# Cloudflare 零信任 ## 概述 Cloudflare 零信任使用 Cloudflare Tunnel（安全连接）和 Cloudflare Access（身份验证/授权）提供对应用程序的安全远程访问，无需 VPN。 **核心原则：** 身份验证不是可选的。每条隧道从第一天起就必须有访问控制。 ## 何时使用在以下情况下使用此技能： * 为任何应用程序设置 Cloudflare Tunnel * 配置Cloudflare访问认证 * 安全地公开内部应用程序 * 用零信任模型取代 VPN 访问 * 集成 OIDC/SSO 提供商（Azure AD、Okta、Google） * 在 Docker 容器中运行 cloudflared * 解决 502 Bad Gateway 错误 * 通过仪表板或 CLI 管理隧道 **触发该技能的症状：** *“需要将本地应用程序公开到互联网” *“设置 Cloudflare 隧道” *“向隧道添加身份验证” *“配置Azure AD / Okta / OIDC” *“Cloudflare 隧道上的 502 错误网关” *“在 Docker 中运行 cloudflared” ## 安全第一原则未经身份验证的隧道 = 公开暴露的服务 = 安全事件 **身份验证是强制性的，而不是可选的。** 如果你发现自己在想： *“我们稍后会添加身份验证” *“无需授权即可正常工作” *“不想打扰用户登录” *“我们可以跳过内部应用程序的身份验证吗？” *“先演示，后安全” **停止。这些都是安全违规行为。** 正确的心态： * 未经身份验证的隧道 = 暴露的服务 = 严重漏洞 * 用户便利性<安全性要求 *“仅限内部”不是安全控制 * 演示默认情况下应该是安全的 ## 快速参考任务|远程管理（仪表板）|本地管理 (config.yml) ---|---|--- **最适合** | GUI用户、快速设置、团队协作| IaC、自动化、版本控制、CI/CD **设置** |仪表板 → 创建隧道 → 配置路由 | `cloudflared 隧道创建` \+ config.yml **变化** |点击更新 |编辑配置，重启服务 **访问控制** |始终通过仪表板（零信任→访问）|通过配置隧道，通过仪表板访问 **码头工人** |凭证的环境变量 |挂载 config.yml + 凭证 JSON ## 隧道设置工作流程 **在创建隧道之前，使用下面“仪表板与 CLI 决策树”部分中的决策树选择管理方法**。有向图tunnel_setup { 排名目录=TD；节点[形状=盒子，样式=圆形]； start [label="需要公开应用程序", shape=ellipse]; 要求 [label="定义要求\n• 谁需要访问权限？\n• 身份验证提供商？\n• Docker 还是主机？"]; select_method [label="选择管理", shape=diamond]; dashboard [label="仪表板方法\n1.创建隧道\n2.安装cloudflared\n3.运行连接器"]; config [label="配置文件方式\n1.cloudflared隧道创建\n2.编写config.yml\n3.启动服务"]; access [label="配置访问\n上线前", style="filled", fillcolor="#ffcccc"]; test [label="测试认证"]; 部署 [label="为用户启用"]; 监控[标签=“监控日志”]；开始->要求；要求->选择方法； choice_method -> 仪表板 [label="GUI\n快速启动"]; 选择方法 -> 配置 [label="IaC\n自动化"]; 仪表板 -> 访问；配置->访问；访问->测试；测试->部署；部署->监控； } **关键：** 在公开隧道之前配置访问身份验证。切勿部署未经身份验证的隧道，即使是“暂时的”。 ## 远程管理隧道（仪表板） **何时使用：** * 团队更喜欢 GUI * 快速概念验证（仍然需要验证！） * 可视化路线管理 * 技术团队成员较少 **设置：** 1. **零信任→网络→隧道→创建** 2. **选择连接器类型：** Cloudflared 3. **命名隧道：** 例如，`prod-api-tunnel` 4. **在源服务器上安装cloudflared** 5. **运行连接器：** 从仪表板复制令牌 cloudflared 服务安装 6. **配置路由：**仪表板→公共主机名 * 主机名：`api.example.com` * 服务：`http://localhost:8080` 7. **配置访问**（请参阅访问配置部分） **优点：** * 可视化配置 * 方便团队成员 * 内置健康监测 **缺点：** * 不在版本控制中 * 更难实现自动化 * 必须使用仪表板进行更改 ## 本地管理的隧道 (config.yml) **何时使用：** * 基础设施即代码 * CI/CD 自动化 * 配置的版本控制 * 多种环境（开发/登台/生产） * Docker 容器 **设置：** 1. **创建隧道：** cloudflared 隧道创建 myapp-tunnel 输出：`~/.cloudflared/.json`（凭证） 2. **创建配置文件** (`~/.cloudflared/config.yml`): # === 必填字段（没有这些字段的隧道中断）=== 隧道：凭证文件：/etc/cloudflared/.json 