Posted inHomeLab

Cài đặt Cloudflare Tunnel với Docker: Mở dịch vụ HomeLab an toàn ra Internet không cần mở port router

Dựng một máy chủ tại nhà (home server) thì đơn giản, nhưng chia sẻ dịch vụ an toàn lại là chuyện khác. Hầu hết dân tự host (self-hoster) đều vướng rào cản ngay khi muốn mở các dashboard nội bộ, API hoặc công cụ giám sát ra ngoài Internet. Nếu nhà mạng đặt bạn sau CGNAT (Carrier-Grade NAT) hoặc đổi địa chỉ IP liên tục mỗi vài ngày, việc dùng Dynamic DNS truyền thống và mở port (port forward) trên router sẽ nhanh chóng biến thành cơn ác mộng quản trị.

Cloudflare Tunnel giải quyết triệt để rắc rối này. Thay vì phải chọc thủng tường lửa router ở port 80 và 443, tiến trình nền nhẹ cloudflared sẽ chủ động thiết lập một kết nối chỉ-chiều-ra (outbound-only) đến các trung tâm dữ liệu biên của Cloudflare. Cloudflare sẽ xử lý kết thúc TLS (TLS termination) tại biên, hấp thụ các đợt tấn công DDoS và proxy request ngược về các Docker container của bạn.

Không cần mở port trên router. Không lo lộ địa chỉ IP công cộng. Máy chủ gốc của bạn sẽ hoàn toàn vô hình trước Shodan, Censys và các botnet tự động rà quét các dải IP mạng gia đình.

Bắt đầu nhanh (5 phút)

Dưới đây là cách triển khai một tunnel hoàn chỉnh cùng container thử nghiệm chỉ trong vòng 5 phút.

Điều kiện tiên quyết

  • Một tên miền đã đăng ký và trỏ về nameserver của Cloudflare (gói miễn phí là đủ).
  • Docker Engine 24+ và Docker Compose v2 đã được cài đặt trên máy chủ Linux hoặc Raspberry Pi.
  • Tài khoản Cloudflare Zero Trust (miễn phí tối đa 50 người dùng).

Bước 1: Tạo Tunnel Token

Mở Cloudflare Zero Trust Dashboard và điều hướng đến Networks > Tunnels. Nhấn Create a tunnel, chọn loại kết nối là Cloudflared, đặt tên (ví dụ: homelab-tunnel), rồi tiếp tục.

Cloudflare sẽ hiển thị các lệnh cài đặt cho nhiều môi trường khác nhau. Trong tab Docker, tìm chuỗi câu lệnh và sao chép đoạn mã hash base64 dài ngay sau --token.

Bước 2: Triển khai với Docker Compose

Tạo một thư mục dự án mới trên máy chủ (chẳng hạn ~/homelab/cloudflare-tunnel) và thêm file compose.yaml. Chúng ta sẽ định nghĩa cả tiến trình kết nối lẫn container whoami nhẹ của Traefik để kiểm tra định tuyến ngay lập tức:

services:
  cloudflared:
    image: cloudflare/cloudflared:latest
    container_name: cloudflared
    restart: unless-stopped
    command: tunnel --no-autoupdate run --token ${TUNNEL_TOKEN}
    environment:
      - TUNNEL_TOKEN=eyJhIjoiZXhhbXBsZXRva2VuMTIzNDU2Nzg5MGFiY2RlZiIsInQiOiI...
    networks:
      - homelab_net

  whoami-test:
    image: traefik/whoami:latest
    container_name: whoami-test
    restart: unless-stopped
    networks:
      - homelab_net

networks:
  homelab_net:
    name: homelab_net
    driver: bridge

Khởi chạy stack ở chế độ chạy nền (detached mode):

docker compose up -d
docker compose logs -f cloudflared

Chỉ trong vòng hai đến ba giây, log sẽ xác nhận các kết nối đang hoạt động tới nhiều vị trí máy chủ biên, hiển thị các dòng thông báo như Registered tunnel connection connIndex=0 ....

Bước 3: Định tuyến tên miền công khai tới Container

Quay lại dashboard Cloudflare Zero Trust:

  1. Mở tab Public Hostname trong phần cài đặt tunnel và nhấn Add a public hostname.
  2. Nhập subdomain bạn muốn dùng (chẳng hạn whoami.yourdomain.com).
  3. Cấu hình dịch vụ upstream:
    • Type: HTTP
    • URL: whoami-test:80 (DNS nội bộ của Docker sẽ tự động phân giải tên container qua mạng bridge dùng chung).
  4. Lưu hostname.

