← Cloudflare Tunnel / tunnel

Řešení potíží

Tato stránka vám pomůže diagnostikovat a vyřešit časté problémy s Cloudflare Tunnel. Řadu problémů vyřeší aktualizace na nejnovější verzi cloudflared : viz Aktualizace cloudflared před dalším zkoumáním.

Informace o monitorování stavu tunelu, protokolech a metrikách najdete v Monitoring.

Když cloudflared nemůže dosáhnout sítě Cloudflare, protokoly konkrétní chybové zprávy, které ukazují, zda problém spočívá v překladu DNS, v protokolu QUIC (UDP), nebo v připojení TCP.

ERR edge discovery: error looking up Cloudflare edge IPs: the DNS query failed
    error="lookup _v2-origintunneld._tcp.argotunnel.com on 172.19.64.1:53: no such host"

Tato chyba znamená, že překladač DNS nastavený ve vašem počítači nedokáže přeložit záznamy SRV, které cloudflared používá k zjištění Cílové IP adresy Cloudflare Tunnel. Mezi časté příčiny patří firemní DNS resolvery, které odstraňují nebo blokují záznamy SRV, a DNS resolvery, které vrací komprimované záznamy SRV.

Diagnostika:

Na cloudflared hostitelském počítači spusťte:

dig SRV _v2-origintunneld._tcp.argotunnel.com

Pokud obdržíte SERVFAIL, NXDOMAIN, nebo prázdnou odpověď, otestujte ji vůči veřejnému resolveru Cloudflare:

dig SRV _v2-origintunneld._tcp.argotunnel.com @1.1.1.1

Chcete-li problém vyřešit:

• Pokud 1.1.1.1 vrátí výsledky, ale váš lokální resolver ne, nakonfigurujte hostitele tak, aby používal Cloudflare DNS (1.1.1.1) nebo jiného veřejného resolveru.
• Pokud žádný z resolverů nevrátí výsledky, váš firewall pravděpodobně blokuje odchozí dotazy DNS (port UDP 53). Požádejte svého správce sítě, aby povolil provoz DNS.

ERR edge discovery: error looking up Cloudflare edge IPs: the DNS query failed
    error="lookup _v2-origintunneld._tcp.argotunnel.com on 127.0.0.11:53:
    read udp 127.0.0.1:53467->127.0.0.11:53: i/o timeout"

Tato varianta znamená, že DNS dotazy z cloudflared jsou zcela blokovány nebo zahazovány, resolver nikdy neodpoví. To je běžné v kontejnerových prostředích (Docker, Kubernetes), kde interní DNS resolver (127.0.0.11) je nedostupný nebo nesprávně nakonfigurovaný.

Chcete-li problém vyřešit:

• V Dockeru zkontrolujte konfiguraci DNS svého kontejneru (/etc/resolv.conf). Resolver můžete přepsat pomocí --dns 1.1.1.1 při spuštění kontejneru.
• V Kubernetes zkontrolujte kube-dns nebo CoreDNS služba běží a je dostupná z podu.
• Na cloudflared hostiteli ověřte, že resolver uvedený v /etc/resolv.conf je dostupný a odpovídá na dotazy.

ERR Failed to dial a quic connection error="failed to dial to edge with quic:
    timeout: handshake did not complete in time" connIndex=0 ip=198.41.192.227
INF Retrying connection in up to 2s connIndex=0 ip=198.41.192.227

Tato chyba znamená cloudflared přeložil Cílové IP adresy Cloudflare Tunnel ale nedokázal dokončit QUIC handshake přes UDP port 7844. Vaše síť nebo firewall blokuje odchozí provoz UDP do Cloudflare.

cloudflared provádí nové pokusy s exponenciální prodlevou (2, 4, 8, 16, 32, až 64 sekund). Po jejich vyčerpání přejde na HTTP/2 přes TCP:

INF Switching to fallback protocol http2 connIndex=0

Pokud selže i záložní možnost, zobrazí se Časový limit připojení TCP chyba.

Diagnostika:

Na cloudflared hostitelském počítači otestujte konektivitu na portu 7844:

nc -uvz -w 3 198.41.192.227 7844

Nahraďte 198.41.192.227 s IP adresou uvedenou ve vašem chybová zpráva. Pokud je port uzavřený nebo blokovaný firewallem, příkaz vrátí Connection refused nebo dojde k vypršení časového limitu.

Chcete-li problém vyřešit:

• Povolit odchozí provoz UDP na port 7844 na svém firewallu nebo v security group. Viz úplný seznam IP adres a portů.
• Pokud nemůžete otevřít UDP, cloudflared se automaticky přepne na HTTP/2 přes TCP. HTTP/2 můžete vynutit také nastavením --protocol http2 parametr run, doporučujeme však použít QUIC pro lepší výkon.

