← Cloudflare Tunnel / tunnel

Konfigurace

Tato stránka popisuje nejběžnější možnosti konfigurace pro cloudflared tunely, včetně vysoké dostupnosti, pravidel firewallu a běhových parametrů.

Repliky a vysoká dostupnost

Když spustíte tunel, cloudflared vytváří čtyři pouze odchozí, postkvantově šifrováno připojení k nejméně dvěma různým datovým centrům Cloudflare. Pokud některé připojení, server nebo datové centrum přestane fungovat, vaše prostředky zůstanou dostupné.

Replika je další cloudflared instance, která odkazuje na stejný tunel. Každá replika vytvoří čtyři nová připojení, což poskytuje další vstupní body k vašemu origin serveru. Na jeden tunel můžete spustit až 25 replik (100 připojení). Provoz se směruje na geograficky nejbližší repliku.

graph LR
    C((Cloudflare))
    subgraph E[Your network]
        cf1["cloudflared <br> (Replica for tunnel-01)"]
        cf2["cloudflared <br> (Replica for tunnel-01)"]
        S1[Application]
        cf1-->S1
        cf2-->S1
    end
    C -- "Connections x 4 <br>"--> cf1
    C --> cf1
    C --> cf1
    C --> cf1
    C -- Connections x 4--> cf2
    C --> cf2
    C --> cf2
    C --> cf2

Nasaďte repliku

Chcete-li nasadit repliku pro vzdáleně spravovaný tunel:

V Cloudflare dashboard ↗, přejděte na Sítě > Tunnels.
Přejděte na Tunnels ↗
Vyberte svůj tunel.
Vyberte Přidejte repliku.
Vyberte operační systém hostitele, na kterém chcete nasadit repliku.
Zkopírujte instalační příkaz a spusťte ho na hostiteli.

Chcete-li nasadit repliku pro lokálně spravovaný tunel, spusťte cloudflared tunnel run <NAME> na dalším hostiteli se stejným přihlašovací údaje tunelu.

Pravidla firewallu

cloudflared se připojuje k Cloudflare odchozím spojením na portu 7844. Váš firewall musí povolit odchozí provoz (egress) na následující cíle. Blokujte veškerý příchozí provoz (ingress), aby platil model pozitivního zabezpečení: exponovány budou pouze služby definované v konfiguraci vašeho tunelu.

Požadované porty

`region1.v2.argotunnel.com`

IPv4	IPv6	Port	Protokoly
`198.41.192.167` `198.41.192.67` `198.41.192.57` `198.41.192.107` `198.41.192.27` `198.41.192.7` `198.41.192.227` `198.41.192.47` `198.41.192.37` `198.41.192.77`	`2606:4700:a0::1` `2606:4700:a0::2` `2606:4700:a0::3` `2606:4700:a0::4` `2606:4700:a0::5` `2606:4700:a0::6` `2606:4700:a0::7` `2606:4700:a0::8` `2606:4700:a0::9` `2606:4700:a0::10`	7844	TCP/UDP (`http2`/`quic`)

`region2.v2.argotunnel.com`

IPv4	IPv6	Port	Protokoly
`198.41.200.13` `198.41.200.193` `198.41.200.33` `198.41.200.233` `198.41.200.53` `198.41.200.63` `198.41.200.113` `198.41.200.73` `198.41.200.43` `198.41.200.23`	`2606:4700:a8::1` `2606:4700:a8::2` `2606:4700:a8::3` `2606:4700:a8::4` `2606:4700:a8::5` `2606:4700:a8::6` `2606:4700:a8::7` `2606:4700:a8::8` `2606:4700:a8::9` `2606:4700:a8::10`	7844	TCP/UDP (`http2`/`quic`)

IP adresy regionu USA

Při použití --region us příznak, se ujistěte, že váš firewall povoluje odchozí připojení k těmto cílům v regionu USA na portu 7844 (TCP/UDP).

`us-region1.v2.argotunnel.com`

IPv4	IPv6	Port	Protokol
`198.41.218.1` `198.41.218.2` `198.41.218.3` `198.41.218.4` `198.41.218.5` `198.41.218.6` `198.41.218.7` `198.41.218.8` `198.41.218.9` `198.41.218.10`	`2606:4700:a1::1` `2606:4700:a1::2` `2606:4700:a1::3` `2606:4700:a1::4` `2606:4700:a1::5` `2606:4700:a1::6` `2606:4700:a1::7` `2606:4700:a1::8` `2606:4700:a1::9` `2606:4700:a1::10`	7844	TCP/UDP (`http2`/`quic`)

`us-region2.v2.argotunnel.com`

IPv4	IPv6	Port	Protokol
`198.41.219.1` `198.41.219.2` `198.41.219.3` `198.41.219.4` `198.41.219.5` `198.41.219.6` `198.41.219.7` `198.41.219.8` `198.41.219.9` `198.41.219.10`	`2606:4700:a9::1` `2606:4700:a9::2` `2606:4700:a9::3` `2606:4700:a9::4` `2606:4700:a9::5` `2606:4700:a9::6` `2606:4700:a9::7` `2606:4700:a9::8` `2606:4700:a9::9` `2606:4700:a9::10`	7844	TCP/UDP (`http2`/`quic`)

IP adresy pro FedRAMP High

Při nasazování cloudflared v FedRAMP High ↗ prostředí, cloudflared se automaticky směruje do datových center FedRAMP na základě token tunelu. Ujistěte se, že váš firewall povoluje odchozí připojení k těmto cílům specifickým pro FedRAMP na portu 7844 (TCP/UDP).

