Cloudflare Tunnel

Cloudflare Tunnel 是 Cloudflare 提供的安全连接服务。你在服务器或内网中安装名为 cloudflared 的轻量守护进程，它会主动向 Cloudflare 全球网络建立持久的出站连接。所有访问源站的流量都经过 Cloudflare，CDN 缓存、WAF、Bot 管理和 DDoS 防护会自动生效。官方文档称其为“无入站端口、无公网 IP”，并支持所有套餐。

工作原理

1. 在服务器或网络中安装 cloudflared。
2. cloudflared 向 Cloudflare 建立出站的后量子加密连接，不需要入站端口，也不用改防火墙。
3. 把公共主机名映射到本地服务，例如把 app.example.com 映射到 http://localhost:8080。
4. 流量经 Cloudflare 网络转发到源站，同时应用 CDN 和安全防护。

每条隧道会与两个 Cloudflare 数据中心保持四条长连接，以提供内置冗余。你还可以运行多个 cloudflared 副本，进一步提高可用性。

主要功能

• 安全的源站连接：不再暴露源站公网 IP，流量统一经过 Cloudflare 的 CDN、WAF 和 DDoS 防护。
• 公网入口路由：把内部应用按主机名发布到互联网，支持 HTTP、HTTPS、TCP、SSH、RDP 等协议。
• Workers VPC：让 Cloudflare Workers 通过隧道安全访问私有数据库、API 和服务。
• 负载均衡：把隧道作为 Cloudflare Load Balancer 源站池的端点，实现高可用和流量调度。
• 集成：可与 Cloudflare One、Access 等产品配合使用。
• 配置方式：可通过控制台或 API 创建隧道，并配置副本、防火墙规则、令牌和运行参数。

目标用户和使用场景

• 在家庭服务器或 NAS 上自托管服务，又没有公网 IP 或不想做端口映射的个人用户。
• 希望隐藏源站 IP、减少攻击面的网站和应用运维人员。
• 需要把内部应用、SSH 或 RDP 服务安全发布出去的开发和运维团队。
• 已在使用 Cloudflare 的 DNS、CDN 和安全产品，希望统一管理流量入口的用户。

核心优势

• 只使用出站连接，无需开放入站端口，大幅减少暴露面。
• 连接采用后量子加密。
• 与 Cloudflare 的 CDN、WAF、DDoS 防护等能力深度集成。
• 内置多连接冗余，并支持多副本部署。
• 官方称可在 5 分钟内通过控制台或 API 创建第一条隧道。

部署与技术要求

• 需要有 Cloudflare 账号，并通过 Cloudflare 管理对应的主机名。
• 在源站所在的服务器或网络中运行 cloudflared 守护进程，该进程需要能访问 Cloudflare 网络。
• 在控制台或通过 API 创建隧道，再把公共主机名映射到本地服务。具体步骤见官方“Get started”文档。

注意事项

• 这是托管服务，流量会经过 Cloudflare 的网络，因此依赖 Cloudflare 的服务和政策。
• 本文档主要介绍面向公开应用的用途。VPN 替代、私有网络访问和网络流量过滤，请参考 Cloudflare One 中的 Tunnel 文档。
• 协议支持范围和各套餐的限制，请以官方文档为准。