Cloudflare Tunnel + SaaS + 优选加速：家庭 NAS 无公网 IP 免端口内网穿透全攻略

前言

家里有 NAS 或家庭服务器，想在外面也能访问？传统方案要公网 IP、要端口映射、要搞 SSL 证书，麻烦还不太安全。

本文介绍一套完全免费的方案：用 Cloudflare Tunnel 建隧道，配合 SaaS 自定义域名和优选加速，实现：

• ✅ 不需要公网 IP
• ✅ 不需要开端口
• ✅ 自动 HTTPS（Cloudflare 自动签发证书）
• ✅ 自定义域名（用你自己的域名访问）
• ✅ 国内访问快（通过优选 IP 加速）

项目地址：

• Cloudflare Tunnel：https://developers.cloudflare.com/cloudflare-one/connections/connect-networks/
• cloudflared：https://github.com/cloudflare/cloudflared

架构概览

整体链路是这样的：

1
2
3
4
5
6
7
8

用户访问 xxx.你的域名.com
  → DNS: CNAME 到 桥接域名入口
    → CNAME 到 优选加速域名
      → 解析到优选的 Cloudflare IP
        → Cloudflare SaaS 匹配自定义主机名
          → 回源到隧道入口（回退源）
            → 隧道 → 你家里的服务器
              → 转发到本地服务

涉及三个关键技术，下面逐一讲解。

一、Cloudflare Tunnel（隧道）

1.1 原理

在你家里的服务器上安装 cloudflared 程序，它会主动连接 Cloudflare 边缘服务器建立加密隧道。外部流量通过 Cloudflare 进入隧道，再转发到你本地的服务。

因为是出站连接，所以不需要公网 IP，也不需要在路由器上开端口。

1.2 安装

 1
 2
 3
 4
 5
 6
 7
 8
 9
10

# macOS
brew install cloudflared

# Linux (Debian/Ubuntu)
curl -fsSL https://pkg.cloudflare.com/cloudflare-main.gpg | sudo tee /usr/share/keyrings/cloudflare-main.gpg
echo "deb [signed-by=/usr/share/keyrings/cloudflare-main.gpg] https://pkg.cloudflare.com/cloudflared $(lsb_release -cs) main" | sudo tee /etc/apt/sources.list.d/cloudflared.list
sudo apt update && sudo apt install cloudflared

# Docker 方式
docker pull cloudflare/cloudflared:latest

1.3 登录并创建隧道

1
2
3
4
5

# 登录 Cloudflare（会打开浏览器授权）
cloudflared tunnel login

# 创建隧道（取个名字，比如 myhome）
cloudflared tunnel create myhome

创建成功后会显示隧道 ID，记住它。

1.4 配置路由

方式一：本地配置文件（适合想自己管理配置的）

创建 ~/.cloudflared/config.yml：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15

tunnel: 你的隧道ID
credentials-file: /root/.cloudflared/你的隧道ID.json

ingress:
  # 媒体服务
  - hostname: media.你的域名.com
    service: http://localhost:8096
  # 密码管理器
  - hostname: vault.你的域名.com
    service: http://localhost:8088
  # 笔记服务
  - hostname: note.你的域名.com
    service: http://localhost:6806
  # 兜底规则（必须有）
  - service: http_status:404

⚠️ 最后一行的兜底规则 http_status:404 是必须的，否则 cloudflared 启动会报错。

方式二：Dashboard 配置（推荐新手）

1. 登录 https://one.dash.cloudflare.com/
2. 左侧菜单 → Networks → Tunnels
3. 点击你创建的隧道 → Configure
4. 在 Public Network 里添加 hostname → service 映射

