המדריך המלא ל-Cloudflare Tunnel — חושפים שירות בלי לפתוח פורט
המנהרה שה-VPS שלכם פותח אל Cloudflare — ומקבל דומיין ציבורי בלי שום פורט פתוח
Cloudflare Tunnel (היה ידוע בעבר כ-Argo Tunnel, היום פשוט 'Tunnel') הוא שירות חינמי לחלוטין של Cloudflare שפותר את אחת הבעיות הגדולות של VPS אישי: איך חושפים שירות לעולם בלי לפתוח פורטים, בלי לדאוג ל-DDoS, ובלי לקנות IP סטטי. הרעיון גאוני בפשטות שלו — במקום שהאינטרנט יתחבר לשרת שלכם, השרת שלכם יוצא ויוצר 'מנהרה' אל Cloudflare. כל הבקשות לדומיין שלכם מגיעות ל-Cloudflare (שיש להם רשת CDN של 300+ datacenters), ו-Cloudflare מעביר אותן דרך המנהרה לשרת. התוצאה: פורט 443 על השרת שלכם נשאר סגור הרמטית, אבל המשתמשים מקבלים אתר תקין עם HTTPS, CDN ו-DDoS protection — בחינם. אצלי (אלעד) הדומיין `hub.eladjak.com` מצביע ב-DNS על Cloudflare, ודמון בשם `cloudflared` שרץ על ה-VPS שלי ב-Hetzner מנהל את המנהרה. כל בקשה ל-`hub.eladjak.com` עוברת דרך Cloudflare, נכנסת דרך המנהרה, ומגיעה ל-nginx פנימי על פורט 80 — בלי שאף פורט בכלל פתוח על השרת לעולם החיצוני. זה שינוי פרדיגמה: עברתם מ'איך לאבטח פורט פתוח' ל'אין פורט פתוח'.
מה המדריך מכסה
איך מנהרה הפוכה עובדת
מי מתחיל את הקשר — ולמה זה משנה הכול
הקסם של Cloudflare Tunnel הוא שכיוון הקשר הפוך מהמסורתי. בארכיטקטורה רגילה, האינטרנט מתחבר לשרת — מה שאומר שאתם חייבים פורט פתוח, IP ציבורי, ו-firewall חזק עוד יותר. במנהרה, השרת שלכם הוא זה שמתחיל את הקשר אל Cloudflare — בדיוק כמו שדפדפן מתחבר לאתר. המשמעות: ה-firewall שלכם רואה רק 'יציאה החוצה' (מה שתמיד מותר), ולא 'כניסה פנימה' (מה שמסוכן). כל הבקשות מתחילות ב-CDN של Cloudflare, ועוברות דרך המנהרה הפתוחה לשרת — אבל אף אחד באינטרנט לא יכול ליצור קשר ישיר עם השרת. הוא בלתי נראה.
התקנה: מ-0 לדומיין חי תוך 5 דקות
צעד אחר צעד, על Ubuntu/Debian
ההתקנה של Cloudflare Tunnel היא מהמהירות בעולם DevOps. אתם צריכים: דומיין שמנוהל ב-Cloudflare (מעבר nameservers הוא תהליך של 24 שעות, אבל חינם), חשבון Cloudflare (חינמי), ו-VPS עם גישת sudo. הכול נעשה דרך CLI, ואחרי ההפעלה הראשונית — `systemd` מנהל את ההפעלה האוטומטית.
config.yml: ניתוב מתקדם
אותה מנהרה — מאות שירותים, אם רוצים
config.yml הוא הקובץ שמגדיר את ההתנהגות של המנהרה. אפשר לנתב לפי hostname (כמו דומיינים ב-nginx), לפי path, או לפי שני התנאים יחד. אצלי (אלעד) המנהרה היחידה משרתת 10+ דומיינים שונים, כל אחד לקונטיינר Docker אחר.
Cloudflare Access: zero-trust בלי VPN
לדרוש אימות לפני שבכלל מגיעים לאפליקציה
Cloudflare Access היא ההרחבה של Tunnel שהופכת אותה ל-zero-trust gateway. במקום שהאפליקציה שלכם תטפל בלוגין, Cloudflare עצמם דורשים מהמשתמש להוכיח את עצמו (דרך Google, GitHub, SSO ארגוני, או one-time-pin לאימייל) — ורק אם עבר, הם מעבירים את הבקשה לשירות שלכם. ה-tier החינמי כולל 50 משתמשים, מה שהופך אותו למושלם לדשבורדים פרטיים, פאנלים אדמיניסטרטיביים או כלי dev שאתם רוצים שיהיו זמינים מכל מקום, אבל רק לכם.
Use cases מעשיים
לא רק לחשיפת אתר ציבורי
Cloudflare Tunnel עוצמתי בכל פעם שאתם צריכים לחשוף משהו פנימי לעולם. הנה השימושים הכי נפוצים אצלי ואצל לקוחות שלי.
אלטרנטיבות: ngrok, Tailscale, FRP
מתי לבחור מה
Cloudflare Tunnel הוא לא היחיד בשוק, אבל הוא הנדיב ביותר בחינם והקל ביותר להגדרה ל-VPS שמשרת web. הנה השוואה לאלטרנטיבות הפופולריות.