Truy cập https://whoami.yourdomain.com trên trình duyệt. Cloudflare sẽ xử lý SSL ngay lập tức với chứng chỉ tại biên, trả về header của container mà không cần mở bất kỳ port nào trên router nhà bạn.

Tìm hiểu chuyên sâu

Hiểu rõ nguyên lý hoạt động của tunnel sẽ giúp bạn chẩn đoán các lỗi định tuyến tại biên và tình trạng rớt kết nối dễ dàng hơn nhiều.

Cách Cloudflare Tunnel vượt qua CGNAT

Hầu hết các nhà mạng cáp quang và mạng di động gia đình đều tiết kiệm dải IPv4 bằng cách áp dụng CGNAT (Carrier-Grade NAT). Trong mô hình CGNAT, hàng ngàn router của khách hàng sẽ dùng chung một nhóm IP công cộng phía trên. Mọi kết nối chiều vào (inbound) gửi tới router của bạn đều không bao giờ đến nơi; tường lửa của nhà mạng sẽ loại bỏ các gói tin không mong muốn trước khi chúng kịp chạm tới thiết bị của bạn.

Cloudflare Tunnel đảo ngược hoàn toàn kiến trúc đó. Thay vì lắng nghe các request gửi đến, tệp nhị phân cloudflared sẽ chủ động khởi tạo 4 tunnel QUIC gửi ra (outbound) duy trì liên tục qua cổng UDP 7844 (và tự động chuyển về cổng TCP 443 tiêu chuẩn nếu lưu lượng UDP bị chặn). Do tường lửa stateful NAT cho phép các kết nối outbound đã thiết lập, dữ liệu hai chiều có thể lưu thông mượt mà qua tunnel mà không cần cập nhật dynamic IP hay chọc lỗ NAT (port punching).

Kiến trúc tổng quan

[ Client trên Internet ]
        |
        v (HTTPS: 443)
[ Cloudflare Edge / WAF / Anycast DNS ]
        |
        v (Tunnel QUIC chiều ra qua UDP 7844)
[ Stateful Firewall / Router (0 Port mở chiều vào) ]
        |
        v
[ Container cloudflared ]
        |
        v (Mạng nội bộ Docker: bridge)
[ Container ứng dụng (ví dụ: whoami-test:80) ]

Quản lý qua Dashboard so với Quản lý Cục bộ

Cloudflare hỗ trợ hai quy trình quản lý:

  • Quản lý qua Dashboard (Remote): Được quản lý trực tiếp qua giao diện web Zero Trust và gắn với một token môi trường. Bạn có thể gán subdomain mới, chuyển đổi dịch vụ backend và áp dụng các chính sách truy cập trong vài giây mà không cần chạm vào terminal của máy chủ.
  • Quản lý cục bộ (CLI / GitOps): Vận hành dựa trên file config.yml và file thông tin xác thực (credentials) cục bộ được mount vào container. Mô hình này rất phù hợp cho quy trình GitOps, nơi mọi thay đổi định tuyến đều phải thông qua code review và pipeline CI/CD.

Đối với phần lớn người dùng tự host và các môi trường phát triển nội bộ, việc quản lý qua dashboard giúp loại bỏ việc đồng bộ file cấu hình rườm rà và tránh gián đoạn dịch vụ do lỗi cú pháp YAML.

Kỹ thuật nâng cao

Khi lưu lượng HTTP cơ bản đã lưu thông ổn định, bạn có thể tăng cường bảo mật cho các endpoint và mở nhiều cụm container một cách gọn gàng.

1. Bảo vệ ứng dụng nội bộ bằng Cloudflare Access

Mở thẳng một dashboard quản trị không có xác thực mạnh như Portainer hay Grafana ra Internet là bạn đang tự mời gọi các đợt tấn công brute-force tự động chỉ sau vài giờ. Cloudflare Access tạo một cổng xác thực danh tính ngay tại mạng biên, lọc lưu lượng trước khi nó kịp chạm đến máy chủ của bạn.

Thiết lập tính năng này trong dashboard Zero Trust:

  1. Vào Access > Applications > Add an application.
  2. Chọn Self-hosted, đặt tên dịch vụ và điền tên miền (ví dụ: vaultwarden.yourdomain.com).
  3. Thêm chính sách truy cập (Access Policy): chọn quy tắc Include khớp với địa chỉ email của bạn (ví dụ: [email protected]) hoặc tên miền email của công ty bạn.
  4. Chọn nhà cung cấp danh tính bạn muốn: Email OTP, GitHub OAuth, Google, hoặc một endpoint OIDC như Authentik.

