2. 赋予执行权限

chmod +x install-cloudflared.sh

3. 执行脚本

bash install-cloudflared.sh

按照提示输入 Cloudflare Tunnel Token 即可完成部署。

八、绑定域名到本地服务

Tunnel 部署完成后，还需要在 Cloudflare 后台配置访问规则。

回到 Cloudflare Zero Trust 控制台，进入你的 Tunnel 设置页面，找到：

Public Hostname

点击：

Add a public hostname

填写以下内容：

这样配置后，访问：

https://app.example.com

就会转发到服务器本机的：

http://localhost:8080

如果你的服务运行在 Docker 容器中，需要特别注意网络访问方式。

九、访问 Docker 容器中的服务

假设你有一个 Web 服务容器，名为 webapp，监听端口为 3000。

如果 cloudflared 和 webapp 不在同一个 Docker 网络中，cloudflared 可能无法直接通过容器名访问它。

推荐做法是创建一个公共 Docker 网络。

1. 创建 Docker 网络

docker network create cloudflare-net

2. 修改 cloudflared 的 Compose 文件

version: "3.8"

services:
  cloudflared:
    image: cloudflare/cloudflared:latest
    container_name: cloudflared
    restart: unless-stopped
    command: tunnel --no-autoupdate run --token 你的Token
    networks:
      - cloudflare-net

networks:
  cloudflare-net:
    external: true

3. 将业务容器加入同一网络

示例 Web 服务：

version: "3.8"

services:
  webapp:
    image: nginx:latest
    container_name: webapp
    restart: unless-stopped
    networks:
      - cloudflare-net

networks:
  cloudflare-net:
    external: true

此时在 Cloudflare Public Hostname 中可以填写：

http://webapp:80

这样 Cloudflare Tunnel 就可以通过 Docker 容器名访问 Web 服务。

十、完整示例：部署 Nginx 并通过 Cloudflare 访问

下面演示一个完整例子：使用 Docker 部署 Nginx，然后通过 Cloudflare Tunnel 绑定域名访问。

1. 创建网络

docker network create cloudflare-net

2. 部署 Nginx

mkdir -p /opt/nginx-demo
cd /opt/nginx-demo

创建 docker-compose.yml：

version: "3.8"

services:
  nginx-demo:
    image: nginx:latest
    container_name: nginx-demo
    restart: unless-stopped
    networks:
      - cloudflare-net

networks:
  cloudflare-net:
    external: true

启动：

docker compose up -d

3. 部署 Cloudflared

mkdir -p /opt/cloudflared
cd /opt/cloudflared

创建 docker-compose.yml：

version: "3.8"

services:
  cloudflared:
    image: cloudflare/cloudflared:latest
    container_name: cloudflared
    restart: unless-stopped
    command: tunnel --no-autoupdate run --token 你的Token
    networks:
      - cloudflare-net

networks:
  cloudflare-net:
    external: true

启动：

docker compose up -d

4. 配置 Public Hostname

在 Cloudflare 后台添加：

app.example.com → http://nginx-demo:80

等待几分钟后访问：

https://app.example.com

如果能看到 Nginx 默认欢迎页，说明部署成功。

十一、常见问题排查

1. 容器启动后无法访问域名

首先查看 cloudflared 日志：

docker logs -f cloudflared

检查是否出现连接失败、Token 错误或服务不可达等提示。

如果日志正常，再检查 Cloudflare 后台 Public Hostname 是否配置正确。

2. 提示 502 Bad Gateway

502 通常说明 Cloudflare Tunnel 已经连通，但后端服务无法访问。

常见原因包括：

• 服务端口写错；
• 服务容器没有和 cloudflared 在同一 Docker 网络；
• URL 协议写错，例如应该是 http 却写成了 https；
• 后端服务只监听了 127.0.0.1，没有监听容器网络；
• 容器名称写错。

如果访问 Docker 容器，建议使用：

http://容器名:端口

例如：

http://nginx-demo:80

3. Token 泄露怎么办？

如果 Tunnel Token 不小心泄露，建议立即到 Cloudflare 后台删除该 Tunnel，重新创建新的 Tunnel，并重新部署容器。

不要将 Token 写入公开 GitHub 仓库，也不要截图公开展示。

4. 是否需要开放服务器端口？

通常不需要。

Cloudflare Tunnel 是由本地 cloudflared 主动连接 Cloudflare，所以不需要开放 80、443 端口。

但服务器需要能够访问外网，否则无法连接 Cloudflare。

5. 是否可以部署多个域名？

可以。

一个 Tunnel 可以配置多个 Public Hostname，例如：

blog.example.com → http://blog:80
api.example.com  → http://api:3000
nas.example.com  → http://nas:5000

你只需要在 Cloudflare 后台继续添加 Public Hostname 即可。

十二、安全建议

虽然 Cloudflare Tunnel 可以隐藏源站 IP，并减少端口暴露，但仍然需要注意安全。

建议做到以下几点：

1. 后台服务增加访问认证

如果你暴露的是管理后台、NAS、数据库管理工具等敏感服务，建议配合 Cloudflare Access 使用身份认证。

Cloudflare Access 可以限制只有指定邮箱、指定组织或指定用户才能访问。

2. 不要暴露高风险服务

不建议直接暴露以下服务：

• 数据库端口；
• Redis；
• SSH；
• 未加密的后台；
• 无密码的管理面板；
• 内网核心管理系统。

3. 定期更新镜像

定期更新 cloudflared 镜像：

docker compose pull
docker compose up -d

4. 妥善保管 Token

Token 等同于 Tunnel 的连接凭证，需要妥善保存。

建议使用环境变量或 .env 文件管理 Token，而不是直接硬编码在配置中。

例如创建 .env：

CF_TOKEN=你的Token

Compose 文件改为：

version: "3.8"

services:
  cloudflared:
    image: cloudflare/cloudflared:latest
    container_name: cloudflared
    restart: unless-stopped
    command: tunnel --no-autoupdate run --token ${CF_TOKEN}

这样更适合长期维护。

十三、卸载 Cloudflare Docker 服务

如果不再需要该 Tunnel，可以执行以下命令卸载本地容器：

cd /opt/cloudflared
docker compose down

删除部署目录：

rm -rf /opt/cloudflared

如果使用的是普通 Docker 命令运行：

docker stop cloudflared
docker rm cloudflared

如果还想删除镜像：

docker rmi cloudflare/cloudflared:latest

最后，建议到 Cloudflare 后台删除对应 Tunnel，避免无效配置长期存在。

十四、总结

通过 Docker 部署 Cloudflare Tunnel，可以非常快速地将本地服务或服务器中的 Docker 应用发布到公网。相比传统的 Nginx 反向代理、端口映射和证书配置，Cloudflare Tunnel 的优势非常明显：

• 不需要公网 IP；
• 不需要开放服务器入站端口；
• 自动支持 HTTPS；
• 可以隐藏真实服务器 IP；
• 支持 Docker 一键部署；
• 适合 NAS、家庭服务器、个人博客和内网应用；
• 后续维护简单，只需要管理容器即可。

如果你只是想快速使用，直接执行：

docker run -d \
  --name cloudflared \
  --restart unless-stopped \
  cloudflare/cloudflared:latest \
  tunnel --no-autoupdate run --token 你的Token

如果你希望长期稳定运行，推荐使用 Docker Compose：

docker compose up -d

部署完成后，在 Cloudflare 后台添加 Public Hostname，将域名指向本地服务地址，就可以通过自己的域名安全访问 Docker 服务了。

对于个人用户、开发者、小团队来说，Cloudflare Tunnel 是一种非常轻量、高效且安全的公网访问方案。只要掌握本文中的 Docker 部署方法，你就可以轻松实现 Cloudflare 一键部署，并将各类本地服务快速发布到公网。