这种方式不需要本地配置文件，路由规则在 Cloudflare 云端管理，随时可以改。

1.5 启动隧道

1
2
3
4
5

# 前台运行（测试用）
cloudflared tunnel run myhome

# 用 token 方式运行（Dashboard 配置时）
cloudflared tunnel run --token 你的token

1.6 设置开机自启

macOS：

1
2

# cloudflared 自带安装命令
cloudflared service install

会自动创建 LaunchAgent，开机自启 + 崩溃自动重启。

Linux（systemd）：

1
2
3
4

cloudflared service install
# 或手动创建 systemd 服务
sudo systemctl enable cloudflared
sudo systemctl start cloudflared

到这一步，隧道已经建好了。但此时你只能通过 Cloudflare 分配的 xxx.cfargotunnel.com 域名访问，接下来要把你自己的域名接上去。

二、Cloudflare for SaaS（自定义主机名）

2.1 为什么需要 SaaS

正常情况下，Cloudflare Tunnel 只能让隧道所在账号的域名走隧道。但很多时候我们会用桥接域名（比如朋友搭的、或者另一个 Cloudflare 账号的域名）作为隧道入口，然后把自己的域名通过 SaaS 接入。

简单说：SaaS 让你的域名可以走别人账号下的隧道。

2.2 核心概念

2.3 配置步骤

第一步：在桥接域名的 Cloudflare 面板设置回退源

1. 登录 Cloudflare，选择桥接域名（隧道入口所在的域名）
2. 进入 SSL/TLS → Custom Hostnames
3. 点击 Add Fallback Origin，填入回退源地址（如 o.xxx.yy.com）
4. 确保隧道 ingress 的第一条规则是这个回退源地址

1
2
3
4
5
6
7

# 隧道 ingress 示例
ingress:
  - hostname: o.xxx.yy.com          # 回退源（第一条）
    service: http://localhost:9000
  - hostname: media.你的域名.com     # 其他服务
    service: http://localhost:8096
  - service: http_status:404         # 兜底

第二步：在你的域名 DNS 添加 CNAME 记录

到你自己的域名的 Cloudflare DNS 面板，为每个服务添加 CNAME：

⚠️ 必须选"仅 DNS"（灰色云朵），不能开启 Cloudflare 代理（橙色云朵）。开启代理会导致 SaaS 不生效。

第三步：在 SaaS 添加自定义主机名

回到桥接域名的 Cloudflare 面板 → SSL/TLS → Custom Hostnames：

1. 点击 Add Custom Hostname
2. 填入你的子域名（如 media.你的域名.com）
3. SSL 证书类型选 Full 或 Full (Strict)
4. Cloudflare 会生成一条 TXT 验证记录

第四步：完成 TXT 验证

回到你自己的域名 DNS 面板，添加 Cloudflare 给出的 TXT 记录：

添加后回到 SaaS 页面点击验证，状态变成 Active 就成功了。

Cloudflare 会自动为该主机名签发 SSL 证书，你什么都不用管。

第五步：根域名证书（可选）

如果你想让根域名（如 你的域名.com 本身）也支持 HTTPS 访问：

1. 同样在 SaaS 添加 你的域名.com 为自定义主机名
2. 完成 TXT 验证
3. 隧道里加一条路由 你的域名.com → 某个本地服务
4. DNS 添加根域名的 CNAME（或 A 记录指向 Cloudflare IP）

2.4 验证

1
2
3
4
5
6
7

# 检查 DNS 解析
dig +short media.你的域名.com
# 应该返回 Cloudflare IP，不是你家的公网 IP

# 测试访问
curl -sI https://media.你的域名.com
# 应该返回 200 或 302

三、优选加速（国内加速）

3.1 问题

Cloudflare 默认分配的边缘 IP 对国内用户可能很慢（延迟高、丢包严重）。虽然隧道本身能通，但体验不好。

3.2 解决方案

通过 CNAME 链接入优选加速服务，让国内用户解析到速度更快的 Cloudflare IP。

具体做法：让隧道入口域名（如 js.xxx.yy.com）CNAME 到一个优选域名（如 saas.sin.fan），这个优选域名会解析到对国内用户更友好的 Cloudflare IP。

