1. 項(xiàng)目概述1.1 初次見(jiàn)到這個(gè)名字時(shí)我在想什么我第一眼看到cloudflare-os這個(gè)項(xiàng)目名腦子里冒出來(lái)的問(wèn)題是一家以 CDN、DNS、安全防護(hù)出名的公司怎么跟操作系統(tǒng)扯上關(guān)系了后來(lái)把玩了一圈才明白這其實(shí)不是 Cloudflare 官方出的發(fā)行版而是社區(qū)里一群自托管玩家、邊緣計(jì)算愛(ài)好者和折騰黨圍繞 Cloudflare 的開放生態(tài)拼出來(lái)的一套“云端優(yōu)先”的輕量系統(tǒng)鏡像和使用方案。它更像一個(gè)整合了 Dashboard、CLI 工具鏈、反向代理、域名解析、邊緣存儲(chǔ)的私有操作環(huán)境把平時(shí)散落在各種 VPS 和家用服務(wù)器上的活兒收攏到一個(gè)統(tǒng)一入口里。簡(jiǎn)單說(shuō)cloudflare-os 解決的是三個(gè)痛點(diǎn)一是自建服務(wù)越來(lái)越多域名、證書、隧道、反代各管各的亂得像個(gè)雜物間二是公網(wǎng) IP 稀缺家里寬帶沒(méi)有固定地址想從外面訪問(wèn) NAS、智能家居控制臺(tái)、開發(fā)環(huán)境總得繞來(lái)繞去三是安全策略分散時(shí)不時(shí)忘了續(xù)證書、忘了鎖端口心里不踏實(shí)。把 Cloudflare 的 Free 套餐、Pages、R2 對(duì)象存儲(chǔ)、Tunnel 這些能力和本地一套精簡(jiǎn) Linux 系統(tǒng)組合起來(lái)就能把這些事情集中治理等于給自己搭了一個(gè)“私有云控制臺(tái)”。1.2 這篇文章能幫到什么程度如果你是一個(gè)剛把家里小主機(jī)或云服務(wù)器利用起來(lái)的新手這篇文章可以讓你少走很多彎路。我自己從裸機(jī)裝系統(tǒng)到把整套環(huán)境跑通前后折騰了大概一個(gè)周末中間因?yàn)闄?quán)限、網(wǎng)絡(luò)、日志清理這些問(wèn)題反復(fù)回滾。寫成這篇筆記就是希望你能直接拿著命令走不必再掉進(jìn)同一個(gè)坑。文章會(huì)覆蓋這幾個(gè)層面的內(nèi)容系統(tǒng)選型與鏡像定制的思路、核心模塊的部署步驟、云邊協(xié)同的配置細(xì)節(jié)以及我在實(shí)際使用中遇到的典型故障和排查思路。既然名字里有“os”我會(huì)盡量按操作系統(tǒng)的視角來(lái)講把它當(dāng)成一套有用戶體系、有服務(wù)管理、有網(wǎng)絡(luò)棧、有存儲(chǔ)方案的完整環(huán)境來(lái)拆解而不是零散地丟幾個(gè) Docker 命令。提示我下面講的不是某個(gè)官方產(chǎn)品的說(shuō)明書而是基于 Cloudflare 開放能力在常見(jiàn)開源組件之上組合出的一套“類 OS”方案。具體到你的網(wǎng)絡(luò)環(huán)境和硬件條件參數(shù)可能要微調(diào)但整體思路是通用的。2. 整體設(shè)計(jì)與思路拆解2.1 為什么選“輕量系統(tǒng) 云邊協(xié)同”而不是“全家桶”一開始我也考慮過(guò)直接裝一個(gè)帶面板的 NAS 系統(tǒng)或者用 Docker Compose 堆一堆服務(wù)。但試下來(lái)發(fā)現(xiàn)這類方案要么太重把不需要的媒體服務(wù)、下載工具一股腦塞進(jìn)來(lái)要么太依賴某個(gè)第三方平臺(tái)哪天對(duì)方改個(gè)接口整套配置就跟著崩。cloudflare-os 的思路是反過(guò)來(lái)的本地系統(tǒng)只做最薄的一層保證 SSH、網(wǎng)絡(luò)、日志、基礎(chǔ)容器能跑其余能力盡量交給云端邊緣網(wǎng)絡(luò)去承載。這個(gè)取舍背后其實(shí)有個(gè)很實(shí)際的考慮家里的迷你主機(jī)或者舊筆記本性能天花板就在那里。跑個(gè) Nginx 反代、跑幾個(gè) Docker 容器還可以要是再開虛擬機(jī)、裝桌面環(huán)境、跑數(shù)據(jù)庫(kù)集群風(fēng)扇會(huì)一直狂轉(zhuǎn)電費(fèi)賬單也難看。把 DNS 解析、證書簽發(fā)、邊緣緩存、DDoS 清洗這些重活交給 Cloudflare 的全球節(jié)點(diǎn)本地只需要維護(hù)一個(gè)“出口”和幾個(gè)“服務(wù)進(jìn)程”壓力小很多。打個(gè)比方本地這臺(tái)機(jī)器就像門店的收銀臺(tái)只管收錢、找零、記賬而 Cloudflare 網(wǎng)絡(luò)是商場(chǎng)物業(yè)負(fù)責(zé)門禁、監(jiān)控、消防、引流。門店要做的是把收銀臺(tái)收拾利索而不是自己雇保安、修停車場(chǎng)。這個(gè)類比基本就是 cloudflare-os 的核心設(shè)計(jì)哲學(xué)。2.2 功能模塊怎么劃分才不亂把一個(gè)“操作系統(tǒng)”級(jí)別的環(huán)境拆開我習(xí)慣分成四層來(lái)看層級(jí)對(duì)應(yīng)模塊作用選型建議底座層系統(tǒng)鏡像、內(nèi)核、包管理提供穩(wěn)定的運(yùn)行環(huán)境Debian 12 / Alpine Linux網(wǎng)絡(luò)層DNS、反向代理、內(nèi)網(wǎng)穿透打通公網(wǎng)到內(nèi)網(wǎng)的路徑Cloudflare Tunnel Nginx/Caddy服務(wù)層容器運(yùn)行時(shí)、應(yīng)用編排承載具體的自托管應(yīng)用Docker Compose管理層面板、監(jiān)控、日志、審計(jì)讓運(yùn)維可視化自建輕量 Web 面板 Netdata這四層各自獨(dú)立又互相依賴。底座層選擇 Debian 12 是因?yàn)樗能浖蠢飽|西全遇到問(wèn)題網(wǎng)上的解決方案也多Alpine 更輕但兼容性偶爾會(huì)踩坑適合老機(jī)器極限壓榨性能的場(chǎng)景我用 Debian圖個(gè)省心。網(wǎng)絡(luò)層是整個(gè)方案的靈魂Cloudflare Tunnel 承擔(dān)了“公網(wǎng)入口”的職責(zé)本地不需要開端口映射也不需要一個(gè)固定的公網(wǎng) IP這在沒(méi)有公網(wǎng) IPv4 的寬帶環(huán)境下尤其好用。服務(wù)層用 Docker Compose 統(tǒng)一管理配置文件全部放在一個(gè)目錄下備份、遷移都方便。管理層則是我自己用開源面板加監(jiān)控腳本拼出來(lái)的不用登錄服務(wù)器敲命令就能看到各服務(wù)的健康狀態(tài)。2.3 避開了哪些彎路把這些模塊組合起來(lái)的時(shí)候我踩過(guò)三個(gè)比較典型的彎路值得提前說(shuō)明。第一個(gè)彎路是權(quán)限過(guò)于寬松。第一次配置時(shí)圖省事直接給了容器 privileged 權(quán)限結(jié)果一個(gè)測(cè)試容器崩了之后宿主機(jī)內(nèi)核日志被刷屏排查了半天才發(fā)現(xiàn)是共享了 host 網(wǎng)絡(luò)導(dǎo)致的。后來(lái)一律改為“最小權(quán)限原則”能映射端口就映射端口能掛只讀卷就掛只讀卷穩(wěn)定性立刻上來(lái)了。第二個(gè)彎路是域名解析的TTL設(shè)得太短。為了測(cè)試方便把 DNS 記錄 TTL 調(diào)到 60 秒結(jié)果每次重啟隧道服務(wù)全球節(jié)點(diǎn)緩存還沒(méi)過(guò)期服務(wù)時(shí)通時(shí)斷。改成 300 秒之后雖然生效慢了一點(diǎn)但訪問(wèn)穩(wěn)定多了。第三個(gè)彎路最隱蔽是日志文件無(wú)限增長(zhǎng)。系統(tǒng)跑了一個(gè)月之后發(fā)現(xiàn)磁盤占用從 3G 漲到了 20G查了半天才知道是容器 stdout 日志沒(méi)有輪轉(zhuǎn)策略。cloudflare-os 里我會(huì)單獨(dú)加一個(gè) logrotate 配置把單個(gè)日志文件控制在 50M 以內(nèi)保留 3 份問(wèn)題才徹底解決。3. 核心細(xì)節(jié)解析與實(shí)操要點(diǎn)3.1 鏡像定制與系統(tǒng)初始化的關(guān)鍵決策cloudflare-os 不是預(yù)編譯好的 ISO我更愿意把它理解成一套“初始化腳本 配置文件”的組合。要在自己的機(jī)器上復(fù)現(xiàn)這個(gè)環(huán)境第一步是把系統(tǒng)裝到最小化狀態(tài)。Debian 安裝時(shí)不要勾選桌面環(huán)境只保留 SSH server 和標(biāo)準(zhǔn)系統(tǒng)工具裝出來(lái)的系統(tǒng)占用不到 1GB啟動(dòng)內(nèi)存只有 200MB 出頭留給應(yīng)用的內(nèi)存才夠用。系統(tǒng)裝完我先做三件事改軟件源為國(guó)內(nèi)鏡像、創(chuàng)建普通用戶并配置 sudo 權(quán)限、開啟 SSH 密鑰登錄。軟件源這一步看似基礎(chǔ)但對(duì)于下載速度的影響是數(shù)量級(jí)的。比如在默認(rèn)源下 apt install docker.io可能要等幾分鐘換成鏡像源后十幾秒就完事。SSH 密鑰登錄值得多說(shuō)一句直接編輯/etc/ssh/sshd_config把PasswordAuthentication設(shè)為no然后把自己的公鑰寫入~/.ssh/authorized_keys。這樣做的目的不是防住所有攻擊任何安全措施都做不到而是把自動(dòng)化爆破的門檻抬高一大截讓日志里的掃描嘗試數(shù)量肉眼可見(jiàn)地降下來(lái)。3.2 網(wǎng)絡(luò)層Cloudflare Tunnel 的工作方式與配置Cloudflare Tunnel 是這套環(huán)境里最值得講清楚的部分。它的原理說(shuō)起來(lái)不復(fù)雜本地運(yùn)行一個(gè) cloudflared 守護(hù)進(jìn)程主動(dòng)向 Cloudflare 的邊緣節(jié)點(diǎn)發(fā)起一條 outbound 連接之后公網(wǎng)上的請(qǐng)求會(huì)通過(guò)這條連接被轉(zhuǎn)發(fā)到本地的某個(gè)端口上。這么做的好處是一舉多得不需要在路由器上做端口映射不需要?jiǎng)討B(tài) DNS 腳本不需要在防火墻里給公網(wǎng)端口開口子。因?yàn)檫B接是本地進(jìn)程主動(dòng)發(fā)起的所以即使你家的網(wǎng)絡(luò)位于多層 NAT 之后只要本地能訪問(wèn)外網(wǎng)隧道就能工作。實(shí)際操作時(shí)首先要去 Cloudflare Dashboard 的 Zero Trust 菜單里創(chuàng)建一個(gè) Tunnel拿到一段隧道 token。然后在本地安裝 cloudflared 包用cloudflared service install的方式把 token 寫入系統(tǒng)服務(wù)。接著配置的路由規(guī)則類似下面這段tunnel: 你的隧道ID credentials-file: /etc/cloudflared/隧道ID.json ingress: - hostname: blog.example.com service: http://localhost:8080 - hostname: rss.example.com service: http://localhost:1200 - service: http_status:404這段配置的含義是訪問(wèn) blog 這個(gè)子域名的請(qǐng)求轉(zhuǎn)發(fā)到本機(jī) 8080 端口訪問(wèn) rss 這個(gè)子域名的請(qǐng)求轉(zhuǎn)發(fā)到本地 1200 端口其他沒(méi)匹配到規(guī)則的請(qǐng)求統(tǒng)一返回 404。我把“默認(rèn)拒絕”放在最后一條這樣就算以后忘了加規(guī)則也不會(huì)把內(nèi)部服務(wù)直接暴露出去。注意cloudflared 服務(wù)會(huì)默認(rèn)以 root 身份運(yùn)行如果機(jī)器上同時(shí)跑著敏感的 Docker 容器建議用 systemd 的User參數(shù)把進(jìn)程降權(quán)到普通用戶避免權(quán)限過(guò)大。3.3 服務(wù)層容器編排時(shí)如何規(guī)劃目錄與網(wǎng)絡(luò)容器編排這塊我建議把所有應(yīng)用放在/opt/apps下每個(gè)應(yīng)用一個(gè)子目錄里面放docker-compose.yml和.env配置文件。例如一個(gè)典型的自托管博客應(yīng)用目錄結(jié)構(gòu)是這樣的/opt/apps/blog/ ├── docker-compose.yml ├── .env ├── data/ └── logs/docker-compose.yml 里我特別強(qiáng)調(diào)兩件事。第一是restart: unless-stopped保證開機(jī)自啟和異常退出后自動(dòng)拉起這是無(wú)人值守穩(wěn)定運(yùn)行的底線。第二是給每個(gè)容器設(shè)置logging驅(qū)動(dòng)參數(shù)限制日志大小services: blog: image: nginx:alpine container_name: blog restart: unless-stopped ports: - 127.0.0.1:8080:80 volumes: - ./data:/usr/share/nginx/html:ro - ./logs:/var/log/nginx logging: driver: json-file options: max-size: 50m max-file: 3端口這里有個(gè)細(xì)節(jié)所有容器的端口都只綁定在回環(huán)地址127.0.0.1上外網(wǎng)統(tǒng)一走 cloudflared 的入口。這樣即使某個(gè)容器存在漏洞攻擊者也只能先打穿隧道層而不是直接掃描到宿主機(jī)開放的公網(wǎng)端口。安全邊界多一層心里踏實(shí)一分。3.4 管理層日志、監(jiān)控與備份的最小可用組合說(shuō)完了網(wǎng)絡(luò)和服務(wù)管理層的設(shè)計(jì)也得跟上。我用 cron 腳本的方式把三件例行公事做成了自動(dòng)化日志輪轉(zhuǎn)、狀態(tài)巡檢和異地備份。日志輪轉(zhuǎn)的配置放在/etc/logrotate.d/針對(duì)容器日志做如下配置/opt/apps/*/logs/*.log { daily rotate 3 compress delaycompress missingok notifempty copytruncate }狀態(tài)巡檢我寫了簡(jiǎn)單腳本用 curl 定期探測(cè)每個(gè) Tunnel 后的域名是否返回 200。如果連續(xù)兩次探測(cè)失敗就通過(guò) Webhook 推送到手機(jī)上的消息通知應(yīng)用。第一次配置這個(gè)功能時(shí)我犯了懶把探測(cè)間隔設(shè)成了 5 分鐘一次結(jié)果某次服務(wù)崩潰后等了 15 分鐘才收到通知。后來(lái)改成 1 分鐘探測(cè)一次、連續(xù) 3 次失敗才告警既不會(huì)頻繁誤報(bào)又能及時(shí)發(fā)現(xiàn)問(wèn)題。備份這塊我會(huì)把/opt/apps下的所有配置目錄和.env文件打包用 Rclone 加密后同步到一個(gè)支持對(duì)象存儲(chǔ)的云服務(wù)里。同步命令用rclone sync配合--backup-dir參數(shù)這樣既能保留增量歷史又不會(huì)把存儲(chǔ)桶越撐越大。4. 實(shí)操過(guò)程與核心環(huán)節(jié)實(shí)現(xiàn)4.1 從零開始30 分鐘跑通基礎(chǔ)環(huán)境假設(shè)你面前是一臺(tái)已經(jīng)裝好 Debian 12 的機(jī)器登錄之后我建議按下面這個(gè)順序操作每一步做完都驗(yàn)證一下再往下走。先更新系統(tǒng)并安裝基礎(chǔ)工具apt update apt upgrade -y apt install -y curl wget git vim htop ufw fail2ban然后把防火墻配置好只開 SSH 和 Cloudflared 需要的出站流量。入站方面除了 SSH一律拒絕ufw default deny incoming ufw default allow outgoing ufw allow 22/tcp ufw enable如果你在用多云服務(wù)器記得同時(shí)把云控制臺(tái)的安全組規(guī)則也同步設(shè)置兩邊不一致會(huì)出現(xiàn)“防火墻放行但安全組攔截”的怪問(wèn)題。我一開始忽略了這個(gè)排查了半小時(shí)才意識(shí)到安全組沒(méi)放行 22 端口。接下來(lái)安裝 Dockercurl -fsSL https://get.docker.com | sh systemctl enable --now docker這里不推薦用發(fā)行版自帶的 docker.io 包因?yàn)榘姹就ǔＦf和最新的 Compose 文件語(yǔ)法兼容性不好。安裝完成后用docker run hello-world驗(yàn)證一下。4.2 隧道的接入與驗(yàn)證注冊(cè) Tunnel 這一步在網(wǎng)頁(yè)端完成登錄 Cloudflare Dashboard進(jìn)入 Zero Trust 的 Networks 菜單創(chuàng)建 Tunnel選擇 Cloudflared 類型會(huì)得到一串 token。接著在服務(wù)器上執(zhí)行curl -L --output cloudflared.deb https://github.com/cloudflare/cloudflared/releases/latest/download/cloudflared-linux-amd64.deb dpkg -i cloudflared.deb cloudflared service install 粘貼你的tokenservice install這個(gè)命令會(huì)把 cloudflared 注冊(cè)成 systemd 服務(wù)并設(shè)置開機(jī)自啟。安裝完成后我用systemctl status cloudflared確認(rèn)狀態(tài)再用cloudflared tunnel list檢查隧道活躍情況。配置完 ingress 規(guī)則后回到 Dashboard 的 DNS 菜單給對(duì)應(yīng)域名添加一條 CNAME 記錄指向隧道ID.cfargotunnel.com。這一步很多人會(huì)漏掉隧道本身建好了但 DNS 記錄沒(méi)指過(guò)去訪問(wèn)域名時(shí)依然會(huì) 502。驗(yàn)證的時(shí)候我會(huì)用兩個(gè)命令同時(shí)看一個(gè)是在服務(wù)器上 curl 本地的服務(wù)端口另一個(gè)是在外部網(wǎng)絡(luò)打開子域名。本地健康不代表隧道鏈路健康外部訪問(wèn)正常才算真正通了。4.3 真實(shí)案例一個(gè)個(gè)人導(dǎo)航站的完整落地我拿自己部署的個(gè)人導(dǎo)航站當(dāng)例子把前面的內(nèi)容串起來(lái)。這個(gè)導(dǎo)航站的目的是把常用的工具鏈接、書簽、內(nèi)網(wǎng)服務(wù)入口集中在一個(gè)頁(yè)面上隨時(shí)可訪問(wèn)。