通过 Cloudflare Tunnel 访问中继

Cloudflare Tunnel 无需你自己的服务器、也无需在路由器上开放端口，就能为你的中继提供一个公开的 HTTPS 地址。OAR 可以替你运行 Cloudflare 的 cloudflared 程序：它随中继一起启动它，在它断开时重启它，并在状态点中显示它的状态。当你在 Cloudflare 上有域名、想从手机或另一个网络访问中继，或者你需要 HTTPS 来把页面安装为应用和推送通知时，选择它。

cloudflared 向外连接到 Cloudflare。中继继续只监听本机（localhostOnly 保持 true），而 Cloudflare 会把针对你主机名的请求沿着该连接带到中继的端口。

你需要什么 #

• 一个带 Zero Trust 的 Cloudflare 账户，以及其上一个用于公开主机名的域名（区域）。
• 在运行中继的机器上安装 cloudflared。OAR 不包含它，也不安装它。
• 你在 Cloudflare 中创建的隧道。OAR 从隧道的令牌运行它。

中继运行 cloudflaredTunnel.binary 指定的程序，否则运行它在 PATH 上找到的 cloudflared。用以下方式安装它：

在 Windows 上，.cmd 或 .bat 启动器不起作用。OAR 会启动 .exe 或 .com 文件。

设置 #

1. 在你的 Cloudflare Zero Trust 账户中创建一个隧道。复制它的令牌。
2. 在你的区域上为该隧道设置一个公开主机名，例如 relay.example.com，并把它指向 http://localhost:3333。如果你更改了 config.json 中的 port，请使用那个端口。这个路由在 Cloudflare 中，而不是在你的机器上。
3. 把 cloudflaredTunnel 块连同令牌添加到 config.json（参见配置键）。
4. 用 oar restart 重启中继。

在浏览器中打开 https://relay.example.com/。你照常用访问令牌登录。

配置块 #

{
  "cloudflaredTunnel": {
    "mode": "managed",
    "required": false,
    "token": "<tunnel token>",
    "binary": "cloudflared",
    "extraArgs": []
  }
}

旧形式 "enabled": true 对于 mode: "managed" 仍然有效。三个环境变量会覆盖该文件：COPILOT_CLOUDFLARED_MODE、COPILOT_CLOUDFLARED_TOKEN 和 COPILOT_CLOUDFLARED_BINARY。config.json 参考把这些键与其他隧道设置列在一起，而环境变量页面列出了这些变量。

中继把令牌作为命令行参数交给 cloudflared（cloudflared tunnel run --token <token>），而不是通过环境。因此在有其他用户的机器上，令牌可能出现在运行中的进程列表中。中继的日志会把它显示为 <redacted>。

它的行为 #

• 启动与停止。 中继在启动时启动 cloudflared，并在关闭时停止它（发送终止信号）。
• 已连接。 当 cloudflared 报告已注册的连接时，隧道算作已连接；若没有这样的报告，则在它运行满五秒时算作已连接。
• 断开。 当 cloudflared 退出时，中继会依次等待大约 5、10、20、40 秒，之后每次 60 秒，再重新启动它，每次等待最多再加 20%。一次连接持续超过 30 秒后，这个等待序列会从头开始。
• 令牌错误或隧道已删除。 如果 cloudflared 连续三次在 10 秒内退出，中继会报告错误 auth-or-config，并且此后大约每分钟只重试一次。
• 没有 cloudflared。 中继照常启动，隧道保持关闭。它每分钟再查找一次，并在程序就位后启动隧道。如果你把它安装到一个不在中继 PATH 上的文件夹，请重启中继。

必连隧道 #

当 required: true 时，隧道未连接期间中继不从队列取消息。这包括它首次连接之前的时间，以及缺少 cloudflared 或令牌的情况。如果中继只有在你能从外部访问它时才有用，就使用这个选项。消息在队列中等待，并在隧道连接后运行（参见轮次与队列）。

查看状态 #

中继不知道你的公开主机名，因为路由在 Cloudflare 中，所以这些都不显示它。

区分隧道流量 #

Cloudflare 会向它转发的每个请求添加一个 cf-ray 请求头。中继用它区分通过隧道来的请求与在本机上发出的请求。要把你自己的边缘所加的请求头也这样处理，把它们列在 tunnelMarkerHeaders 中。publicHostnames 列出到达中继的主机名，而 trustProxy 指定中继在转发地址上信任哪些代理。默认值 "loopback" 适合同一台机器上的 cloudflared。这三个都在 config.json 参考中。

给预览的第二个主机名 #

预览需要自己的主机名，这样被预览的应用就绝不会与中继共享登录 cookie。把它作为第二个公开主机名添加到同一个隧道，指向预览监听器（默认 http://127.0.0.1:3334）。预览页面有入口示例和 previews 块。把中继的主机名放进 publicHostnames。

中继前面的 Cloudflare Access #

中继主机名上的 Cloudflare Access 应用适用于每个访客，包括已分享对话的查看者。如果不设例外，他们会被要求登录，链接也就无法使用。让 /shared/* 和 /api/shared/* 无需登录即可通过。

不要为 /api/shared/* 添加 Cloudflare 缓存规则。分享页面会重新加载该地址以跟随对话，而缓存的响应会一直显示旧状态。中继给每个 API 响应加上 Cache-Control: no-store，并给每个响应加上设为 no-store 的 CDN-Cache-Control 和 Cloudflare-CDN-Cache-Control。Cloudflare 会优先遵守这两个，而不是你区域中的缓存规则。

安全 #

隧道会把中继放到公共互联网上。访问令牌是把别人挡在外面的东西。参见访问令牌与谁能访问中继和 OAR 暴露什么。

中继的会话 worker 通过只在本机运行的套接字连接。因为公开隧道会转发每条路径，所以中继会对那些路径上携带 cf-ray 或你的某个 tunnelMarkerHeaders 的请求回应 403，日志会用 [tunnel-guard] 注明。通过隧道、无需登录到达的分享链接不受影响。

疑难解答 #