入口： # 将 myapp.example.com 路由到本地服务 - 主机名：myapp.example.com 服务：http://localhost:8080 # 必需：原始 URL 来源请求： # === 危险（错误值=安全风险或中断）=== noTLSVerify: false # 如果没有特定原因，切勿设置 true（安全风险） # === SAFE（根据您的需要进行调整）=== 连接超时：30s httpHostHeader：myapp.example.com # 多个服务示例 - 主机名：api.example.com 服务：http://localhost:8080 - 主机名：admin.example.com 服务：http://localhost:3000 # 必需：包罗万象的规则（必须是最后一个） - 服务：http_status：404 # === 安全（自由更改）=== loglevel: info # 或: 调试、警告、错误 3. **路由DNS：** cloudflared 隧道路由 dns myapp-tunnel myapp.example.com 4. **运行隧道：** # 前台（测试） cloudflared 隧道运行 myapp-tunnel # 作为服务（生产） sudo cloudflared 服务安装 sudo systemctl 启动 cloudflared sudo systemctl 启用 cloudflared 5. **配置访问**（请参阅下一节） **优点：** * 版本控制 * 轻松实现自动化 * 跨环境一致 * Docker 友好 **缺点：** * 需要编辑配置文件 * 更改需要重启 * 更多初始设置 ## 现代协议（WebSockets、HTTP/2、gRPC） ## 现代协议（WebSockets、HTTP/2、gRPC） **使用 WebSockets、HTTP/2 或 gRPC 时强制：** 加载 [`protocols.md`]() 以完成协议配置、调整参数和故障排除。 **快速参考：** * WebSockets：“keepAliveTimeout：300s”用于稳定连接 * HTTP/2：需要带有 `http2Origin: true` 的 TLS 源 * gRPC：使用WARP路由（不是公共主机名） **请勿加载**以进行基本 HTTP 隧道设置。 **何时使用：** * 集装箱化基础设施 * Docker Compose环境 * Kubernetes/编排 * 便携式部署 ### 容器特定模式 **关键网络差异（Docker/Kubernetes）：** # ❌ 错误 - 本地主机无法在容器中解析入口： - 主机名：myapp.example.com 服务：http://localhost:8080 # ✅ 右 - 使用服务/pod 名称 # Docker 撰写： service: http://myapp:8080 # docker-compose.yml 中的容器名称 # 库伯内特斯： service: http://myapp-service:8080 # 服务名称 **凭证安装模式：** # Docker 撰写：卷： - ./cloudflared/config.yml:/etc/cloudflared/config.yml:ro # 只读 - ./cloudflared/credentials.json:/etc/cloudflared/credentials.json:ro # 库伯内特斯： # 使用 ConfigMap 进行配置，使用 Secret 进行凭证 **健康检查设置：** # Docker 撰写：健康检查：测试：[“CMD”、“cloudflared”、“隧道”、“信息”] 间隔：30秒超时时间：10秒重试次数：3 # 库伯内特斯：活性探针：执行：命令：[“cloudflared”、“隧道”、“信息”] 初始延迟秒数：30 周期秒：30 **生产冗余：** # Docker Compose - 在负载均衡器后面使用多个实例 # Kubernetes - 使用副本：规格： replicas: 2 # 零停机更新最少 2 个 **设置工作流程：** 1.创建隧道：`cloudflaredtunnel create myapp-tunnel` 2. 获取凭证：`~/.cloudflared/.json` 3. 在容器中挂载配置+凭据 4. 将服务 URL 设置为容器/服务名称（不是 localhost） 5、配置接入认证 6. 启用运行状况检查进行部署 **验证：** # Docker 编写 docker-compose 日志 cloudflared docker-compose exec cloudflared cloudflared 隧道信息 # 库伯内特斯 kubectl 日志 -l app=cloudflared kubectl exec deploy/cloudflared -- cloudflared 隧道信息 ## 专用网络路由（非 HTTP 服务） ## 专用网络路由（非 HTTP 服务） **公开 SSH、RDP、数据库或自定义 TCP/UDP 协议时必须执行：** 加载 [`private-networks.md`]() 以获取完整的专用网络配置、WARP 路由设置、容器网络和访问策略。 **快速参考：** * SSH: `服务: ssh://192.168.1.10:22` * RDP：`服务：rdp://192.168.1.20:3389` * 数据库：`服务：tcp://192.168.1.30:5432` * 在 Docker 中使用服务名称： `tcp://database:5432` 而不是 `tcp://localhost:5432` **不要加载** HTTP 应用程序隧道。 **在向用户公开隧道之前配置访问。** ### 自托管应用程序 1. **零信任→访问→应用程序→添加应用程序** 2. **选择“自托管”** 3. **应用程序配置：** * **名称：** `我的应用程序` * **会话持续时间：** `24 小时`（默认） * **应用程序域：** `myapp.example.com` * **接受所有可用的身份提供商：** 选中（或选择特定） 4. **添加策略**（至少需要一项允许策略）： **政策示例：** **基于电子邮件：** 名称：允许特定用户行动：允许包括：电子邮件 → user1@example.com、user2@example.com **基于域：** 名称：允许公司域名行动：允许包括：电子邮件域 → @company.com **基于组（需要 IdP 组）：** 名称：允许管理员组行动：允许包括：Azure AD 组 → 管理员 **多重身份验证：** 名称：需要管理员 MFA 行动：允许包括：电子邮件域 → @company.com 要求：身份验证方法 → mTLS、WARP、服务令牌（选择 MFA 方法） 5. **可选设置：** * **目的理由：** 要求用户说明访问原因 * **临时身份验证：** 手动批准访问请求 * **IdP 组：** 使用来自 Azure AD、Okta 等的组。 ### SaaS 应用程序对于集成 SaaS 应用程序（Salesforce、Workday 等）： 1. **零信任→访问→应用程序→添加应用程序** 2. **选择“SaaS”** 3. **从目录中选择应用程序** 4. **按照集成向导操作**（因应用程序而异） 5. **配置策略**（与自托管相同） ### OIDC / SSO 集成 #### Azure AD（Entra ID） **Azure AD 设置：** 1. **Azure 门户 → Azure Active Directory → 应用程序注册 → 新注册** 2. **名称：** `Cloudflare 访问` 3. **重定向 URI：** `https://.cloudflareaccess.com/cdn-cgi/access/callback` 4. **注册** ，复制**应用程序（客户端）ID** 5. **证书和秘密→新客户端秘密**，复制值 6. **API 权限 → 添加权限 → Microsoft Graph → Group.Read.All**（对于基于组的策略） 7. **令牌配置 → 添加组声明 → 安全组** **Cloudflare 配置：** 1. **零信任 → 设置 → 身份验证 → 新增 → Azure AD** 2. **名称：** `Azure AD` 3. **应用程序 ID：** `<应用程序（客户端）ID>` 4. **客户端秘密：** `<秘密值>` 5. **目录（租户）ID：** 来自 Azure AD 概述 6. **支持组：** 选中（如果使用基于组的策略） 7. **测试**并**保存** **在政策中使用：** 名称：允许管理员组行动：允许包括：Azure AD 组 → 选择“管理员”组 #### 奥克塔 1. **Okta Admin → 应用程序 → 创建应用程序集成 → OIDC - Web 应用程序** 2. **名称：** `Cloudflare 访问` 3. **授权类型：** 授权码 4. **登录重定向 URI：** `https://.cloudflareaccess.com/cdn-cgi/access/callback` 5. **作业：** 选择小组 6. 复制 **客户端 ID** 和 **客户端密码** **云耀：** 1. **零信任→设置→身份验证→添加新→Okta** 2. **Okta 帐户 URL：** `https://your-domain.okta.com` 3. **应用程序 ID** 和 **客户端密钥** 4. **支持团体：** 已选中 5. **测试**并**保存** #### 通用 OIDC 提供商对于不在目录中的提供商： 1. **零信任 → 设置 → 身份验证 → 新增 → OpenID Connect** 2. **名称：** 提供商名称 3. **应用程序ID（客户端ID）** 4. **客户秘密** 5. **验证网址：** `https://provider.com/oauth2/authorize` 6. **令牌 URL：** `https://provider.com/oauth2/token` 7. **证书 URL (JWKS):** `https://provider.com/.well-known/jwks.json` 8. **代码交换证明密钥 (PKCE)：** 检查是否支持 9. **支持团体：** 如果提供商支持团体声明 10. **测试**并**保存** ### 访问策略设计 **原则：默认最小权限。** **政策评估顺序：** 1.绕过策略（跳过身份验证） 2. 阻止策略（显式拒绝） 3. 允许策略（授予访问权限） 4. 