Joindre le relais par un Cloudflare Tunnel

Un Cloudflare Tunnel donne à votre relais une adresse HTTPS publique sans serveur à vous et sans ouvrir de port sur votre routeur. OAR peut faire tourner le programme cloudflared de Cloudflare pour vous : il le démarre avec le relais, le redémarre quand il tombe et affiche son état dans la pastille d’état. Choisissez-le quand vous avez un domaine chez Cloudflare et voulez joindre le relais depuis un téléphone ou un autre réseau, ou quand il vous faut HTTPS pour installer la page comme app et pour les notifications push.

cloudflared se connecte vers l’extérieur, à Cloudflare. Le relais continue d’écouter sur cette machine uniquement (localhostOnly reste à true), et Cloudflare achemine les requêtes pour votre nom d’hôte par cette connexion jusqu’au port du relais.

Ce qu’il vous faut #

• Un compte Cloudflare avec Zero Trust, et un domaine (une zone) sur ce compte pour le nom d’hôte public.
• cloudflared installé sur la machine qui fait tourner le relais. OAR ne l’inclut pas et ne l’installe pas.
• Un tunnel que vous créez dans Cloudflare. OAR le fait tourner à partir du token du tunnel.

Le relais lance le programme indiqué dans cloudflaredTunnel.binary, ou à défaut le cloudflared qu’il trouve dans son PATH. Installez-le avec :

Sous Windows, un lanceur .cmd ou .bat ne fonctionne pas. OAR démarre un fichier .exe ou .com.

La mise en place #

1. Dans votre compte Cloudflare Zero Trust, créez un tunnel. Copiez son token.
2. Donnez au tunnel un nom d’hôte public sur votre zone, par exemple relay.example.com, et dirigez-le vers http://localhost:3333. Si vous avez modifié port dans config.json, utilisez ce port. Ce routage se trouve chez Cloudflare, pas sur votre machine.
3. Ajoutez le bloc cloudflaredTunnel à config.json avec le token (voir Clés de config).
4. Redémarrez le relais avec oar restart.

Ouvrez https://relay.example.com/ dans un navigateur. Vous vous connectez avec le token d’accès comme d’habitude.

Le bloc de config #

{
  "cloudflaredTunnel": {
    "mode": "managed",
    "required": false,
    "token": "<tunnel token>",
    "binary": "cloudflared",
    "extraArgs": []
  }
}

L’ancienne forme "enabled": true fonctionne encore pour mode: "managed". Trois variables d’environnement l’emportent sur le fichier : COPILOT_CLOUDFLARED_MODE, COPILOT_CLOUDFLARED_TOKEN et COPILOT_CLOUDFLARED_BINARY. La référence de config.json liste les clés avec les autres réglages du tunnel, et la page Variables d’environnement liste les variables.

Le relais passe le token à cloudflared comme argument de ligne de commande (cloudflared tunnel run --token <token>), pas par l’environnement. Sur une machine avec d’autres utilisateurs, le token peut donc apparaître dans la liste des processus en cours. Le journal du relais l’affiche sous la forme <redacted>.

Son comportement #

• Démarrage et arrêt. Le relais démarre cloudflared quand il démarre et l’arrête (par un signal de terminaison) quand il s’éteint.
• Connecté. Le tunnel compte comme connecté quand cloudflared signale une connexion enregistrée ou, à défaut, quand il tourne depuis cinq secondes.
• Coupures. Quand cloudflared se termine, le relais le relance après une attente d’environ 5, 10, 20, 40 puis 60 secondes, chacune augmentée d’au plus 20 %. Les paliers repartent de zéro après une connexion qui a duré plus de 30 secondes.
• Token erroné ou tunnel supprimé. Si cloudflared se termine dans les 10 secondes trois fois de suite, le relais signale l’erreur auth-or-config et, à partir de là, ne réessaie plus qu’environ une fois par minute.
• Pas de cloudflared. Le relais démarre normalement et le tunnel reste désactivé. Il vérifie à nouveau chaque minute et démarre le tunnel dès que le programme est là. Si vous l’avez installé dans un dossier qui n’est pas dans le PATH du relais, redémarrez le relais.

Tunnel requis #

Avec required: true, le relais ne prend pas de messages dans la queue tant que le tunnel n’est pas connecté. Cela inclut le temps avant la première connexion ainsi qu’un cloudflared ou un token manquant. Utilisez-le quand le relais n’a d’utilité que si vous pouvez le joindre de l’extérieur. Les messages attendent dans la queue et partent une fois le tunnel connecté (voir les turns et la queue).

Voir l’état #

Le relais ne connaît pas votre nom d’hôte public, puisque le routage se trouve chez Cloudflare ; aucun de ces endroits ne l’affiche donc.

Reconnaître le trafic du tunnel #

Cloudflare ajoute un en-tête cf-ray à chaque requête qu’il transmet. Le relais s’en sert pour distinguer une requête arrivée par le tunnel d’une requête faite sur cette machine. Pour traiter de la même façon les en-têtes qu’ajoute votre propre périphérie, listez-les dans tunnelMarkerHeaders. publicHostnames liste les noms d’hôte qui joignent le relais, et trustProxy indique les proxys que le relais croit au sujet de l’adresse transmise. La valeur par défaut, "loopback", convient à cloudflared sur la même machine. Les trois figurent dans la référence de config.json.

Un second nom d’hôte pour les aperçus #

Les aperçus ont besoin de leur propre nom d’hôte, pour qu’une app en aperçu ne partage jamais de cookie de connexion avec le relais. Ajoutez-le au même tunnel comme second nom d’hôte public qui pointe vers l’écouteur d’aperçu (http://127.0.0.1:3334 par défaut). La page des aperçus donne l’exemple d’ingress et le bloc previews. Mettez le nom d’hôte du relais dans publicHostnames.

Cloudflare Access devant le relais #

Une application Cloudflare Access sur le nom d’hôte du relais s’applique à chaque visiteur, y compris aux lecteurs d’une conversation partagée. Sans exception, on leur demande de se connecter et le lien ne fonctionne pas. Laissez passer /shared/* et /api/shared/* sans connexion.

N’ajoutez pas de règle de cache Cloudflare pour /api/shared/*. Une page partagée recharge cette adresse pour suivre la conversation, et une réponse en cache continuerait d’afficher un ancien état. Le relais marque chaque réponse d’API avec Cache-Control: no-store, et chaque réponse avec CDN-Cache-Control et Cloudflare-CDN-Cache-Control réglés sur no-store. Cloudflare respecte ces deux en-têtes avant une règle de cache de votre zone.

Sécurité #

Un tunnel met le relais sur l’internet public. C’est le token d’accès qui tient les autres à l’écart. Voir Le token d’accès et qui peut joindre le relais et Ce qu’OAR expose.

Les workers de session du relais se connectent par des sockets qui ne fonctionnent que sur cette machine. Comme un tunnel public transmet tous les chemins, le relais répond 403 à une requête sur ces chemins qui porte cf-ray ou l’un de vos tunnelMarkerHeaders, et le journal le note avec [tunnel-guard]. Les liens partagés, qui arrivent par le tunnel sans connexion, ne sont pas concernés.

Dépannage #