Cloudflare Tunnel 内网穿透全攻略：安全、稳定、零公网 IP 的终极方案

在没有公网 IP 的环境下，如何安全地将内网服务（如 NAS、本地开发环境、私有云）暴露到互联网？传统的 frp 或 DDNS 方案往往面临配置复杂、安全性弱、需要中转服务器等痛点。而 Cloudflare Tunnel（原名 Argo Tunnel）作为 Cloudflare Zero Trust 生态的核心组件，提供了一种无需暴露端口、无需公网 IP 即可实现高性能内网穿透的解决方案。

1. 为什么选择 Cloudflare Tunnel？

优点

  • 零漏洞暴露：无需在防火墙上开启任何入站端口，有效防范扫描和攻击。
  • 自带顶级防护：天然集成 Cloudflare 的 DDoS 防护、CDN 加速及 Web 应用防火墙 (WAF)。
  • 自动 SSL/TLS：Cloudflare 自动管理证书，全路径 HTTPS 加密。
  • 配置极其简单：支持 Web 界面配置，几分钟即可完成部署。
  • Zero Trust 集成：可轻松添加 Google/GitHub/邮件验证，为本地服务增加一层身份认证。
  • 免费额度慷慨：对于个人用户，核心功能完全免费。

缺点

  • 延迟问题：流量需经过 Cloudflare 节点转发，对于延迟敏感的应用（如竞技游戏）可能不如直连。
  • 合规限制：Cloudflare 的服务条款对大流量多媒体传输（如大规模 Plex 串流）有一定限制。
  • 依赖性：高度依赖 Cloudflare 服务稳定性及网络链路。

2. 适用人群

  • HomeLab 玩家：需要从外网访问家中的 NAS、Home Assistant、私有云盘。
  • 开发者：需要临时将本地开发中的 Web 服务展示给客户或进行 Webhook 调试。
  • 中小型企业：构建安全的远程办公链路，替代传统的 VPN。

3. 准备工作

  1. 一个已托管在 Cloudflare 上的域名。
  2. 一个 Cloudflare 账号。
  3. 内网环境：一台可以持续运行的机器（Linux, Windows, macOS 或 Docker）。

4. 实操部署教程（Web 界面方式）

这是目前最推荐、可视化程度最高的方法。

第一步：进入 Zero Trust 控制台

  1. 登录 Cloudflare 控制面板。
  2. 在左侧菜单栏点击 Zero Trust（初次进入需按照指引选择 “Free” 计划并绑定支付方式，个人使用不会产生费用）。

第二步：创建 Tunnel

  1. 在 Zero Trust 菜单中点击 Networks -> Tunnels。
  2. 点击 Create a Tunnel。
  3. 选择 Cloudflared 并点击 Next。
  4. 输入 Tunnel 名称（例如：My-Home-Server），点击 Save tunnel。

第三步：安装 Connector (cloudflared)

系统会根据你的环境给出对应的安装命令。

  • 以 Docker 为例（推荐）：
    直接复制官方生成的 Docker Run 命令，例如：
    1
    docker run -d --name cloudflared cloudflare/cloudflared:latest tunnel --no-autoupdate run --token <你的专属 TOKEN>
  • 以 Linux 为例：
    根据你的架构（Debian/Ubuntu/CentOS）下载对应包并运行 service install 命令。

当你在下方看到 Connectors 出现状态为 Connected 的设备时，说明内网机器已成功与 Cloudflare 建立加密隧道。

第四步：配置公开访问（Public Hostnames）

  1. 点击 Next，进入 Public Hostname 配置页。
  2. Subdomain：填写你想要的二级域名（如 nas）。
  3. Domain：选择你已有的域名（如 example.com）。
  4. Service：
    • Type：选择服务协议（通常为 HTTP）。
    • URL：填写内网服务的局域网 IP 和端口（如 192.168.1.100:8080 或 localhost:5000）。
  5. 点击 Save Tunnel。

5. 进阶安全：添加身份认证 (Cloudflare Access)

为了防止你的域名被他人扫描，建议在 Tunnel 之上增加一层身份验证：

  1. 在 Zero Trust 菜单点击 Access -> Applications。
  2. 点击 Add an application -> Self-hosted。
  3. 设置应用名称，并输入刚才配置的二级域名。
  4. 在 Policies 标签页，设置允许的访问者（例如：只允许你的邮箱接收验证码登录）。
  5. 保存后，再次访问该域名时，必须先通过邮箱验证才能看到内网内容。

6. 风险评估与合规性

风险点 严重程度 说明与对策
数据隐私 中 Cloudflare 作为中间节点理论上可以解密 HTTPS 流量。对于极度敏感数据，建议在应用层二次加密。
账户安全 高 一旦 Cloudflare 账号泄露，攻击者可直接进入内网。务必开启 2FA 二步验证。
封号风险 低 严禁通过 Tunnel 搭建违法违规内容或大规模分发版权敏感资源，否则可能面临封号。

7. 总结

Cloudflare Tunnel 改变了传统的内网穿透逻辑，将“被动开启端口”转变为“主动向上连接”。它不仅是穿透工具，更是 Zero Trust 安全架构的敲门砖。对于追求稳定、安全且不想折腾复杂网络配置的个人和开发者来说，这是目前的 Best Practice（最佳实践）。