服务身份验证（API 令牌、服务到服务） **良好的政策模式：** **具有基于角色的访问权限的生产应用程序：** 政策 1：阻止非员工行动：阻止包括：所有人排除：电子邮件域 → @company.com 政策2：允许开发商行动：允许包括：Azure AD 组 → 开发人员策略 3：允许管理员行动：允许包括：Azure AD 组 → 管理员要求：MFA **暂存环境：** 政策 1：允许开发团队行动：允许包括：电子邮件域 → @company.com 需要：Azure AD 组 → 开发人员或管理员 **具有服务身份验证的API：** 政策 1：服务对服务操作：服务验证包括：服务令牌→api-service-token ## 服务认证（M2M/API 访问） ## 服务认证（M2M/API 访问） **配置 CI/CD 管道、微服务或任何非人工身份验证时必须执行：** 加载 [`service-auth.md`]() 以创建服务令牌、轮换工作流程、安全最佳实践和 M2M 模式。 **快速参考：** * 创建令牌：零信任→访问→服务认证 * 使用标头：`CF-Access-Client-Id`、`CF-Access-Client-Secret` * 每 90 天轮换一次 * 存储在秘密管理器中，而不是存储在代码中 **不要加载**进行用户身份验证（请改用 SSO/OIDC）。 ### 502 网关错误 **错误：** `502 错误网关 - 无法访问源服务` **含义：** 隧道已连接到 Cloudflare，但无法到达您的源站。 **系统诊断：** 有向图 Troubleshoot_502 { 排名目录=TD；节点[形状=盒子，样式=圆形]；开始 [label="502 错误网关", shape=ellipse, style=filled, fillcolor="#ffcccc"]; check_origin [label="你能在本地卷曲原点吗？", shape=diamond]; origin_down [label="源站服务关闭\n重启服务", style=filled, fillcolor="#ffcccc"]; check_docker [label="cloudflared\nin Docker 吗？", shape=diamond]; error_service [label="使用 localhost?\n更改为容器名称：\nhttp://myapp:8080", style=filled, fillcolor="#ccffcc"]; check_tls [label="Origin 使用\nHTTPS?", shape=diamond]; tls_issue [label="自签名证书？\n设置 noTLSVerify: true\n或添加 caPool", style=filled, fillcolor="#ccffcc"]; check_port [label="配置中端口正确\?", shape=diamond]; error_port [label="修复端口号\nin config.yml", style=filled, fillcolor="#ccffcc"]; 防火墙 [label="检查防火墙\n规则/日志", style=filled, fillcolor="#ffffcc"]; 开始 -> 检查源； check_origin -> origin_down [标签=“否”]; check_origin -> check_docker [标签=“是”]; check_docker->错误_服务[标签=“是”]; check_docker -> check_tls [标签=“否”]; check_tls -> tls_issue [标签=“是”]; check_tls -> check_port [标签=“否”]； check_port -> 错误端口 [label="No"]; check_port -> 防火墙 [label="Yes"]; } **快速诊断命令：** # 1.本地测试origin 卷曲-v http://localhost:8080 # 成功？继续。连接被拒绝？原点下降了。 # 2.检查cloudflared日志 sudo Journalctl -u cloudflared -n 50 --no-pager # Systemd docker 日志 cloudflared # Docker # 查找：“拨号 tcp”、“连接被拒绝”、“超出上下文截止时间” # 3. 从 cloudflared 容器进行测试（如果是 Docker） docker exec cloudflared curl http://myapp:8080 # 失败？服务名称错误或网络问题 # 4. 在前台运行隧道（查看实时错误） sudo systemctl 停止 cloudflared cloudflared 隧道运行 myapp-tunnel ### 身份验证循环（重定向循环） **症状：** 浏览器不断重定向到登录，从未到达应用程序 **系统诊断：** 有向图 Troubleshoot_auth_loop { 排名目录=TD；节点[形状=盒子，样式=圆形]；开始 [label="身份验证循环", shape=ellipse, style=filled, fillcolor="#ffcccc"]; check_policy [label="允许策略\n与您的用户匹配吗？", shape=diamond]; policy_issue [label="添加/更新允许策略\n检查电子邮件/组匹配", style=filled, fillcolor="#ccffcc"]; check_idp [label="IdP 重定向 URI\n与 Cloudflare 匹配吗？", shape=diamond]; idp_issue [label="修复重定向 URI:\nhttps://.cloudflareaccess.com\n/cdn-cgi/access/callback", style=filled, fillcolor="#ccffcc"]; check_groups [label="使用基于组的\n策略？", shape=diamond]; groups_issue [label="验证 IdP 发送群组声明\n检查'支持群组'已启用", style=filled, fillcolor="#ccffcc"]; check_cookies [label="尝试隐身模式\n清除所有cookie", shape=diamond]; cookie_issue [label="浏览器阻止第 3 方\ncookies 或启用隐私模式", style=filled, fillcolor="#ffffcc"]; check_session [label="会话持续时间\n足够吗？", shape=diamond]; session_issue [label="增加会话持续时间\n默认 24 小时可能太短", style=filled, fillcolor="#ccffcc"]; escalate [label="检查 Cloudflare 访问日志\n是否有特定错误", style=filled, fillcolor="#ffffcc"]; 开始-> check_policy； check_policy->policy_issue [标签=“否”]； check_policy -> check_idp [标签=“是”]; check_idp -> idp_issue [标签=“否”]； check_idp -> check_groups [标签=“是”]; check_groups -> groups_issue [标签=“是”]; check_groups -> check_cookies [标签=“否”]; check_cookies -> cookie_issue [label="仍然循环"]; check_cookies -> check_session [label="在\nincognito 中工作"]; check_session -> session_issue [标签=“否”]； check_session -> 升级 [label="Yes"]; } **快速诊断步骤：** # 1. 验证访问策略是否与您匹配 # 仪表板 → 零信任 → 访问 → 应用程序 → <您的应用程序> → 策略 # 检查：允许策略是否包含您的电子邮件/域/组？ # 2. 在隐身窗口中测试（消除 cookie 问题） # 如果在隐身模式下有效 → 清除 cookies # 如果仍然循环 → 策略或 IdP 问题 # 3. 检查 IdP 重定向 URI # 必须完全匹配：https://.cloudflareaccess.com/cdn-cgi/access/callback # 4. 验证组声明（如果使用基于组的策略） # Azure AD：令牌配置 → 添加组声明 # Okta：配置文件 → 编辑 → 包含在令牌中 # Cloudflare：设置 → 身份验证 → → 支持组 ✓ # 5. 检查访问日志中是否有特定错误 # 仪表板 → 零信任 → 日志 → 访问 # 查找：策略评估失败、IdP 错误 ### 隧道未连接 **症状：** 隧道在仪表板中显示“不活动”或“关闭” **故障排除：** 1. **检查 cloudflared 是否正在运行：** sudo systemctl status cloudflared # 或: docker ps | grep 云flared 2. **验证凭证文件是否存在：** ls -la ~/.cloudflared/.json 3. **防火墙要求：** Cloudflared 需要出站 HTTPS (443) 到 `*.argotunnel.com` 4. **重启隧道：** sudo systemctl 重新启动 cloudflared ### DNS 无法解析 **症状：** `nslookup myapp.example.com` 没有返回任何记录 **修复：** 1. **检查 DNS 记录是否存在：** * Cloudflare 仪表板 → DNS → 记录 * 查找 CNAME：`myapp.example.com` → `.cfargotunnel.com` 2. **如果缺失则创建：** cloudflared 隧道路由 dns myapp-tunnel myapp.example.com 3. **验证：** DNS 记录在 Cloudflare 仪表板中应为“代理”（橙色云） ## 常见错误 ## 高级故障排除 **当基本故障排除失败或进行性能调试时强制：**加载 [`advanced-troubleshooting.md`]() 以进行网络路径分析、性能调整、证书调试、连接限制和指标解释。 **快速参考：** * 指标端口：20241-20245（自动选择） * 连接限制：每个实例 4 个，总共 100 个（最多 25 个副本） * 默认 keepAliveConnections: 100 **不要加载**简单的 502 或 DNS 问题。 ### 1\.无需身份验证即可部署 **❌ 错误：** # 创建隧道 cloudflared 隧道创建 myapp # 路由 DNS cloudflared 隧道路由 dns myapp myapp.example.com # 运行隧道 cloudflared 隧道运行 myapp # ⚠️ 应用程序现已可公开访问 **✅ 右：** # 创建隧道 cloudflared 隧道创建 myapp # 路由 DNS cloudflared 隧道路由 dns myapp myapp.example.com # 首先配置访问（仪表板） # 然后运行隧道 cloudflared 隧道运行 myapp ### 2\.无缘无故地使用“noTLSVerify: true” **❌ 错误：** 来源请求： noTLSVerify: true #“以防万一” **✅ 右：** # 仅当来源使用自签名证书时来源请求： noTLSVerify: false # 默认验证 # 或者如果是自签名： # noTLSVerify: true # caPool:/path/to/custom-ca.pem ### 3\. Docker 中的服务 URL 错误 **❌ 错误：** # 配置.yml 入口： - 主机名：app.example.com service: http://localhost:8080 # 在 Docker 中不起作用！ **✅ 右：** # 配置.yml 入口： - 主机名：app.example.com service: http://myapp:8080 # 使用容器名称 ### 4\. “内部”应用程序的绕过策略 **❌ 错误：** 策略：跳过内部身份验证行动：绕过包括：所有人 # ⚠️ 任何有网址的人都可以访问！ **✅ 右：** 政策：允许员工行动：允许包括：电子邮件域 → @company.com ### 5\.在配置中硬编码凭证 **❌ 错误：** # config.yml 签入 git 隧道：abc123-def456-... 凭证文件：/etc/cloudflared/credentials.json # ⚠️credentials.json 也在 git 中！ **✅ 右：** # .gitignore *.json 凭证.json 使用特定于环境的凭据，切勿提交。 ## 仪表板与 CLI 决策树有向图决策 { 排名目录=TD；节点[形状=盒子，样式=圆形]； start [label="需要隧道", shape=椭圆]; team [label="团队有 IaC\n 经验吗？", shape=diamond]; 自动化 [label="需要自动化\也不需要 CI/CD？", shape=diamond]; multi_env [label="多个\n环境？", shape=diamond]; cli [label="使用 config.yml\n(本地管理)", style="filled", fillcolor="#ccffcc"]; 仪表板 [label="使用仪表板\n(远程管理)", style="filled", fillcolor="#ccccff"]; 开始->团队；团队 -> 自动化 [label="Yes"]; 团队 -> 仪表板 [label="No"]; 自动化 -> cli [label="Yes"]; 自动化-> multi_env [标签=“否”]； multi_env -> cli [标签=“是”]; multi_env -> 仪表板 [label="No"]; } ## 浏览器自动化（仪表板管理） **注意：** 用于仪表板管理的浏览器自动化需要 MCP claude-in-chrome 工具。 **使用案例：** * 通过仪表板自动创建隧道 * 批量配置更改 * 预定的隧道审计 * 程序化路线更新 **图案：** // 伪代码 - 需要 claude-in-chrome MCP const { 导航、单击、填充 } = mcp_claude_in_chrome; // 导航到零信任仪表板等待导航（'https://one.dash.cloudflare.com/'）； // 登录流程（使用保存的会话或凭据） // ... // 创建隧道等待导航（'网络/隧道'）；等待点击('创建隧道'); wait fill('隧道名称', '新隧道'); 等待点击('保存隧道'); // 配置路由等待点击('公共主机名'); 等待填充（'子域名'，'myapp'）; 等待填充（'域名'，'example.com'）; 等待填充（'服务'，'http://localhost:8080'）; 等待点击('保存'); **更好的选择：使用 Cloudflare API** # 获取隧道 curl -X GET“https://api.cloudflare.com/client/v4/accounts/${ACCOUNT_ID}/cfd_tunnel”\ -H“授权：持有者${API_TOKEN}” # 创建隧道 curl -X POST "https://api.cloudflare.com/client/v4/accounts/${ACCOUNT_ID}/cfd_tunnel" \ -H“授权：持有者${API_TOKEN}”\ -H“内容类型：application/json”\ --数据'{ "name": "新隧道", "tunnel_secret": "" }' # 更新配置卷曲-X PUT \ “https://api.cloudflare.com/client/v4/accounts/${ACCOUNT_ID}/cfd_tunnel/${TUNNEL_ID}/configurations”\ -H“授权：持有者${API_TOKEN}”\ -H“内容类型：application/json”\ --数据'{ “配置”：{ “入口”：[ { “主机名”：“myapp.example.com”， “服务”：“http://localhost:8080” }, { “服务”：“http_status：404” } ] } }' **何时使用浏览器自动化与 API：** * **API：** 自动化、CI/CD、脚本的首选 * **浏览器：** 当API不支持功能时，需要进行视觉验证 ## API 自动化 **通过 Cloudflare API、CI/CD 管道或 GitOps 进行自动化时强制：** 加载 [`api-automation.md`]() 以获取完整的 API 参考，包括访问应用程序、策略、隧道管理、服务令牌、IdP 配置、设备状态和分析。 **快速参考：** * 基本 URL：`https://api.cloudflare.com/client/v4/` * Auth: `授权：持有者 ${API_TOKEN}` * 速率限制：每 5 分钟 1200 个请求 * 所有隧道配置更新立即应用（无需重新启动）如果使用仪表板或 Terraform，则**不要加载**（改为使用 terraform.md）。 ## 本地开发工作流程 **使用快速隧道、预览环境或本地开发设置时必须执行：** 加载 [`local-development.md`]() 以实现快速隧道模式 (trycloudflare.com)、预览环境、热重载设置和 Webhook 测试。 **快速参考：** * 快速隧道：`cloudflaredtunnel --url http://localhost:8080` * 200个并发请求限制 * 随机子域（每次运行都会改变） * 免费，无需帐户 **不要加载**用于生产部署。 ## Terraform / 基础设施即代码 **使用 Terraform 或其他 IaC 工具管理 Cloudflare 时必须执行：** 加载 [`terraform.md`]() 以获取完整的提供程序设置、资源示例、多环境模式、状态管理和部署工作流程。 **快速参考：** * 提供商：`cloudflare/cloudflare` v4.0+ * 资源：`cloudflare_tunnel`、`cloudflare_access_application`、`cloudflare_access_policy` * 使用模块以实现可重用性 **不要加载**以进行基于仪表板的管理。 ## 审计日志和合规性 **合规性要求（SOC2、HIPAA、ISO 27001）或 SIEM 集成的强制要求：** 加载 Logpush 配置、SIEM 模式、合规性检查表、日志保留和警报策略的 [`audit-logging.md`]()。 **快速参考：** * 记录每次身份验证尝试（用户、应用程序、IP、时间戳、决策） * Logpush 到 S3、Splunk、Datadog、自定义 SIEM * 免费：24 小时保留，付费：6 个月，企业：18 个月 **请勿加载**进行基本隧道设置。如果您发现自己出现以下情况，请停下来重新考虑： * ✋ 无需配置Access即可创建隧道 * ✋ 对“内部”应用程序使用旁路策略 * ✋ 接受“我们稍后添加身份验证”作为有效方法 * ✋ 优先考虑演示速度而不是安全性 * ✋ 无特定原因设置 `noTLSVerify: true` * ✋ 在版本控制中存储凭证 * ✋ 无需 MFA 即可公开管理界面 * ✋ 使用“它一直在未经授权的情况下工作”作为参数 **所有这些都是安全事件，不可接受的权衡。** ## 命令快速参考 # 创建隧道 cloudflared 隧道创建 # 列出隧道 cloudflared 隧道列表 # 运行隧道（前台） cloudflared 隧道运行 # 路由 DNS cloudflared 隧道路由 dns <名称> <主机名> # 安装为服务 sudo cloudflared 服务安装 # 服务管理 sudo systemctl 启动 cloudflared sudo systemctl 停止 cloudflared sudo systemctl 重新启动 cloudflared sudo systemctl 状态 cloudflared # 检查日志须藤journalctl -u cloudflared -f # 隧道信息 cloudflared 隧道信息 # 删除隧道 cloudflared 隧道删除 # 更新cloudflared # macOS 酿造升级cloudflare/cloudflare/cloudflare # Linux wget -q https://github.com/cloudflare/cloudflared/releases/latest/download/cloudflared-linux-amd64.deb sudo dpkg -i cloudflared-linux-amd64.deb ## 来源该技能基于： * [Cloudflare 隧道文档]() * [Cloudflare 访问文档]() * [设计 ZTNA 访问策略]() * 2026 年 1 月起的社区故障排除模式

Cloudflare 零信任

包含技能