunnel
这会生成一个唯一的隧道 ID，并将其存储在 Cloudflare 的系统中，同时会在本地创建一个配置文件。
4. 配置 Tunnel 的服务
创建一个 config.yml 文件，定义需要通过隧道暴露的服务。
示例配置文件：
tunnel: <your-tunnel-id>
credentials-file: /path/to/your-tunnel-credentials.json
ingress:
- hostname: example.com
service: http://localhost:8000
- hostname: api.example.com
service: http://localhost:5000
- service: http_status:404
说明：
hostname：您希望通过隧道访问的域名。service：本地服务的地址（例如http://localhost:8000）。http_status:404：所有未匹配的请求返回 404。
5. 运行 Tunnel
启动隧道：
cloudflared tunnel run my-tunnel
此时，隧道将启动并连接到 Cloudflare，您的本地服务可以通过 example.com 被安全地访问。
6. 添加 DNS 记录
Cloudflare 会自动为隧道生成 CNAME 记录，指向 Cloudflare 的内部地址。您可以通过以下命令手动添加 DNS 记录：
cloudflared tunnel route dns my-tunnel example.com
使用场景
- 远程访问内部服务
- 将内部开发环境、安全仪表盘或管理面板暴露给远程用户。
- 保护自托管服务
- 为自托管应用（如 Nextcloud、Jenkins、GitLab）提供安全、快速的外部访问。
- 零信任网络接入
- 配合 Cloudflare Access，为服务启用 SSO、MFA 等身份验证。
注意事项
- 高可用性
在生产环境中，可以通过运行多个隧道实例实现高可用性。Cloudflare 会自动负载均衡到可用的隧道实例。 - 安全策略配置
建议配合 Cloudflare Access，限制访问权限，并使用身份验证机制保护敏感服务。 - 本地服务稳定性
确保本地服务的可用性，因为隧道只转发请求，后端服务的稳定性直接影响访问体验。 - 带宽限制
Cloudflare 免费计划有一定的流量限制，重度使用场景可能需要升级到付费计划。 - DNS 缓存更新
如果修改了 DNS 配置，可能需要一定时间等待缓存生效。
日志与监控
配置 cloudflared 的日志输出，并定期检查隧道运行状态：
cloudflared tunnel info my-tunnel
总结
Cloudflare Tunnel 是一种现代化的安全隧道解决方案，为开发者和运维团队提供了快速、安全的服务暴露方式。它消除了传统 VPN 和端口转发的复杂性，降低了服务器暴露的风险，同时结合 Cloudflare 的全球网络和零信任架构，使得服务的可用性和安全性大幅提升。
无论是小型开发团队还是大型企业，Cloudflare Tunnel 都是一个值得尝试的工具。如果您需要为本地服务提供安全、全球可用的访问入口，Cloudflare Tunnel 是一个强大的选择。
推荐资源：