Bất kỳ ai truy cập vào URL đều phải xác thực trước. Các request chưa được cấp quyền sẽ nhận ngay mã phản hồi 403 từ máy chủ biên của Cloudflare, bảo vệ máy chủ tại nhà của bạn khỏi các đợt rà quét độc hại.

2. Kết nối với các stack Docker có sẵn

Đừng gom tất cả ứng dụng vào một file compose nguyên khối. Thay vào đó, hãy tạo một mạng bridge Docker ngoài dùng chung:

docker network create homelab_proxy

Gắn connector tunnel vào mạng đó trong file compose.yaml độc lập của nó:

services:
  cloudflared:
    image: cloudflare/cloudflared:latest
    restart: unless-stopped
    command: tunnel --no-autoupdate run --token ${TUNNEL_TOKEN}
    networks:
      - homelab_proxy

networks:
  homelab_proxy:
    external: true

Giờ đây, bất kỳ stack ứng dụng riêng biệt nào trên máy chủ của bạn đều có thể tham gia vào homelab_proxy và có thể được định tuyến thông qua tên container của nó:

services:
  my-api:
    image: my-internal-api:v1.2
    container_name: my-api
    networks:
      - homelab_proxy
      - default

networks:
  homelab_proxy:
    external: true

Trên dashboard của Cloudflare, chỉ cần định tuyến api.yourdomain.com trực tiếp tới http://my-api:8080.

3. Xử lý chứng chỉ TLS tự ký (self-signed) nội bộ

Khi định tuyến lưu lượng tới một container bắt buộc dùng chứng chỉ HTTPS tự ký (như Proxmox VE hoặc một Nginx proxy chưa hoàn tất cấu hình), cloudflared sẽ hủy bắt tay upstream do lỗi xác thực TLS. Bạn có thể bỏ qua bước kiểm tra này trong dashboard Zero Trust ở mục cài đặt public hostname: mở rộng Additional application settings > TLS và bật tùy chọn No TLS Verify.

Lưu ý thực tế

Dưới đây là một số chi tiết vận hành bạn cần ghi nhớ trước khi chạy các dịch vụ quan trọng qua tunnel:

  • Chú ý Điều khoản dịch vụ (Mục 2.8): Điều khoản gói phi Doanh nghiệp (non-Enterprise) của Cloudflare hạn chế việc proxy lượng lớn nội dung không phải HTML. Việc truyền phát video dung lượng lớn liên tục (chẳng hạn như stream Plex hoặc Jellyfin chuẩn 4K ở tốc độ trên 40 Mbps) hoặc chuyển các file backup 500GB hàng ngày qua tunnel có thể kích hoạt cảnh báo khóa tài khoản tự động. Hãy ưu tiên dùng tunnel cho web app, API và máy chủ bastion SSH/VNC.
  • Đảm bảo cổng UDP 7844 chiều ra không bị chặn: Mặc định, cloudflared ưu tiên sử dụng HTTP/3 qua QUIC. Giao thức QUIC xử lý hiện tượng giật mạng và mất gói tạm thời của ISP tốt hơn nhiều so với TCP, giúp kết nối lại trong chưa đầy 100ms khi đường truyền WAN gia đình chập chờn. Hãy kiểm tra tường lửa router để chắc chắn không chặn cổng UDP 7844 chiều ra.
  • Thu thập IP thực của client: Do Cloudflare đứng trung gian giữa người dùng và máy chủ gốc, ứng dụng của bạn sẽ chỉ nhìn thấy IP proxy của Cloudflare trên socket TCP thuần. Hãy cấu hình reverse proxy (hoặc middleware của ứng dụng) để đọc header request CF-Connecting-IP nhằm ghi log và giới hạn tần suất truy cập (rate-limit) chính xác.
  • Thêm health check cho container: Các nút mạng biên của Cloudflare sẽ tự động định tuyến lại lưu lượng nếu một connector ngừng hoạt động, nhưng Docker sẽ không tự khởi động lại một connector bị treo nếu thiếu lệnh kiểm tra rõ ràng. Hãy thêm đoạn cấu hình này vào file compose của bạn:
    healthcheck:
      test: ["CMD", "cloudflared", "tunnel", "--version"]
      interval: 30s
      timeout: 5s
      retries: 3

Sự kết hợp giữa Cloudflare Tunnel và Docker giúp loại bỏ những điểm yếu cố hữu của việc tự host tại nhà: không cần cấu hình router phức tạp, không lo rào cản CGNAT và không để lộ IP công cộng. Chỉ với vài dòng YAML, bạn đã sở hữu một cổng biên chuẩn zero-trust vững chắc chỉ trong vài phút.

Share:
Tags: