Cloudflare Quick Tunnels

Cloudflare 近日上线 Quick Tunnels 功能，允许开发者在无需注册账号、无需购买服务器、无需配置域名的前提下，将本地运行的服务即时暴露为可公开访问的 HTTPS 地址。该功能专为开发调试、临时演示或 Agent 自动化操作设计，执行一条命令即可获得随机子域名，且可随时关闭，不留任何持久化配置。

需注意：Quick Tunnels 仅适用于测试场景，存在 200 并发请求上限，且不支持 Server-Sent Events（SSE）。生产环境仍需使用标准 Cloudflare Tunnel 流程。

Quick Tunnels 使用方式与限制

启动命令：

cloudflared tunnel --url http://localhost:8080

执行后自动生成 *.trycloudflare.com 子域名，流量经 Cloudflare 网络代理至本地端口。关闭终端即断开连接，无残留资源。

明确限制：

• 仅限 HTTP/HTTPS 协议，不支持 SSH、TCP、RDP 等非 HTTP 服务
• 最大 200 并发请求，超出将被限流
• 不支持 SSE（影响实时推送类应用调试）
• 无 SLA、无自定义域名、无 WAF/DDoS 高级防护
• 地址随机生成，每次重启可能变化

这些限制是刻意为之：Quick Tunnels 的定位是“零摩擦临时通道”，而非生产级入口。若需稳定、安全、可扩展的公网暴露，必须走标准隧道流程。

标准 Cloudflare Tunnel：生产环境的完整方案

对于需要长期运行、自定义域名、企业级安全的场景，应使用标准 Cloudflare Tunnel。其核心优势在于：流量全程加密、源站 IP 隐藏、自动应用 CDN/WAF/DDoS 防护、支持多协议（含 SSH/TCP/RDP）。

部署三要素：

1. Cloudflare 账户 + 托管域名：必需前提
2. cloudflared 守护进程：安装在源站服务器，维持与 Cloudflare 的安全出站连接
3. DNS CNAME 记录：将自定义域名指向 <TUNNEL_ID>.cfargotunnel.com

关键配置点：

• Service URL：本地服务地址（如 http://localhost:80 或 http://192.0.2.1:8080）
• Origin Server Name：当源站证书覆盖公共主机名而非 localhost 时，需显式指定证书 CN/SAN
• Catch-all 规则：ingress 配置末尾必须包含兜底规则（如 http_status:404），否则未匹配请求将失败
• API Token 权限：创建隧道需 Cloudflare Tunnel Write，DNS 配置需 DNS Write

非 HTTP 服务注意：SSH、RDP 等协议需在客户端额外安装 cloudflared 进行访问，不能直接通过浏览器打开。

快速选择指南：Quick vs Standard

安全与运维提醒

• Quick Tunnels 无身份验证：生成的地址对全网开放，切勿暴露敏感接口、数据库或未授权管理后台。
• 标准隧道需定期轮换 Token：Tunnel Token 等同于源站访问凭证，泄露即失守。建议使用短期 Token 或结合 Cloudflare Access 做二次认证。
• 防火墙兼容性：确保源站可出站访问 TCP 7844 端口，否则隧道无法建立。受限网络环境需提前验证。
• HTTPS 源站配置：若源站已启用 HTTPS，需正确设置 Origin Server Name 或禁用证书验证（仅限内网可信场景），避免 526 错误。
• 监控与告警：生产隧道应接入 Cloudflare Logs 或 SIEM，监控异常流量与连接状态。

Cloudflare Quick Tunnels 的价值不在于替代生产方案，而在于消除“只是想让别人看一眼”的摩擦力。它让本地服务从“我的机器”变成“一个链接”，同时通过明确的功能边界防止误用。对开发者而言，这是调试效率的提升；对安全团队而言，这是可控的临时暴露窗口。理解其定位与限制，才能真正发挥其价值而不埋下隐患。