ERR Unable to establish connection with Cloudflare edge
    error="DialContext error: dial tcp 198.41.200.43:7844: i/o timeout" connIndex=0
ERR Serve tunnel error
    error="DialContext error: dial tcp 198.41.200.43:7844: i/o timeout" connIndex=0

Tato chyba znamená cloudflared se nemůže připojit k Cloudflare přes TCP port 7844. Pokud se také zobrazí Časový limit handshake QUIC nad ním jsou blokovány UDP i TCP, tunel se tak nemůže připojit vůbec.

Diagnostika:

Pro rychlý test spusťte:

curl -v https://region1.v2.argotunnel.com:7844

Pokud spojení zamrzne, provoz je zahazován mezi vaším hostitelem a Cloudflare.

Chcete-li otestovat, zda cloudflared se může připojit na portu 7844, spusťte:

nc -vz -w 3 198.41.200.43 7844

Nahraďte 198.41.200.43 s IP adresou uvedenou ve vašem chybová zpráva. Pokud je port uzavřený nebo blokovaný firewallem, příkaz vrátí Connection refused nebo dojde k vypršení časového limitu.

Chcete-li problém vyřešit:

• Povolit odchozí provoz TCP na port 7844 do Rozsahy IP adres Cloudflare Tunnel.
• Pokud vaše prostředí blokuje port 7844 zcela (UDP i TCP), tunel nemůže fungovat. Obraťte se na správce sítě a požádejte o povolení odchozího provozu na tomto portu.

Pokud se tato chyba zobrazí při instalaci vzdáleně spravovaného tunelu, ujistěte se, že žádný jiný cloudflared instance běží na tomto počítači jako služba. Na tomto počítači smí běžet pouze jedna instance cloudflared může na daném počítači běžet jako služba. Místo toho přidejte další trasy do stávajícího tunelu. Alternativně můžete spustit sudo cloudflared service uninstall k odinstalování cloudflared.

Pokud se vám nedaří uložit veřejný hostname tunelu, zvolte jiný hostname nebo odstraňte existující záznam DNS. Zkontrolujte DNS záznamy pro vaši doménu z Cloudflare dashboard ↗.

Pokud se při spuštění tunelu zobrazí následující chyba, znovu zkontrolujte config.yml soubor a ujistěte se, že credentials-file ukazuje na správné umístění. Možná budete muset změnit /root/ do vašeho domovského adresáře.

cloudflared tunnel run

2021-06-04T06:21:16Z INF Starting tunnel tunnelID=928655cc-7f95-43f2-8539-2aba6cf3592d
Tunnel credentials file '/root/.cloudflared/928655cc-7f95-43f2-8539-2aba6cf3592d.json' doesn't exist or is not a file

Chcete-li začít používat Cloudflare Tunnel, musí se uživatel s rolí Super Administrator v účtu Cloudflare nejprve přihlásit přes cloudflared login. Klient spustí okno prohlížeče a vyzve uživatele, aby ve svém účtu Cloudflare vybral hostname. Po výběru Cloudflare vygeneruje certifikát složený ze tří součástí:

• Veřejný klíč origin certifikátu pro daný hostname
• Privátní klíč origin certifikátu pro danou doménu
• Token jedinečný pro Cloudflare Tunnel

Tyto tři součásti jsou sloučeny do jednoho souboru PEM, který se stáhne jednorázově během tohoto přihlašovacího procesu. Certifikát hostitele platí pro kořenovou doménu a libovolnou subdoménu o jednu úroveň níž. Cloudflare tento soubor certifikátu používá k ověření cloudflared vytvořit záznamy DNS pro vaši doménu v Cloudflare.

Třetí složka, token, se skládá z ID zóny (pro vybranou doménu) a API tokenu vázaného na uživatele, který se poprvé ověřil pomocí příkazu login. Když se změní oprávnění uživatele (pokud je například tento uživatel odebrán z účtu nebo se stane administrátorem jiného účtu), Cloudflare obnoví API klíč uživatele. Soubor certifikátu stažený přes cloudflared si ponechá starší API klíč, což může způsobit chyby ověřování. Uživatel se bude muset znovu přihlásit přes cloudflared a znovu vygenerovat certifikát. Případně může administrátor vytvořit vyhrazeného servisního uživatele pro ověřování.

