آموزش Cloudflare Tunnel و Access برای وب‌اپ داخلی در Ubuntu و Debian

عیب‌یابی را از پاسخ محلی به کانکتور، مسیر عمومی و سپس هویت ادامه دهید. اگر کنترل امنیتی شکست خورد، مسیر را بسته نگه دارید. حذف Access راه‌حل ۵۰۲ نیست و Everyone راه‌حل کاربر ردشده نیست. پنل‌های بعدی فقط برای مشاهده‌اند؛ خروجی ممکن است جزئیات خصوصی عملیات داشته باشد.

روی سرور، پاسخ و شنوندهٔ محلی را با Service URL داشبورد تطبیق دهید. Connection refused معمولاً از پورت یا آدرس اشتباه یا توقف origin است. لوپ‌بک کانتینر با میزبان یکی نیست؛ در این آموزش هر دو پردازه سرویس میزبان‌اند. برای origin واقعی HTTPS، گواهی مورداعتماد و نام و CA صحیح لازم است؛ بررسی گواهی را خاموش نکنید. پیش از جایگزینی نمونه، مستند رسمی redirect و Host header را بخوانید.

sudo systemctl is-active academy-origin.service
curl --fail --silent --show-error --noproxy '*' http://127.0.0.1:8080/health.txt
sudo ss -lntp 'sport = :8080'

DNS، ساعت و لاگ کانکتور را ببینید. خطای ۱۰۳۳ یعنی کانکتور سالمی برای مسیر وجود ندارد؛ با ۵۰۲ origin متفاوت است. فهرست مقصدهای رسمی را با مسئول شبکه بررسی کنید. نتیجهٔ مثبت netcat در UDP، برقراری QUIC را ثابت نمی‌کند. پورت ورودی باز نکنید و فایروال را خاموش نکنید. مسدودی صرف UDP ممکن است با auto و HTTP/2 روی TCP۷۸۴۴ جبران شود؛ با بسته‌بودن هر دو مسیر، تونل کار نمی‌کند.

getent ahostsv4 region1.v2.argotunnel.com
dig SRV _v2-origintunneld._tcp.argotunnel.com
timedatectl status
sudo journalctl -u cloudflared-academy.service --since "10 minutes ago" --no-pager

پروفایل تمیز مرورگر، نام میزبان ذخیره‌شده، تیم و AUD، عضویت گروه و رویداد تصمیم Access را بررسی کنید. ورود معتبر الزاماً به معنی عضویت در گروه مجاز نیست. در خطای JWT ساعت و دسترسی HTTPS به تیم را ببینید؛ کوکی و توکن را لاگ نکنید. نشست قدیمی نتیجه را گمراه می‌کند. اگر کاربر خارج‌شده نشانه را می‌بیند، اول مسیر عمومی را حذف کنید؛ پنهان‌کردن لینک ورود کافی نیست. در طول اصلاح، origin لوپ‌بک و برنامهٔ Access باقی می‌مانند.

curl --silent --show-error --max-time 20 --dump-header - 'https://app.example.com/health.txt'
timedatectl status

بدون نمایش محتوا، فقط مشخصات فایل و وضعیت سرویس را ببینید. LoadCredential باید فایل انتخابی را بخواند و ExecStart از پوشهٔ خصوصی اعتبارنامه استفاده کند، نه مسیر اصلی که فقط root می‌خواند. دسترسی خواندن عمومی ندهید و توکن را به متن سرویس نبرید. اگر systemd محیط شما تغییرکرده یا این قابلیت را ندارد، با طراحی بررسی‌شدهٔ مدیریت راز تطبیق دهید؛ مجوز فایل را ضعیف نکنید.

sudo test -s '/etc/cloudflared-academy/token'
sudo stat -c '%a %U %G' '/etc/cloudflared-academy/token'
sudo systemctl status cloudflared-academy.service --no-pager