1. 开通 Zero Trust#

1. 登录 Cloudflare 后台，左侧点 Zero Trust
2. 设置团队名称（随意），到付款页面选 Free 计划，完成开通

Free 计划支持 50 用户以内免费使用 Access，个人用完全够。如果当时跳过了套餐选择，后续在 Access → 应用程序 页面会提示”选择计划”，点进去选 Free 即可。

2. 创建隧道#

1. Zero Trust 后台 → 左侧 Networks → Tunnels
2. 点 Create a tunnel → 选 Cloudflared → 下一步
3. 给隧道命名（比如 fnos-tunnel）→ 保存
4. 安装方式选 Docker，复制页面给出的 token（后面要用）

关键：必须用 host 网络模式#

如果用默认 bridge 网络，容器里的 127.0.0.1 是容器自己，访问不到宿主机上的服务，会报 connection refused。

在 FnOS 上创建 docker-compose.yml：

1
version: '3'
2
services:
3
  cloudflared:
4
    image: cloudflare/cloudflared:latest
5
    container_name: cloudflared
6
    network_mode: host
7
    restart: unless-stopped
8
    command: tunnel --no-autoupdate run --token 这里替换成你的token

启动：

1
docker compose up -d

验证容器运行状态：

1
docker ps | grep cloudflared

确认网络模式是 host：

1
docker inspect cloudflared | grep NetworkMode

输出必须是 "NetworkMode": "host"。

回到 Cloudflare 隧道页面，等连接器状态变绿，点 Next。

关键：URL 用 127.0.0.1，不要用本机局域网 IP#

ESXI 虚拟机内，程序访问本机网卡 IP（如 10.0.0.4:8080）会触发虚拟交换机回流拦截，导致超时。用 127.0.0.1 走本地回环，不走网卡，避开这个问题。

点 Save hostname 保存，配置立即生效，不用重启容器。

问题 1：502 Bad Gateway，日志报 dial tcp 127.0.0.1:端口: connect: connection refused#

原因：cloudflared 容器不是 host 网络模式。

解决：确认 docker-compose.yml 里有 network_mode: host，重建容器。

1
docker compose down && docker compose up -d

问题 2：502，日志报 dial tcp 10.0.0.x:端口: i/o timeout#

原因：URL 填了本机局域网 IP，ESXI 虚拟交换机拦截回流流量。

解决：隧道后台把 URL 改成 127.0.0.1:端口。

问题 3：502，日志报 Host validation failed#

原因：后端服务强制校验 Host 头。

解决：隧道后台编辑该域名 → Additional application settings → HTTP Host Header 填入后端服务认可的域名。

问题 4：查看 cloudflared 日志#

1
docker logs cloudflared --tail 50

日志里会明确写清楚连哪个地址失败，根据报错对应上面的问题处理。

配置步骤#

1. 进入 Zero Trust 后台 → 左侧 访问控制 → 应用程序
2. 点 Add an application → 选 Self-hosted
3. 填写：
   • Application name：随意，比如 我的NAS
   • Session duration：选 24 hours 或更久
   • Application domain：选你的域名，子域名填你要保护的那个（比如 music）
4. 点 Next
5. Policy name：随意，比如 允许我自己
6. Action：选 Allow
7. Include 规则里：
   • 选 Email
   • 填你的邮箱地址（只有这个邮箱能登录访问）
8. 点 Next → 点 Add application 保存

效果#

以后访问受保护的子域名，会先跳转到 Cloudflare 登录页，输入你授权的邮箱，收验证码登录后才能进入服务。

多个服务#

每个子域名单独建一个 Application，分别保护。或者建一个 Application，domain 那里选 *.你的域名，一次性保护所有子域名。