我在/opt/apps/startpage下先創(chuàng)建目錄和配置文件用 Nginx 容器提供靜態(tài)頁(yè)面。具體的 docker-compose.yml 和前面提到的 blog 示例幾乎一樣只是把端口改成 8081頁(yè)面數(shù)據(jù)掛在./data目錄下。構(gòu)建好容器之后本地先訪問(wèn)http://127.0.0.1:8081確認(rèn)頁(yè)面正常渲染。然后在 cloudflared 的 ingress 配置里加一條規(guī)則- hostname: nav.example.com service: http://localhost:8081重啟 cloudflared 服務(wù)后在 DNS 面板添加 CNAME 記錄指向同一個(gè)隧道地址。等半分鐘左右訪問(wèn)https://nav.example.com如果一切正常一個(gè)走 HTTPS、對(duì)外隱藏了真實(shí) IP、自動(dòng)續(xù)期證書的個(gè)人導(dǎo)航站就上線了。整個(gè)過(guò)程我特意在一個(gè)新的干凈服務(wù)器上試了一遍從零到站點(diǎn)可訪問(wèn)耗時(shí) 28 分鐘。其中大頭花在等待包安裝和 DNS 生效上真正動(dòng)手配置的時(shí)間很少所以對(duì)新手來(lái)說(shuō)這個(gè)方案的門檻并不高。4.4 證書、域名與續(xù)期的自動(dòng)化保障用 Cloudflare Tunnel 有個(gè)隱藏優(yōu)勢(shì)證書不用你操心。瀏覽器訪問(wèn)隧道域名時(shí)Cloudflare 邊緣節(jié)點(diǎn)自動(dòng)提供有效證書本地服務(wù)只需要通過(guò) HTTP 監(jiān)聽回環(huán)端口即可。我當(dāng)時(shí)在博客里還配了 Nginx 的 SSL 證書后來(lái)發(fā)現(xiàn)完全多此一舉邊緣層已經(jīng)終結(jié)了 TLS本地再配置證書不僅浪費(fèi) CPU還增加了證書過(guò)期導(dǎo)致網(wǎng)站打不開的風(fēng)險(xiǎn)。但域名和證書相關(guān)的幾項(xiàng)例行檢查還是必要的。我會(huì)用 cron 每周檢查一次域名的到期時(shí)間和證書剩余天數(shù)echo | openssl s_client -servername nav.example.com -connect nav.example.com:443 2/dev/null | openssl x509 -noout -dates如果證書剩余天數(shù)小于 30 天說(shuō)明域名或邊緣證書環(huán)節(jié)有異常需要立即排查。另外一個(gè)值得養(yǎng)成的習(xí)慣是修改隧道配置前先cp備份現(xiàn)有配置文件改完測(cè)試沒(méi)問(wèn)題再重啟服務(wù)。我經(jīng)歷過(guò)一次誤刪 ingress 規(guī)則導(dǎo)致所有站點(diǎn)同時(shí) 502 的事件從那以后無(wú)論多小的改動(dòng)都習(xí)慣備份一下成本極低收益卻很大。5. 常見(jiàn)問(wèn)題與排查技巧實(shí)錄5.1 cloudflared 啟動(dòng)失敗token 與憑證不一致出現(xiàn)這種情況通常有兩種原因一是在 Dashboard 重新生成過(guò) token而本地 systemd 服務(wù)里還留著舊 token二是配置文件中的 credentials-file 路徑寫錯(cuò)服務(wù)找不到對(duì)應(yīng)的 JSON 文件。排查時(shí)先用journalctl -u cloudflared --no-pager -n 50看日志里面一般會(huì)直接提示“invalid token”或“credentials file not found”。