1
2
3

js.xxx.yy.com
  → CNAME saas.sin.fan（优选加速域名）
    → 解析到优选的 Cloudflare IP

3.3 常用优选域名

这些优选域名是第三方提供的，可用性和速度因地区而异，建议多试几个选最快的。

3.4 验证优选效果

1
2
3
4
5
6
7
8
9

# 对比优选前后的 IP 和延迟
# 直连 Cloudflare
dig +short js.xxx.yy.com

# 通过优选
dig +short saas.sin.fan

# 测试延迟
ping -c 5 优选后的IP

四、完整配置示例

以部署一个 NAS 媒体服务为例，走一遍完整流程。

4.1 本地启动服务

先确保媒体服务在本地 http://localhost:8096 能正常访问。

4.2 创建隧道并配置路由

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11

# 安装
brew install cloudflared

# 登录
cloudflared tunnel login

# 创建隧道
cloudflared tunnel create myhome

# 设置开机自启
cloudflared service install

在 Cloudflare Dashboard → Zero Trust → Networks → Tunnels → myhome → Configure：

4.3 DNS 配置

在你自己域名的 Cloudflare DNS 面板：

1

media  CNAME  js.xxx.yy.com  （仅 DNS/灰色云）

4.4 SaaS 配置

在桥接域名的 SSL/TLS → Custom Hostnames：

1. 回退源设为 o.xxx.yy.com
2. 添加自定义主机名 media.你的域名.com
3. 在你的域名 DNS 添加 TXT 验证记录
4. 等待验证通过（通常几分钟）

4.5 测试

1
2

curl -sI https://media.你的域名.com
# HTTP/2 200 → 成功！

现在你可以在任何地方通过 https://media.你的域名.com 访问家里的 NAS 服务，不用加端口，自动 HTTPS。

五、添加新服务速查

以后想加新服务，按这个顺序来：

1. 本地启动服务（记住端口号）
2. 隧道加路由：Dashboard → Tunnels → 你的隧道 → Configure → 加一条 hostname → service
3. DNS 加 CNAME：你的域名 DNS 面板，新服务名 CNAME → js.xxx.yy.com（灰色云）
4. SaaS 加主机名：桥接域名 → SSL/TLS → Custom Hostnames → Add，完成 TXT 验证
5. 等证书签发，测试访问

六、常见问题

Q: 访问报 502 Bad Gateway

隧道没启动或本地服务没跑。检查 cloudflared 进程是否存在，本地服务能否通过 curl http://localhost:端口 访问。

Q: 访问报 SSL 证书错误

SaaS 自定义主机名的证书还没签发完成，或者 TXT 验证没通过。去 SSL/TLS → Custom Hostnames 查看状态。

Q: SaaS 里显示"待验证 TXT"

TXT 记录没加对。检查 DNS 里的 TXT 记录名称和内容是否与 Cloudflare 给出的一致，注意有传播延迟（最长等几分钟）。

Q: 国内访问慢

优选域名可能不适用你的地区。换一个优选域名试试，或者用 Cloudflare Speed Test（https://speed.cloudflare.com/）找到你地区最快的 IP，然后在 DNS 里直接用 A 记录指向那个 IP。

Q: Mac 休眠后服务不可用

对的，Mac 休眠时 cloudflared 进程会挂起，隧道断开。解决方案：

• 系统设置 → 节能 → 防止自动休眠
• 或用 caffeinate -s 命令阻止休眠
• 或用 Docker 容器跑 cloudflared（但更复杂）

Q: 隧道日志怎么看？

1
2
3
4
5

# macOS
cat ~/.cloudflared/cloudflared.log

# 查看最近的配置变更
grep "Updated to new configuration" ~/.cloudflared/cloudflared.log | tail -3

总结

三个技术配合，就能实现零成本的家庭服务器公网访问。虽然配置步骤不少，但只要配好一次，以后加新服务只需要四步（起服务 → 加路由 → 加 DNS → 加 SaaS），非常方便。

有任何问题欢迎在评论区讨论！