To znamená, že origin používá certifikát, který cloudflared nedůvěřuje. Tuto chybu můžete například obdržet, pokud používáte kontrolu SSL/TLS v proxy mezi vaším serverem a Cloudflare. Řešení:

• Přidejte certifikát do systémového úložiště certifikátů.
• Použijte --origin-ca-pool příznak a zadejte cestu k certifikátu.
• Použijte --no-tls-verify příznak pro zastavení cloudflared kontrolou certifikátu z hlediska řetězce důvěryhodnosti.

A 1033 chyba znamená, že váš tunel není připojený k síti Cloudflare, protože síť Cloudflare nemůže najít funkční cloudflared instance pro příjem provozu.

Nejprve zkontrolujte, zda je váš tunel uveden jako Active v Cloudflare dashboard ↗ přechodem na Sítě > Tunnels nebo spusťte cloudflared tunnel list. Pokud tunel není Active, projděte si následující a podnikněte kroky potřebné pro stav vašeho tunelu:

Další informace naleznete v úplný seznam chyb Cloudflare 1xxx.

A 502 Bad Gateway chybu s Unable to reach the origin service. The service may be down or it may not be responding to traffic from cloudflared na trase tunelu znamená, že samotný tunel je připojen k síti Cloudflare, ale cloudflared se nemůže dostat ke službě origin definované ve vašem pravidle ingress. Na rozdíl od chyba 1033, což znamená, že tunel není připojen ke Cloudflare, chyba 502 znamená, že problém je mezi cloudflared a vaší místní službou.

Chcete-li zjistit konkrétní příčinu, zkontrolujte své Protokoly tunelu pro error-ové zprávy. Časté příčiny zahrnují:

Pokud se služba origin zastavila nebo se nikdy nespustila, cloudflared protokoly zobrazí chybu podobnou této:

error="dial tcp [::1]:8080: connect: connection refused"

Chcete-li problém vyřešit, ověřte, že služba běží a naslouchá na očekávaném portu:

curl -v http://localhost:8080

Pokud služba neběží, spusťte ji nebo restartujte. Že služba naslouchá, můžete ověřit spuštěním ss -tlnp | grep <PORT> (Linux) nebo lsof -iTCP -sTCP:LISTEN -nP | grep <PORT> (macOS).

Pokud origin server očekává HTTPS, ale trasa tunelu určuje http://, nebo naopak, cloudflared protokoly zobrazí chybu podobnou této:

error="net/http: HTTP/1.x transport connection broken: malformed HTTP response \"\x15\x03\x01\x00\x02\x02\""

Chcete-li problém vyřešit, aktualizujte URL služby ve své trase tunelu tak, aby odpovídala protokol očekává váš origin. Například změňte http://localhost:8080 na https://localhost:8080. Pokud používáte lokálně spravovaný tunel, aktualizujte své pravidlo ingress v konfigurační soubor.

Pokud se port v trase vašeho tunelu neshoduje s portem, na kterém naslouchá vaše služba, cloudflared zaznamená connection refused chybu pro daný port. Zkontrolujte URL služby ve svém ingress pravidle a porovnejte ji s portem, na který je vaše aplikace navázaná.

Pokud origin server prezentuje certifikát TLS, který cloudflared nemůže ověřit, protokoly zobrazí chybu podobnou této:

error="x509: certificate is valid for example.com, not localhost"

Nejčastěji k tomu dochází, když origin server používá certifikát self-signed nebo když se mezi cloudflared a origin.

Chcete-li problém vyřešit, použijte jeden z následujících postupů:

• Nastavte originServerName s hostname v origin certifikátu ve vaší trase tunelu. Pokud používáte lokálně spravovaný tunel, zde je příklad konfigurační soubor:

  ingress:
    - hostname: app.example.com
      service: https://localhost:443
      originRequest:
        originServerName: app.example.com

• Zadejte certifikát CA pomocí caPool:

  ingress:
    - hostname: app.example.com
      service: https://localhost:443
      originRequest:
        caPool: /path/to/ca-cert.pem

• Jako poslední možnost můžete ověřování TLS vypnout pomocí noTLSVerify. To se pro produkční prostředí nedoporučuje.

  ingress:
    - hostname: app.example.com
      service: https://localhost:443
      originRequest:
        noTLSVerify: true

Tato chyba nastává, když cloudflared nerozpoznává certifikát SSL/TLS předložený vaším origin serverem. Problém vyřešíte nastavením origin server name parametr na hostname z vašeho certifikátu origin serveru. Zde je příklad konfigurace lokálně spravovaného tunelu:

ingress:
  - hostname: test.example.com
    service: https://localhost:443
    originRequest:
      originServerName: test.example.com

To znamená, že vaše cloudflared access klient se nemůže dostat k vašemu cloudflared tunnel origin. Chcete-li to diagnostikovat, podívejte se na cloudflared tunnel protokoly. Častou hlavní příčinou je, že cloudflared tunnel se nedaří proxovat na váš origin (například proto, že je ingress špatně nakonfigurovaný, origin je nedostupný nebo certifikát HTTPS na origin nelze ověřit pomocí cloudflared tunnel). Pokud cloudflared tunnel nemá žádné protokoly, znamená to, že síť Cloudflare k němu není schopna směrovat provoz websocketů.

