Cloudflare Tunnel

一、网站简介

Cloudflare Tunnel（原名 Argo Tunnel）是 Cloudflare 提供的一款免费内网穿透隧道服务，通过轻量级守护进程 cloudflared 在源服务器与 Cloudflare 全球边缘网络之间建立加密隧道。用户无需在防火墙上开放任何入站端口，即可将本地运行的 Web 服务、SSH、数据库等安全地暴露到公网，并获得 Cloudflare 的 DDoS 防护、CDN 加速和 SSL 证书等企业级能力。对于 Homelab 玩家来说，Cloudflare Tunnel 是将家中 NAS 上的应用以 HTTPS 方式安全对外开放的最佳方式之一，完全免费且无需拥有公网 IP。

二、公司背景

Cloudflare, Inc. 成立于 2009 年，总部位于美国旧金山，是全球领先的云安全与网络性能公司，2019 年在纽交所上市（NYSE: NET）。Cloudflare 运营着覆盖全球 330+ 城市的边缘网络，为超过 20% 的互联网网站提供安全和加速服务。Cloudflare Tunnel 最初以 Argo Tunnel 品牌于 2018 年推出，后整合到 Cloudflare Zero Trust 产品线中，成为其零信任网络架构的核心组件。cloudflared 客户端代码已在 GitHub 上以 Apache 2.0 协议开源，用户可免费使用。

三、核心功能

• 零端口暴露：cloudflared 守护进程主动从内网向 Cloudflare 边缘节点发起出站连接，无需在路由器上做任何端口转发或开放防火墙入站规则，从根本上杜绝端口扫描和 DDoS 攻击。
• 自动 HTTPS 与 CDN 加速：通过 Tunnel 暴露的 HTTP 服务自动获得 Cloudflare 边缘 SSL 证书（支持自定义域名），并享受全球 CDN 缓存加速，访问速度极快。
• Zero Trust 访问控制：集成 Cloudflare Access，可为 Tunnel 后的应用添加 SSO 单点登录、多因素认证（MFA）、IP 白名单等访问控制策略，确保只有授权用户可以访问。
• 多协议支持：除 HTTP/HTTPS 外，还支持 TCP、SSH、RDP、SMB 等任意基于 TCP 的协议，通过 cloudflared access 命令可在客户端建立安全隧道访问。
• Private Network 私有网络：支持将整个内网子网通过 Tunnel 暴露到 Cloudflare WARP 客户端，实现类似 VPN 的远程内网访问体验。
• 可视化仪表板：在 Cloudflare Zero Trust Dashboard 中可实时查看隧道状态、连接数、带宽使用和健康检查结果，管理多台设备的隧道一目了然。

四、网站特点

• 完全免费且不限流量：Cloudflare Tunnel 对个人用户完全免费，没有带宽限制和连接数限制，仅需拥有一个域名并托管到 Cloudflare DNS。
• 企业级安全防护：继承 Cloudflare 全球网络的 DDoS 防护能力（可抵御 Tbps 级别攻击），配合 WAF 防火墙规则，安全性远超自建隧道方案。
• 部署极其简单：Docker 一键部署、包管理器安装或直接下载二进制文件，几分钟即可完成配置，官方文档详尽且提供中文版。
• 与 Cloudflare 生态深度整合：可无缝配合 Workers、Pages、R2、D1 等 Cloudflare 产品，构建完整的 Serverless + Tunnel 技术栈。

五、适用人群

• Homelab 与 NAS 用户：将家中的 Jellyfin、Home Assistant、Bitwarden 等服务通过自定义域名以 HTTPS 方式对外开放，无需公网 IP 和端口转发。
• 个人开发者与博主：将本地开发的 Web 应用、博客预览、API 服务快速分享给他人，或搭建个人图床、网盘服务。
• 小微企业 IT 管理：安全暴露内网 OA、CRM 系统到公网，配合 Cloudflare Access 实现员工 SSO 登录，无需搭建 VPN。
• 注重安全的隐私用户：不希望在路由器上开端口，同时需要企业级安全防护和流量加密的中高级用户。

六、应用场景

• 安全暴露家中 NAS 服务：在群晖 Docker 中运行 cloudflared，将 DSM 管理界面、Jellyfin 影音库和 Synology Photos 分别映射到 nas.example.com、jellyfin.example.com、photos.example.com，配合 Cloudflare Access 的邮箱验证码登录，安全又便捷。
• 本地开发环境公网调试：在本地运行 cloudflared tunnel –url http://localhost:3000 一条命令，即可获得临时 HTTPS 域名，快速向客户展示开发进度或进行 Stripe/PayPal Webhook 本地调试。
• 远程 SSH 访问树莓派：在树莓派上安装 cloudflared，配置 SSH 隧道。远程时通过 cloudflared access ssh 命令即可安全连接，无需暴露 22 端口，也无需记住动态公网 IP。
• 搭建私人网盘：本地运行 Nextcloud 或 Alist，通过 Cloudflare Tunnel 映射到自有域名，利用 Cloudflare CDN 全球加速，实现比公网服务器更快的文件上传下载体验。

七、常见问题（FAQ）

Q：国内网络环境下 Cloudflare Tunnel 能正常使用吗？
A：Cloudflare 官网（cloudflare.com）在国内可以正常访问，Tunnel 功能在国内也能基本正常使用。但国内到 Cloudflare 边缘节点的延迟和速度波动较大，部分地区可能出现连接缓慢的情况。建议选择 Cloudflare 在亚洲的边缘节点（如东京、香港、新加坡）以获得最佳体验。

Q：Cloudflare Tunnel 免费吗？有什么限制？
A：Tunnel 服务本身完全免费，无连接数和带宽限制。但需要拥有一个域名，并将其 DNS 托管到 Cloudflare（免费），以及使用 Cloudflare 的 CDN 代理（橙色云朵）。Cloudflare 免费套餐的 CDN 上传文件有 100MB 单文件限制。

Q：Tunnel 中断后会自动重连吗？
A：cloudflared 内置了自动重连机制，网络恢复后会自动重建隧道。建议将 cloudflared 配置为系统服务（systemd 或 Docker restart=always），确保长期稳定运行。

Q：Cloudflare Tunnel 是否支持 UDP 协议？
A：目前 Cloudflare Tunnel 仅支持 TCP 协议（包括基于 TCP 的 HTTP/HTTPS）。需要 UDP 穿透的场景（如游戏服务器、WireGuard）建议使用 FRP、NPS 或 Tailscale 等工具。

八、类似网站

• ngrok：功能相似的内网穿透商业服务，免费版有带宽和连接数限制，配置更简单但安全性和稳定性不如 Cloudflare。
• FRP：自建开源方案，需要一台公网服务器，灵活度更高但缺少 Cloudflare 的企业级安全防护和 CDN 加速。
• Tailscale Funnel：Tailscale 的公网暴露功能，可将 Tailnet 内的 HTTP 服务通过 HTTPS 暴露到公网，适合已在使用 Tailscale 的用户。