← Cloudflare Tunnel / tunnel / advanced

Токены туннеля

A удалённо управляемый туннель требует для запуска только токен. Запустить туннель может любой, у кого есть этот токен.

Получение токена

Чтобы получить токен для туннеля с удалённым управлением:

В Панель управления Cloudflare ↗, перейдите в Сеть > Tunnels.
Перейдите в Tunnels ↗
Выберите туннель.
Выберите Добавьте реплику.
Скопируйте cloudflared команду установки в текстовый редактор (не выполняйте эту команду). Токеном служит eyJ... строка.

Необходимые разрешения API-токена

Хотя бы одно из следующих права доступа токена требуется:

Cloudflare One Connectors Write
Cloudflare One Connector: cloudflared Write
Cloudflare Tunnel Write

Получение токена Cloudflare Tunnel

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/cfd_tunnel/$TUNNEL_ID/token" \
	--request GET \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

Ротация токена

Регулярно обновляйте токены, чтобы снизить риск компрометации. Для туннелей с несколькими реплики, выполняйте ротацию в нерабочее время и обновляйте реплики партиями.

В Панель управления Cloudflare ↗, перейдите в Сеть > Tunnels.
Перейдите в Tunnels ↗
Выберите туннель.
Выберите Ротация токена. После ротации токена, cloudflared не может устанавливать новые соединения со старым токеном. Существующие коннекторы остаются активными до перезапуска.
Выберите Добавить реплику и скопируйте новый cloudflared команду установки.
На каждой реплике переустановите cloudflared сервис с использованием нового токена:
```
sudo cloudflared service uninstall
sudo cloudflared service install <NEW_TOKEN>
```

Ротируйте скомпрометированный токен

Если токен туннеля скомпрометирован, немедленно обновить токен, а затем принудительно разорвите все существующие подключения:

Необходимые разрешения API-токена

Хотя бы одно из следующих права доступа токена требуется:

Cloudflare One Connectors Write
Cloudflare One Connector: cloudflared Write
Cloudflare Tunnel Write

Очистить подключения Cloudflare Tunnel

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/cfd_tunnel/$TUNNEL_ID/connections" \
	--request DELETE \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

Затем переустановите cloudflared сервис на всех репликах с использованием нового токена.