آموزش Cloudflare Tunnel و Access برای وب‌اپ داخلی در Ubuntu و Debian

روی سرور آزمایشی، کنسول یا راه مستقل مدیریت را نگه دارید. اگر کانکتور موجود یا هرکدام از دو سرویس این آموزش متعلق به کار دیگری است، ادامه ندهید. خروجی زیر را برای پورت‌ها و مسیرهای موجود بررسی کنید؛ فایل قبلی نباید بازنویسی شود. معماری پردازنده باید در بسته‌های رسمی پشتیبانی شود؛ ساعت صحیح و DNS سالم هم لازم است.

cat /etc/os-release
dpkg --print-architecture
timedatectl status
systemctl list-unit-files 'cloudflared*' 'academy-origin*'
sudo ss -lntup
sudo ls -ld '/srv/academy-origin' '/etc/cloudflared-academy' '/var/backups/academy-tunnel'

در Cloudflare One، تیم و روش ورود سازمان خود را آماده کنید. از Access controls و Applications، گزینهٔ Create new application و سپس Self-hosted and private و Add public hostname را انتخاب کنید. نام برنامه را Academy private web، زمان نشست را یک ساعت و میزبان را app.example.com بگذارید؛ تمام میزبان باید پوشش داده شود، بدون شرط مسیر. یک سیاست Allow فقط برای هویت یا گروه آزمایشی مشخص ذخیره کنید. اگر سرویس هویت سازمان MFA دارد، آن را همان‌جا الزام کنید. کد یک‌بارمصرف ایمیلی فقط دسترسی به صندوق را ثابت می‌کند و به‌تنهایی ادعای MFA نیست. Everyone، Bypass و Service Auth برای این تمرین انسانی مناسب نیستند. یک کاربر مجاز و یک کاربر خارج از فهرست لازم دارید؛ محدودیت و هزینهٔ پلن فعلی را هم پیشاپیش ببینید.

در داشبورد Cloudflare از Networking و Tunnels، تونل academy-web را با کانکتور cloudflared بسازید. فعلاً مسیر عمومی به آن ندهید. بخش Add a replica فرمان اتصال و توکن را نشان می‌دهد؛ فرمان پیشنهادیِ حاوی توکن را اجرا نکنید. فقط مقدار توکن را در مخزن امن اعتبارنامه نگه دارید تا بعداً در ویرایشگر محافظت‌شده وارد شود. این توکن اجازهٔ اضافه‌شدن کانکتور به تونل است، نه مجوز عبور کاربر از Access. در این روش، گواهی login، کلید API حساب یا فایل اعتبارنامهٔ تونل محلی لازم ندارید.

بسته‌های زیر روی سرور کانکتور نصب می‌شوند. پیش‌فرض بررسی‌شده Ubuntu 26.10 است؛ نسخه‌های LTS و Debian از انتخاب‌گر در دسترس‌اند. این دستور کل سیستم را ارتقا نمی‌دهد. وب‌سرور Python فقط برای فایل نشانهٔ آزمایشی است و سرور اپلیکیشن تولیدی محسوب نمی‌شود.

sudo apt-get update
sudo apt-get install --no-install-recommends ca-certificates curl gnupg python3 dnsutils

مخزن رسمی، شاخهٔ any را برای توزیع‌های مبتنی بر Debian توصیه می‌کند؛ نام نسخهٔ Ubuntu را حدس نزنید. کلید فعلی را با HTTPS بگیرید و اثرانگشت را ببینید و URL کلید و دستورالعمل جاری فروشنده را در فرایند مستقل تأیید منبع سازمان بررسی کنید. صفحهٔ مخزن URL کلید را می‌دهد؛ اگر سازمان اثرانگشت منتشرشده از کانال مستقل می‌خواهد، پیش از اعتماد به کلید آن را تهیه کنید. در صورت اختلاف متوقف شوید؛ بررسی امضای APT را خاموش نکنید. signed-by اعتماد این کلید را به همین مخزن محدود می‌کند. اگر فایل مخزن یا کلید را سازمان مدیریت می‌کند، آن را جایگزین نکنید.

sudo install -d -m 0755 /usr/share/keyrings
curl -fsSL https://pkg.cloudflare.com/cloudflare-main.gpg | sudo tee /usr/share/keyrings/cloudflare-main.gpg >/dev/null
gpg --show-keys --fingerprint /usr/share/keyrings/cloudflare-main.gpg
printf '%s\n' 'deb [signed-by=/usr/share/keyrings/cloudflare-main.gpg] https://pkg.cloudflare.com/cloudflared any main' | sudo tee /etc/apt/sources.list.d/cloudflared.list
sudo apt-get update
apt-cache policy cloudflared
sudo apt-get install --no-install-recommends cloudflared
cloudflared --version
cloudflared tunnel run --help

طبق فهرست جاری رسمی، خروجی UDP روی ۷۸۴۴ برای QUIC و TCP روی همان پورت برای HTTP/2 لازم است؛ DNS باید به resolver مجاز برسد. دانلود بسته HTTPS می‌خواهد و اعتبارسنجی JWT در کانکتور نیز به نشانی cloudflareaccess.com تیم شما روی HTTPS نیاز دارد. پورت ۴۴۳ جای ۷۸۴۴ را نمی‌گیرد. قوانین ورودی و مدیریت را دست نزنید و پورتی برای origin باز نکنید. حالت auto در صورت مسدودبودن UDP می‌تواند به HTTP/2 برگردد. موفقیت تست TCP، موفقیت QUIC یا اجازهٔ ورود کاربر را ثابت نمی‌کند.

getent ahostsv4 region1.v2.argotunnel.com
getent ahostsv4 region2.v2.argotunnel.com
dig SRV _v2-origintunneld._tcp.argotunnel.com