← Cloudflare Tunnel / tunnel

Конфигурация

На этой странице описаны наиболее распространённые параметры настройки cloudflared туннелей, включая высокую доступность, правила брандмауэра и параметры времени выполнения.

Реплики и высокая доступность

Когда вы запускаете туннель, cloudflared устанавливает четыре исключительно исходящих, с постквантовым шифрованием соединения с как минимум двумя разными дата-центрами Cloudflare. Если какое-либо соединение, сервер или дата-центр выйдет из строя, ваши ресурсы останутся доступными.

Реплика представляет собой дополнительный cloudflared экземпляр, указывающий на тот же туннель. Каждая реплика создаёт четыре новых соединения и добавляет дополнительные точки входа к вашему источнику. На один туннель можно запустить до 25 реплик (100 соединений). Трафик направляется к географически ближайшей реплике.

graph LR
    C((Cloudflare))
    subgraph E[Your network]
        cf1["cloudflared <br> (Replica for tunnel-01)"]
        cf2["cloudflared <br> (Replica for tunnel-01)"]
        S1[Application]
        cf1-->S1
        cf2-->S1
    end
    C -- "Connections x 4 <br>"--> cf1
    C --> cf1
    C --> cf1
    C --> cf1
    C -- Connections x 4--> cf2
    C --> cf2
    C --> cf2
    C --> cf2

Разверните реплику

Чтобы развернуть реплику для туннеля с удалённым управлением:

В Панель управления Cloudflare ↗, перейдите в Сеть > Tunnels.
Перейдите в Tunnels ↗
Выберите туннель.
Выберите Добавьте реплику.
Выберите операционную систему хоста, на котором нужно развернуть реплику.
Скопируйте команду установки и выполните её на хосте.

Чтобы развернуть реплику для туннель с локальным управлением, выполните cloudflared tunnel run <NAME> на дополнительном хосте с тем же учётные данные туннеля.

Правила Firewall

cloudflared устанавливает исходящее соединение с Cloudflare через порт 7844. Ваш брандмауэр должен разрешать исходящий трафик к следующим адресам. Блокируйте весь входящий трафик для реализации позитивной модели безопасности: открытыми останутся только сервисы, указанные в конфигурации туннеля.

Необходимые порты

`region1.v2.argotunnel.com`

IPv4	IPv6	Порт	Протоколы
`198.41.192.167` `198.41.192.67` `198.41.192.57` `198.41.192.107` `198.41.192.27` `198.41.192.7` `198.41.192.227` `198.41.192.47` `198.41.192.37` `198.41.192.77`	`2606:4700:a0::1` `2606:4700:a0::2` `2606:4700:a0::3` `2606:4700:a0::4` `2606:4700:a0::5` `2606:4700:a0::6` `2606:4700:a0::7` `2606:4700:a0::8` `2606:4700:a0::9` `2606:4700:a0::10`	7844	TCP/UDP (`http2`/`quic`)

`region2.v2.argotunnel.com`

IPv4	IPv6	Порт	Протоколы
`198.41.200.13` `198.41.200.193` `198.41.200.33` `198.41.200.233` `198.41.200.53` `198.41.200.63` `198.41.200.113` `198.41.200.73` `198.41.200.43` `198.41.200.23`	`2606:4700:a8::1` `2606:4700:a8::2` `2606:4700:a8::3` `2606:4700:a8::4` `2606:4700:a8::5` `2606:4700:a8::6` `2606:4700:a8::7` `2606:4700:a8::8` `2606:4700:a8::9` `2606:4700:a8::10`	7844	TCP/UDP (`http2`/`quic`)

IP-адреса региона США

При использовании --region us флаг, убедитесь, что ваш межсетевой экран разрешает исходящие подключения к этим адресатам в регионе США на порте 7844 (TCP/UDP).

`us-region1.v2.argotunnel.com`

IPv4	IPv6	Порт	Протокол
`198.41.218.1` `198.41.218.2` `198.41.218.3` `198.41.218.4` `198.41.218.5` `198.41.218.6` `198.41.218.7` `198.41.218.8` `198.41.218.9` `198.41.218.10`	`2606:4700:a1::1` `2606:4700:a1::2` `2606:4700:a1::3` `2606:4700:a1::4` `2606:4700:a1::5` `2606:4700:a1::6` `2606:4700:a1::7` `2606:4700:a1::8` `2606:4700:a1::9` `2606:4700:a1::10`	7844	TCP/UDP (`http2`/`quic`)

`us-region2.v2.argotunnel.com`

IPv4	IPv6	Порт	Протокол
`198.41.219.1` `198.41.219.2` `198.41.219.3` `198.41.219.4` `198.41.219.5` `198.41.219.6` `198.41.219.7` `198.41.219.8` `198.41.219.9` `198.41.219.10`	`2606:4700:a9::1` `2606:4700:a9::2` `2606:4700:a9::3` `2606:4700:a9::4` `2606:4700:a9::5` `2606:4700:a9::6` `2606:4700:a9::7` `2606:4700:a9::8` `2606:4700:a9::9` `2606:4700:a9::10`	7844	TCP/UDP (`http2`/`quic`)

IP-адреса FedRAMP High

При развёртывании cloudflared в FedRAMP High ↗ окружение, cloudflared автоматически направляется в центры обработки данных FedRAMP на основе токен туннеля. Убедитесь, что ваш межсетевой экран разрешает исходящие подключения к следующим адресам, специфичным для FedRAMP, через порт 7844 (TCP/UDP).

`fed-region1.v2.argotunnel.com`

IPv4	IPv6	Порт	Протоколы
`162.159.234.1` `162.159.234.2` `162.159.234.3` `162.159.234.4` `162.159.234.5` `162.159.234.6` `162.159.234.7` `162.159.234.8` `162.159.234.9` `162.159.234.10`	`2a06:98c1:4d::1` `2a06:98c1:4d::2` `2a06:98c1:4d::3` `2a06:98c1:4d::4` `2a06:98c1:4d::5` `2a06:98c1:4d::6` `2a06:98c1:4d::7` `2a06:98c1:4d::8` `2a06:98c1:4d::9` `2a06:98c1:4d::10`	7844	TCP/UDP (`http2`/`quic`)

`fed-region2.v2.argotunnel.com`

IPv4	IPv6	Порт	Протоколы
`172.64.234.1` `172.64.234.2` `172.64.234.3` `172.64.234.4` `172.64.234.5` `172.64.234.6` `172.64.234.7` `172.64.234.8` `172.64.234.9` `172.64.234.10`	`2606:4700:f6::1` `2606:4700:f6::2` `2606:4700:f6::3` `2606:4700:f6::4` `2606:4700:f6::5` `2606:4700:f6::6` `2606:4700:f6::7` `2606:4700:f6::8` `2606:4700:f6::9` `2606:4700:f6::10`	7844	TCP/UDP (`http2`/`quic`)

межсетевые экраны, требующие SNI

Если ваш межсетевой экран применяет Server Name Indication (SNI), также разрешите эти имена хостов на порту 7844:

Имя хоста	Порт	Протоколы
`_v2-origintunneld._tcp.argotunnel.com`	7844	TCP (`http2`)
`cftunnel.com`	7844	TCP/UDP (`http2`/`quic`)
`h2.cftunnel.com`	7844	TCP (`http2`)
`quic.cftunnel.com`	7844	UDP (`quic`)

Необязательные адреса назначения на порту 443

Открытие порта 443 включает дополнительные функции, такие как автоматическое обновление ПО и проверка Access JWT. cloudflared корректно работает без этих подключений.

Назначение	Назначение
`api.cloudflare.com`	Проверка обновлений ПО
`update.argotunnel.com`	Проверка обновлений ПО
`github.com`	Скачайте последнюю версию
`<team-name>.cloudflareaccess.com`	Проверка JWT Access (если Access включён)
`pqtunnels.cloudflareresearch.com`	Отчёты об ошибках постквантового шифрования
`cfd-features.argotunnel.com` (TXT-запись DNS)	Согласование версии UDP-датаграмм

Чтобы убедиться, что брандмауэр пропускает трафик туннеля, см. Ошибки подключения.

Параметры запуска

Эти флаги применяются к cloudflared tunnel run команды. Они определяют, как туннель работает в вашей операционной системе.

Наиболее часто используемые параметры:

Параметр	По умолчанию	Описание
`--loglevel`	`info`	Уровень детализации логов: `debug`, `info`, `warn`, `error`, `fatal`
`--logfile`	stdout	Путь для записи журнала
`--metrics`	`127.0.0.1:20241`-`20245`	Адрес конечной точки метрик Prometheus (первый доступный порт в диапазоне)
`--protocol`	`auto`	Протокол соединения: `auto`, `quic`, `http2`
`--region`	global	Направляйте трафик только через дата-центры США с помощью `us`
`--token`	,	Токен туннеля (туннели с удалённым управлением)

В следующем примере показано, как запустить туннель вручную с флагами конфигурации:

cloudflared tunnel --loglevel info --logfile /var/log/cloudflared/cloudflared.log run --token <TOKEN VALUE>

Полный список параметров run и инструкции о том, как добавить их в службу туннеля, см. в Параметры запуска.

Параметры источника

Параметры конфигурации источника определяют, как cloudflared проксирует трафик на исходный сервер.

Наиболее часто используемые параметры:

Параметр	По умолчанию	Описание
`originServerName`	`""`	Имя хоста, ожидаемое из сертификата источника
`noTLSVerify`	`false`	Отключите проверку сертификата TLS
`httpHostHeader`	`""`	Переопределение HTTP-заголовка Host
`connectTimeout`	`30s`	Таймаут TCP-соединения с источником

Полный список параметров источника и инструкции по настройке см. в Параметры источника.

Разрешения

Права участников Cloudflare можно ограничить отдельными Cloudflare Tunnel вместо предоставления доступа на уровне всего аккаунта. Это позволяет делегировать управление отдельными Tunnel. Например, команда сможет управлять одним Tunnel, не получая доступа к остальной части аккаунта.

См. Детальные разрешения.