Tato chyba může mít několik možných příčin:

• Váš cloudflared tunnel buď neběží, nebo není připojen k síti Cloudflare.
• WebSockets nejsou povoleno.
• Váš účet Cloudflare má povolené Universal SSL, ale režim šifrování SSL/TLS je nastaven na Vypnuto (nezabezpečené). Chcete-li problém vyřešit, přejděte na SSL/TLS > Přehled v dashboardu Cloudflare a nastavte režim šifrování SSL/TLS na Flexibilní, Full, nebo Full (strict).
• Vaše požadavky jsou blokovány Super Bot Fight Mode. Chcete-li problém vyřešit, ujistěte se, že máte nastavené Definitely automated na Allow v nastavení bot fight mode.
• Vaše SSH nebo RDP aplikace Access má Binding Cookie povoleno. Chcete-li soubor cookie zakázat, přejděte do Řízení přístupu > Aplikace a upravte nastavení aplikace.
• Jeden nebo více Workers routes se překrývají s hostname tunelu a Workers nezpracovávají provoz správně. Chcete-li problém vyřešit, buď vyřaďte svůj tunel z trasy Workeru tím, že nedefinujete trasu obsahující hostname tunelu, nebo upravte svůj Worker tak, aby zpracovával pouze konkrétní cesty a všechny ostatní požadavky přeposílal na origin (například pomocí return fetch(req)).

Pokud cloudflared vrátí chybu error="remote error: tls: handshake failure", zkontrolujte, zda je daný název hostitele pokryt certifikátem SSL. Pokud používáte víceúrovňovou subdoménu, pokročilý certifikát může být vyžadováno, protože Universal SSL nepokrývá více než jednu úroveň subdomény. V prohlížeči se to může projevit jako ERR_SSL_VERSION_OR_CIPHER_MISMATCH.

Pokud váš Protokoly Cloudflare Tunnel vrátí socket: too many open files chyba, znamená to, že cloudflared vyčerpal limit otevřených souborů na vašem počítači. Maximální počet otevřených souborů neboli deskriptorů souborů je nastavení operačního systému, které určuje, kolik souborů smí proces otevřít. Chcete-li tento limit zvýšit, musíte nakonfigurovat nastavení ulimit na počítači, na kterém běží cloudflared.

Toto zvýšení velikosti bufferu hlásí quic-go library ↗ využívaný cloudflared ↗. Více o této protokolové zprávě se dozvíte v quic-go repository ↗. Tato zpráva v protokolu obvykle nemá žádný dopad a při řešení problémů ji lze bezpečně ignorovat. Pokud jste však nasadili cloudflared v jedinečném prostředí s vysokou šířkou pásma je možné velikost bufferu pro účely testování ručně přepsat.

Chcete-li nastavit maximální velikost přijímací vyrovnávací paměti v Linuxu:

1. Vytvořte nový soubor v /etc/sysctl.d/:

   sudo vi 98-core-rmem-max.conf

2. V souboru definujte požadovanou velikost bufferu:

   net.core.rmem_max=2500000

3. Restartujte hostitelský počítač, na kterém běží cloudflared.

4. Chcete-li ověřit, že se tyto změny projevily, použijte grep příkaz:

   sudo sysctl -a | grep net.core.rmem_max

   net.core.rmem_max = 2500000

Provoz procházející přes Cloudflare Tunnel se ve výchozím nastavení ukládá do vyrovnávací paměti, pokud origin server neobsahuje Content-Type: text/event-stream hlavičku odpovědi. Tato hlavička sděluje cloudflared ke streamování dat tak, jak přicházejí, místo ukládání celé odpovědi do vyrovnávací paměti.

Společnost Cloudflare nedávno zjistila, že verze 9128 databáze App-ID pro Palo Alto Networks Next Generation Firewall (NGFW) obsahuje změnu, která ovlivňuje požadavky na povolení provozu Cloudflare Tunnel a Cloudflare One Client.