解決方法是重新執(zhí)行cloudflared service uninstall再用新 token 走一遍安裝流程。注意卸載前先備份自己的 ingress 配置因?yàn)橹匮b會(huì)覆蓋掉。如果只更新 token 而保留配置可以手動(dòng)編輯/etc/cloudflared/config.yml只替換 token 相關(guān)字段。5.2 Tunnel 顯示“HEALTHY”但域名訪問(wèn)打不開這可能是整個(gè)方案里最煩人的問(wèn)題因?yàn)樗馕吨刂泼婧蛿?shù)據(jù)面不一致?？刂泼骘@示隧道在線說(shuō)明連接還在數(shù)據(jù)面打不開常見(jiàn)原因有三個(gè)第一ingress 規(guī)則指向的本地端口寫錯(cuò)了導(dǎo)致 cloudflared 轉(zhuǎn)發(fā)時(shí)連接被拒。驗(yàn)證方法是先curl -I http://127.0.0.1:端口如果本地都連不通問(wèn)題一定不在隧道層。第二容器掛了或端口綁定錯(cuò)了。用docker ps查看容器狀態(tài)注意容器內(nèi)端口和宿主機(jī)端口映射是否正確。我曾經(jīng)因?yàn)榘讶萜鞫丝谟成涞?27.0.0.1:8080時(shí)漏了回環(huán)地址直接暴露在0.0.0.0上這個(gè)問(wèn)題雖然不影響訪問(wèn)但安全上很危險(xiǎn)。第三DNS 緩存。如果剛改完 CNAME 記錄本地機(jī)器和朋友訪問(wèn)的結(jié)果可能不一樣。建議用dig trace或者公共 DNS 查詢工具驗(yàn)證各地區(qū)的解析結(jié)果。一般等 10 到 15 分鐘全球緩存就會(huì)收斂不用急著反復(fù)改記錄。5.3 443 端口被占本地還跑著其他 TLS 服務(wù)有的場(chǎng)景下你本地可能還跑著一些特殊情況的服務(wù)它們占了 443 端口和 cloudflared 的 localhost 回源策略互相打架。其實(shí) cloudflared 默認(rèn)不監(jiān)聽 443它只主動(dòng)發(fā)起連接這個(gè)端口沖突多半是其他軟件引起的。用ss -tlnp | grep 443看看哪個(gè)進(jìn)程占了端口直接停掉或者改端口即可。一個(gè)更常見(jiàn)的變體是 Docker 容器把端口映射到了宿主機(jī) 443 端口這和隧道方案的設(shè)計(jì)理念沖突。建議把容器統(tǒng)一改映射到 8080-8090 區(qū)間的回環(huán)地址避免任何潛在的端口碎片問(wèn)題。為了省事直接把所有端口都映射一遍的做法后面排查時(shí)一定會(huì)后悔。5.4 日志輪轉(zhuǎn)失效磁盤空間告警這個(gè)問(wèn)題我在 2.3 節(jié)提到過(guò)是運(yùn)行環(huán)境中最高頻的故障之一。癥狀很典型系統(tǒng)沒(méi)裝多少東西根分區(qū)卻莫名其妙滿了。用du -sh /opt/apps/*一個(gè)個(gè)看下目錄大小如果某些容器日志目錄特別大可以確認(rèn)是日志輪轉(zhuǎn)沒(méi)生效。排查時(shí)先看 logrotate 配置的路徑是否匹配實(shí)際日志目錄再手動(dòng)執(zhí)行l(wèi)ogrotate -dv /etc/logrotate.d/容器日志配置檢查有沒(méi)有語(yǔ)法錯(cuò)誤。常見(jiàn)的坑是路徑寫錯(cuò)導(dǎo)致的glob不匹配以及copytruncate在文件權(quán)限不匹配時(shí)靜默失敗。另一個(gè)隱蔽的問(wèn)題是某個(gè)容器把日志寫到標(biāo)準(zhǔn)輸出而 Docker 的 json-file 驅(qū)動(dòng)輪轉(zhuǎn)與宿主機(jī)的 logrotate 互不相關(guān)兩套機(jī)制要同時(shí)配置好。5.5 常見(jiàn)問(wèn)題速查表現(xiàn)象可能原因排查命令解決方案隧道服務(wù)啟動(dòng)失敗token 不匹配journalctl -u cloudflared -n 50重新 install token域名訪問(wèn)超時(shí)DNS 未生效dig trace 域名等待 10-15 分鐘本地健康遠(yuǎn)端 502容器端口映射錯(cuò)誤curl -I http://127.0.0.1:端口修正回源端口磁盤空間告警日志無(wú)輪轉(zhuǎn)du -sh 日志目錄配置 JSON 驅(qū)動(dòng) max-sizeSSH 登錄緩慢DNS 反查超時(shí)systemctl status ssh配置UseDNS no面板打不開服務(wù)未自啟docker ps --filter statusexited改為restart: unless-stopped6. 經(jīng)驗(yàn)總結(jié)與擴(kuò)展思考6.1 把這套環(huán)境變成日?；A(chǔ)工具跑通 cloudflare-os 這套組合之后我最大的感受是自托管這件事難的不是某一個(gè)具體工具而是如何把散落的能力收攏成一套可維護(hù)的系統(tǒng)。用 Cloudflare 生態(tài)做“云端控制面”用本地容器跑“邊緣服務(wù)面”兩者平衡起來(lái)大部分常用場(chǎng)景就都覆蓋了。現(xiàn)在已經(jīng)上線的服務(wù)包括個(gè)人博客、RSS 訂閱器、導(dǎo)航站、一個(gè)內(nèi)部工具版的網(wǎng)盤、一個(gè)臨時(shí)用的 Markdown 協(xié)作筆記。全部加起來(lái)的額外內(nèi)存開銷不到 1G在老舊筆記本上也能流暢運(yùn)行。新增一個(gè)服務(wù)的時(shí)候我只需要復(fù)制一個(gè)目錄、改一行 ingress 配置、加一條 DNS 解析整個(gè)流程 5 分鐘內(nèi)搞定不需要再去折騰端口映射或者 SSL 證書。6.2 還能往哪些方向延伸這套架構(gòu)的擴(kuò)展性其實(shí)遠(yuǎn)超我的預(yù)期。后面如果愿意還可以加一層自動(dòng)化用 Cloudflare Workers 寫一個(gè)短鏈接服務(wù)把導(dǎo)航站的跳轉(zhuǎn)邏輯搬一點(diǎn)到邊緣用 R2 對(duì)象存儲(chǔ)做圖床和冷備用 Access 策略給某個(gè)子域名加上郵箱驗(yàn)證碼登錄實(shí)現(xiàn)真正意義上的零信任訪問(wèn)。這些功能在 Dashboard 里都是點(diǎn)幾下就能配的不需要改容器代碼。另外我計(jì)劃把配置管理腳本化用 Ansible 寫一套 playbook這樣換設(shè)備的時(shí)候跑一遍劇本就能把整套環(huán)境重建出來(lái)真正做到“操作系統(tǒng)級(jí)別”的標(biāo)準(zhǔn)化交付。不過(guò)這就是后話了當(dāng)前這套手動(dòng)拼起來(lái)的方案已經(jīng)讓我的網(wǎng)絡(luò)訪問(wèn)體驗(yàn)上了一個(gè)臺(tái)階穩(wěn)定跑了兩個(gè)多月沒(méi)出過(guò)幺蛾子。6.3 最后一個(gè)小建議如果你也打算照著這套思路搭建自己的環(huán)境請(qǐng)務(wù)必記得一件事在開始之前先寫下一個(gè)最小清單明確你現(xiàn)階段最需要的是什么服務(wù)。自托管場(chǎng)景最容易犯的錯(cuò)誤是一開始就想象一個(gè)龐大的系統(tǒng)結(jié)果建了半個(gè)月還沒(méi)上線。我自己第一次就是這樣裝了十幾個(gè)應(yīng)用最后真正在用的只有三個(gè)。先跑通最小閉環(huán)——一臺(tái)機(jī)器、一個(gè)域名、一條隧道、一個(gè)容器——再逐步往里面加?xùn)|西?；A(chǔ)打得干凈后面的擴(kuò)展才能持久。這就是我在這次 cloudflare-os 實(shí)踐中最大的收獲也是想分享給你的最核心的經(jīng)驗(yàn)。