原理简介
类似于国内花生壳、Cpolar 的国外内网穿透服务，能够正常运行在国内的网络环境中。并且还免费。
Cloudflare Tunnel是Cloudflare零信任网络的一个产品，用于打通企业、员工、设备之间的边界，从而摒弃掉VPN之类的过时技术（其实也不是过时，只不过是相对来说安全性、可控性较差）
通过Cloudflare Tunnel，可以实现云与设备之间打通一条加密通道，这样Cloudflare的CDN就可以很方便的通过这条加密通道访问到部署在内网的服务，包括Web、SSH等。同时，还不用考虑电信、移动等ISP不提供固定IP地址、不能开放端口，甚至解决备案的问题。
所以，整套内网穿透的方案大致如下：
前置条件
- 登陆https://dash.cloudflare.com/并注册账号，开通 Cloudflare Zero Trust
- 将自己的 DNS 域名解析 NS 记录 改为 Cloudflare 提供的记录
- 能够连接外部网络的操作系统
安装 Cloudflared
| 代码块 | ||
|---|---|---|
| ||
curl -L 'https://github.com/cloudflare/cloudflared/releases/latest/download/cloudflared-linux-amd64' -o /usr/local/bin/cloudflared chmod +x /usr/local/bin/cloudflared |
登陆 Cloudflared
| 代码块 | ||
|---|---|---|
| ||
cloudflared tunnel login |
输入命令后，终端会给出一个登陆地址，我们拷贝到浏览器里面打开，选择需要授权的网站。
| 代码块 | ||
|---|---|---|
| ||
root@debian:/tmp# cloudflared tunnel login A browser window should have opened at the following URL: https://dash.cloudflare.com/argotunnel?aud=&callback=https%3A%2F%2Flogin.cloudflareaccess.org%2FDcPAeVobGywl1JXAa-IBTDA7FJ0d2RwAHfOOAX9S3x0%3D If the browser failed to open, please visit the URL above directly in your browser. 2024-02-16T07:59:25Z INF Waiting for login... 2024-02-16T08:00:18Z INF Waiting for login... 2024-02-16T08:01:11Z INF Waiting for login... 2024-02-16T08:02:04Z INF Waiting for login... 2024-02-16T08:02:57Z INF Waiting for login... 2024-02-16T08:03:49Z INF Waiting for login... 2024-02-16T08:04:42Z INF Waiting for login... 2024-02-16T08:05:35Z INF Waiting for login... 2024-02-16T08:06:28Z INF Waiting for login... 2024-02-16T08:07:21Z INF Waiting for login... Your browser will download the certificate instead. You will have to manually copy it to the following path: /root/.cloudflared/cert.pem |
| 信息 | ||
|---|---|---|
| ||
注意：授权一次只能选择一个网站。如果存在多个不同域名的网站，请授权完成后不要关闭网页，点击第二个、第三个要授权的域名，进行多次授权。 |
创建隧道
授权完以后，我们需要创建隧道。一般建议一台服务器创建一个隧道。
| 代码块 | ||
|---|---|---|
| ||
cloudflared tunnel create <隧道名字> # 比如 cloudflared tunnel create webserver-1 |
创建完以后，会输出隧道的一个UUID，记录下来
| 代码块 | ||
|---|---|---|
| ||
root@debian:/tmp# cloudflared tunnel create webserver-1 Tunnel credentials written to /root/.cloudflared/11960f72-79cb-8a7d-27ad71ba9fbc.json. cloudflared chose this file based on where your origin certificate was found. Keep this file secret. To revoke these credentials, delete the tunnel. Created tunnel webserver-1 with id 11960f72-79cb-8a7d-27ad71ba9fbc |
域名指向
接着，我们需要把域名指向到对应的隧道
| 信息 | ||
|---|---|---|
| ||
注意：下面的命令只会对第一个授权的顶级域名生效，比如abc.com和*.abc.com。如果有多个域名，比如123.com、456.com，需要手工添加CNAME记录。 |
| 代码块 | ||
|---|---|---|
| ||
cloudflared tunnel route dns <隧道名字> <域名> # 比如一级域名（和Web界面不一样，不需要输入@） cloudflared tunnel route dns webserver-1 abc.com # 又比如二级域名 cloudflared tunnel route dns webserver-1 www.abc.com |
这时候，Cloudflare会自动添加一条CNAME记录到对应的域名。
对于多个其他域名，我们需要登录Cloudflare的Web控制台，对应添加CNAME记录，记录值是
配置 Cloudflared
先编辑一个配置文件
| 代码块 | ||
|---|---|---|
| ||
vim ~/.cloudflared/config.yml |
| 代码块 | ||
|---|---|---|
| ||
tunnel: <隧道UUID>
credentials-file: /root/.cloudflared/<隧道UUID>.json
protocol: h2mux
ingress:
# 第一个网站，连接到本地的80端口
- hostname: <域名1.com>
service: http://localhost:80
# 第二个网站，https协议，连接到本地的443端口，禁用证书校验（用于自签名SSL证书）
- hostname: <域名2.com>
service: https://127.0.0.1:443
originRequest:
noTLSVerify: true
originServerName: <域名2.com>
# 第三个网站，8012端口，泛域名
- hostname: <*.域名3.com>
service: http://localhost:8012
# 第四个，反代MySQL sock服务
- hostname: <mysql.域名4.com>
service: unix:/tmp/mysql.sock
# 第五个，反代SSH服务
- hostname: <ssh.域名5.com>
service: ssh://localhost:22
- service: http_status:404 |
更多支持的服务和配置方式，参考帮助文档：Supported protocols
配置完以后，我们测试下配置文件有没有问题
cloudflared tunnel ingress validate
还可以再测试下规则是否命中
cloudflared tunnel ingress rule https://<域名1.com>
SSH 访问配置
默认情况下 SSH默认情况下无法直接通过 SSH 工具访问，在 Linux 环境中可以利用 cloudflared 设置 ssh 配置文件的方式方法【应该是利用自有的工具获取实际访问地址实现类似代理访问的操作】。详细的配置可以参考 https://developers.cloudflare.com/cloudflare-one/connections/connect-networks/use-cases/ssh/
| 代码块 | ||
|---|---|---|
| ||
vim ~/.ssh/config
Host ssh.example.com
ProxyCommand /usr/local/bin/cloudflared access ssh --hostname %h |
测试运行
如果没问题，开始测试
cloudflared --loglevel debug --transport-loglevel warn --config ~/.cloudflared/config.yml tunnel run <隧道UUID>
终端会输出一大堆log，但没有红色报错，那就没问题。
登陆Cloudflare Zero Trust的Web控制台，左边选择Access-Tunnels，可以看到隧道已经跑起来了，状态是Active。
创建系统服务
为了让服务能每次系统启动的时候都跟着启动，我们需要把 Cloudflared 注册成系统服务。不然系统一重启，就歇菜了。
| 代码块 | ||
|---|---|---|
| ||
cloudflared service install systemctl start cloudflared systemctl status cloudflared |
跑完这三条命令，应该就可以看到服务有正常输出，并且Web控制台也可以看到状态是 Active。
| 信息 | ||
|---|---|---|
| ||
注意：创建系统服务后，配置文件会被拷贝到 /etc/cloudflared/config.yml，后续修改配置必须修改新文件 |
| 目录 |
|---|