Palo Alto Networks Next Generation Firewall (NGFW) detekuje jak Cloudflare Tunnel (cloudflared) a Cloudflare One Client (WARP se Zero Trust) jako cloudflare-warp, bez ohledu na verzi databáze App-ID. V současné době neexistuje samostatné App-ID pro cloudflared.

Tento problém pravděpodobně ovlivní klienty Cloudflare One Client a WARP, protože Palo Alto Networks NGFW rozpoznává jejich provoz jako cloudflare-warp.

Tato část se zaměřuje na Cloudflare Tunnel (cloudflared) se připojuje ke Cloudflare přes QUIC (UDP port 7844).

Od verze databáze App-ID 9128 (vydané July 27, 2026) změnil NGFW požadavky na povolení tohoto provozu. Verze databáze App-ID 9128 a novější vyžaduje, abyste explicitně povolili quic-base aplikaci navíc k dříve požadovaným App-ID a jejich závislostem.

Chcete-li obnovit konektivitu, buď vraťte databázi App-ID do předchozího stavu, nebo výslovně povolte požadované aplikace a port UDP.

Vraťte se k verzi databáze App-ID 9127 a deaktivujte automatické aktualizace App-ID, dokud společnost Palo Alto Networks neposkytne trvalé řešení.

Pokud vrátíte databázi App-ID zpět, považujte to za dočasné řešení a spojte se se svým bezpečnostním týmem. Jakmile Palo Alto Networks poskytne trvalé řešení, znovu zapněte automatické aktualizace.

1. V PAN-OS přejděte na Objekty > Služby.

2. Vytvořte službu s následujícím nastavením:

   Nastavení	Hodnota
   Název	cloudflared_7844_udp
   Popis	Volitelné
   Protokol	UDP
   Cílový port	7844
   Zdrojový port	Ponechte prázdné
   Časový limit relace	Inherit from application

3. Vyberte OK.

1. Přejděte na Zásady.
2. Vytvořte nebo upravte univerzální nebo interzóna pravidlo brány firewall.
3. Nakonfigurujte Zdroj a Cíl kritéria, která odpovídají příslušným tokům provozu ve vašem prostředí:
   • Zdroj: Vyberte příslušnou zdrojovou zónu a/nebo zdrojovou adresu.
   • Cíl: Vyberte příslušnou cílovou zónu a/nebo cílovou adresu.
4. V části Aplikace, přidejte všechny následující aplikace:
   • cloudflare-warp
   • quic-base
5. V části Kategorie služby/URL, přidejte vlastní službu cloudflared_7844_udp.
6. Nastavte pravidlo Akce na Allow.
7. Zapněte protokolování podle bezpečnostní politiky vaší organizace.
8. Uložte změnu zásad a poté ověřte, že Cloudflare Tunnel dokáže přes firewall navázat a udržet spojení.

Aby bylo řešení problémů co nejrychlejší, uveďte v žádosti o podporu co nejpodrobnější informace. Čím více souvislostí poskytnete, tím rychleji lze problém identifikovat a vyřešit.

Aby bylo zajištěno efektivní přeložení, když kontaktování podpory, uveďte ve svém ticketu co nejvíce relevantních podrobností:

• Kontext: Stručně popište scénář nebo případ použití (například kde uživatel byl a o co se pokoušel).

• Kroky pro reprodukci: Popište kroky, kterými jste problém během řešení potíží reprodukovali.

• Časová razítka: buďte konkrétní a uveďte přesný čas a časové pásmo, kdy problém nastal.

• Pokusy o řešení potíží: popište kroky nebo změny, které jste už k vyřešení problému vyzkoušeli.

• ID tunelu a název tunelu.

• cloudflared verze (spusťte cloudflared --version).

• Jak byl tunel nastaven (spravovaný lokálně, nebo vzdáleně přes dashboard).

• Protokoly tunelu: uveďte protokoly z místního počítače.

• Diagnostické protokoly tunelu: uveďte diagnostické protokoly tunelu.

Chcete-li zachytit podrobný výstup pro řešení potíží:

• Lokálně spravované tunely: Spusťte cloudflared hodnotou --loglevel debug příznak:

  cloudflared tunnel --loglevel debug run

  Chcete-li uchovávat protokoly v souboru, přidejte --logfile příznak:

  cloudflared tunnel --loglevel debug --logfile /var/log/cloudflared/cloudflared.log run

• Vzdáleně spravované tunely (vytvořené přes dashboard): Nakonfigurujte protokolování tunelu v parametry run. Protokoly můžete streamovat také v reálném čase pomocí vzdálené streamování protokolů funkce.

Při kontaktování podpory přiložte ladicí protokoly. Úplný přehled informací, které je potřeba uvést, najdete ve výše uvedeném seznamu.