Cloudflare Tunnel

Cloudflare Tunnel은 Cloudflare가 제공하는 보안 연결 서비스입니다. 서버나 내부망에 cloudflared라는 경량 데몬을 설치하면, 이 데몬이 Cloudflare 글로벌 네트워크로 지속적인 아웃바운드 연결을 먼저 맺습니다. 원본 서버로 향하는 모든 트래픽이 Cloudflare를 거치므로 CDN 캐시, WAF, Bot 관리, DDoS 방어가 자동으로 적용됩니다. 공식 문서는 이를 "인바운드 포트 없음, 공인 IP 없음"으로 설명하며, 모든 요금제를 지원한다고 밝히고 있습니다.

작동 방식

1. 서버 또는 네트워크에 cloudflared를 설치합니다.
2. cloudflared가 Cloudflare로 아웃바운드 양자 내성 암호화 연결을 맺습니다. 인바운드 포트가 필요 없고 방화벽을 수정할 필요도 없습니다.
3. 공개 호스트 이름을 로컬 서비스에 매핑합니다. 예를 들어 app.example.com을 http://localhost:8080에 매핑합니다.
4. 트래픽이 Cloudflare 네트워크를 거쳐 원본 서버로 전달되며, 이때 CDN과 보안 보호 기능이 함께 적용됩니다.

각 터널은 Cloudflare 데이터 센터 두 곳과 장기 연결 네 개를 유지하여 기본적인 이중화를 제공합니다. 또한 cloudflared 복제본을 여러 개 실행해 가용성을 더 높일 수 있습니다.

주요 기능

• 안전한 원본 연결: 원본 서버의 공인 IP를 더 이상 노출하지 않으며, 모든 트래픽이 Cloudflare의 CDN, WAF, DDoS 방어를 거칩니다.
• 공개 인그레스 라우팅: 내부 애플리케이션을 호스트 이름 기준으로 인터넷에 게시하며, HTTP, HTTPS, TCP, SSH, RDP 등의 프로토콜을 지원합니다.
• Workers VPC: Cloudflare Workers가 터널을 통해 프라이빗 데이터베이스, API, 서비스에 안전하게 접근할 수 있습니다.
• 로드 밸런싱: 터널을 Cloudflare Load Balancer 원본 풀의 엔드포인트로 사용해 고가용성과 트래픽 분산을 구현합니다.
• 통합: Cloudflare One, Access 등 다른 제품과 함께 사용할 수 있습니다.
• 구성 방법: 대시보드나 API로 터널을 만들고 복제본, 방화벽 규칙, 토큰, 실행 매개변수를 설정할 수 있습니다.

대상 사용자 및 사용 사례

• 홈 서버나 NAS에서 서비스를 자체 호스팅하는데 공인 IP가 없거나 포트 포워딩을 하고 싶지 않은 개인 사용자
• 원본 IP를 숨기고 공격 표면을 줄이고 싶은 웹사이트 및 애플리케이션 운영자
• 내부 애플리케이션, SSH, RDP 서비스를 안전하게 게시해야 하는 개발 및 운영 팀
• 이미 Cloudflare의 DNS, CDN, 보안 제품을 사용 중이며 트래픽 진입점을 통합 관리하려는 사용자

핵심 장점

• 아웃바운드 연결만 사용하므로 인바운드 포트를 열 필요가 없어 노출 범위가 크게 줄어듭니다.
• 연결에 양자 내성 암호화를 사용합니다.
• Cloudflare의 CDN, WAF, DDoS 방어 등과 긴밀하게 통합되어 있습니다.
• 다중 연결 이중화를 기본 제공하며 복제본 여러 개를 배포할 수 있습니다.
• 공식 안내에 따르면 대시보드나 API로 5분 안에 첫 번째 터널을 만들 수 있습니다.

배포 및 기술 요구 사항

• Cloudflare 계정이 필요하며, 해당 호스트 이름을 Cloudflare에서 관리해야 합니다.
• 원본 서버가 있는 서버나 네트워크에서 cloudflared 데몬을 실행해야 하며, 이 프로세스는 Cloudflare 네트워크에 접근할 수 있어야 합니다.
• 대시보드 또는 API로 터널을 만든 다음 공개 호스트 이름을 로컬 서비스에 매핑합니다. 자세한 절차는 공식 "Get started" 문서를 참고하세요.

유의 사항

• 이 서비스는 관리형 서비스이며 트래픽이 Cloudflare 네트워크를 거치므로 Cloudflare의 서비스와 정책에 의존하게 됩니다.
• 이 문서는 주로 공개 애플리케이션용 사용 방식을 다룹니다. VPN 대체, 프라이빗 네트워크 접근, 네트워크 트래픽 필터링은 Cloudflare One의 Tunnel 문서를 참고하세요.
• 프로토콜 지원 범위와 요금제별 제한은 공식 문서를 기준으로 확인하세요.