`fed-region1.v2.argotunnel.com`

IPv4	IPv6	Port	Protokoly
`162.159.234.1` `162.159.234.2` `162.159.234.3` `162.159.234.4` `162.159.234.5` `162.159.234.6` `162.159.234.7` `162.159.234.8` `162.159.234.9` `162.159.234.10`	`2a06:98c1:4d::1` `2a06:98c1:4d::2` `2a06:98c1:4d::3` `2a06:98c1:4d::4` `2a06:98c1:4d::5` `2a06:98c1:4d::6` `2a06:98c1:4d::7` `2a06:98c1:4d::8` `2a06:98c1:4d::9` `2a06:98c1:4d::10`	7844	TCP/UDP (`http2`/`quic`)

`fed-region2.v2.argotunnel.com`

IPv4	IPv6	Port	Protokoly
`172.64.234.1` `172.64.234.2` `172.64.234.3` `172.64.234.4` `172.64.234.5` `172.64.234.6` `172.64.234.7` `172.64.234.8` `172.64.234.9` `172.64.234.10`	`2606:4700:f6::1` `2606:4700:f6::2` `2606:4700:f6::3` `2606:4700:f6::4` `2606:4700:f6::5` `2606:4700:f6::6` `2606:4700:f6::7` `2606:4700:f6::8` `2606:4700:f6::9` `2606:4700:f6::10`	7844	TCP/UDP (`http2`/`quic`)

Firewally vynucující SNI

Pokud váš firewall vynucuje Server Name Indication (SNI), povolte tyto hostname také na portu 7844:

Hostname	Port	Protokoly
`_v2-origintunneld._tcp.argotunnel.com`	7844	TCP (`http2`)
`cftunnel.com`	7844	TCP/UDP (`http2`/`quic`)
`h2.cftunnel.com`	7844	TCP (`http2`)
`quic.cftunnel.com`	7844	UDP (`quic`)

Volitelné cíle na portu 443

Otevírání portu 443 umožňuje volitelné funkce, jako jsou automatické aktualizace softwaru a ověřování Access JWT. cloudflared běží správně i bez těchto připojení.

Cíl	Účel
`api.cloudflare.com`	Kontroly aktualizací softwaru
`update.argotunnel.com`	Kontroly aktualizací softwaru
`github.com`	Stáhnout nejnovější verzi
`<team-name>.cloudflareaccess.com`	Ověření Access JWT (pokud je Access povoleno)
`pqtunnels.cloudflareresearch.com`	Postkvantové chybové hlášení
`cfd-features.argotunnel.com` (DNS TXT)	Vyjednávání verze UDP datagramu

Chcete-li ověřit, že váš firewall povoluje provoz tunelu, přečtěte si Chyby připojení.

Parametry spuštění

Tyto příznaky platí pro cloudflared tunnel run příkazu. Ty určují, jak tunel běží ve vašem operačním systému.

Nejčastěji používané parametry:

Parametr	Výchozí	Popis
`--loglevel`	`info`	Úroveň podrobnosti protokolu: `debug`, `info`, `warn`, `error`, `fatal`
`--logfile`	stdout	Cesta pro zápis výstupu protokolu
`--metrics`	`127.0.0.1:20241`-`20245`	Adresa koncového bodu metrik Prometheus (první dostupný port v rozsahu)
`--protocol`	`auto`	Protokol připojení: `auto`, `quic`, `http2`
`--region`	global	Provoz veďte pouze přes americká datacentra pomocí `us`
`--token`	,	Token Tunnelu (vzdáleně spravované tunely)

Následující příklad ukazuje, jak tunel spustit manuálně pomocí konfiguračních příznaků:

cloudflared tunnel --loglevel info --logfile /var/log/cloudflared/cloudflared.log run --token <TOKEN VALUE>

Úplný seznam parametrů run a pokyny, jak je přidat do služby tunelu, najdete v Parametry spuštění.

Parametry originu

Parametry konfigurace originu určují, jak cloudflared přesměrovává provoz na váš origin server.

Nejčastěji používané parametry:

Parametr	Výchozí	Popis
`originServerName`	`""`	Název hostitele očekávaný z certifikátu origin
`noTLSVerify`	`false`	Vypněte ověřování certifikátu TLS
`httpHostHeader`	`""`	Přepsání hlavičky HTTP Host
`connectTimeout`	`30s`	Časový limit připojení TCP k originu

Úplný seznam parametrů origin a pokyny k nastavení najdete v Parametry originu.

Oprávnění

Oprávnění členů Cloudflare můžete omezit na jednotlivé Cloudflare Tunnel instance místo udělení přístupu pro celý účet. Díky tomu můžete delegovat správu konkrétních Tunnelů: aplikační tým může spravovat jeden Tunnel, aniž by měl přístup ke zbytku účtu.

Viz Podrobná oprávnění.