Cloudflare Tunnel + Zero Trust — Expose ứng dụng nội bộ ra Internet an toàn, miễn phí

Posted on: 4/18/2026 3:11:25 AM

Bạn đang phát triển một ứng dụng web trên máy cá nhân và muốn chia sẻ cho đồng nghiệp test mà không cần deploy lên server? Hay bạn có một dịch vụ nội bộ chạy trên mạng công ty, cần cho đối tác bên ngoài truy cập an toàn mà không muốn mở port trên firewall? Cloudflare Tunnel kết hợp Zero Trust Access giải quyết chính xác bài toán này — hoàn toàn miễn phí, không cần IP tĩnh, không cần mở port, và tích hợp sẵn bảo mật cấp enterprise.

1. Bài toán: Expose dịch vụ nội bộ ra Internet

Cách truyền thống để đưa một ứng dụng nội bộ (localhost, private network) lên Internet thường yêu cầu: mua IP tĩnh, cấu hình port forwarding trên router, mở firewall rule, và setup TLS certificate. Mỗi port mở là một attack surface tiềm tàng — đặc biệt nguy hiểm khi expose các dịch vụ nhạy cảm như admin panel, database UI, hay internal API.

graph LR
    subgraph Traditional["Cách truyền thống ⚠️"]
        direction LR
        A["Internet"] -->|"Port 443 mở"| B["Router/Firewall"]
        B -->|"Port Forward"| C["Server nội bộ"]
    end
    subgraph Tunnel["Cloudflare Tunnel ✅"]
        direction LR
        D["Internet"] -->|"HTTPS"| E["Cloudflare Edge"]
        F["cloudflared"] -->|"Outbound QUIC"| E
        F --- G["Server nội bộ"]
    end
    style Traditional fill:#fff5f5,stroke:#e94560
    style Tunnel fill:#f0fff0,stroke:#4CAF50
    style A fill:#e94560,stroke:#fff,color:#fff
    style D fill:#4CAF50,stroke:#fff,color:#fff
    style E fill:#2c3e50,stroke:#fff,color:#fff
    style B fill:#ff9800,stroke:#fff,color:#fff
    style C fill:#f8f9fa,stroke:#e0e0e0,color:#2c3e50
    style F fill:#f8f9fa,stroke:#4CAF50,color:#2c3e50
    style G fill:#f8f9fa,stroke:#e0e0e0,color:#2c3e50

Với mô hình truyền thống, mỗi dịch vụ bạn expose ra ngoài đều phải đối mặt với DDoS, brute force, port scanning, và vô số rủi ro bảo mật. Cloudflare Tunnel đảo ngược hoàn toàn mô hình này: thay vì mở cửa cho traffic đi vào, bạn chỉ tạo kết nối đi ra từ server đến Cloudflare Edge — không có port nào mở trên firewall cả.

2. Cloudflare Tunnel — Kiến trúc và cách hoạt động

Cloudflare Tunnel hoạt động dựa trên daemon cloudflared — một chương trình nhẹ chạy trên cùng mạng với dịch vụ nội bộ. Daemon này thiết lập các kết nối outbound-only đến mạng lưới toàn cầu của Cloudflare, tạo thành một "đường hầm" (tunnel) an toàn.

sequenceDiagram
    participant User as 👤 User (Internet)
    participant CF as ☁️ Cloudflare Edge
    participant CD as 🔧 cloudflared
    participant App as 🖥️ Ứng dụng nội bộ

    Note over CD,CF: Bước 1 — cloudflared khởi tạo tunnel
    CD->>CF: Kết nối outbound qua QUIC (HTTP/3)
    CF-->>CD: Xác thực tunnel token
    CD->>CF: Mở nhiều connection đến các edge server khác nhau

    Note over User,CF: Bước 2 — User truy cập
    User->>CF: HTTPS request đến app.example.com
    CF->>CF: DNS resolve → CNAME đến tunnel UUID
    CF->>CF: Áp dụng WAF + DDoS Protection
    CF->>CD: Forward request qua tunnel QUIC
    CD->>App: Proxy đến localhost:3000
    App-->>CD: Response
    CD-->>CF: Trả về qua tunnel
    CF-->>User: HTTPS response (TLS tự động)

2.1. Outbound-only: Không cần mở port

Điểm then chốt của kiến trúc Tunnel: cloudflared chỉ tạo kết nối đi ra (outbound). Firewall của bạn mặc định cho phép traffic outbound, nên không cần cấu hình gì thêm. Tất cả inbound traffic từ Internet đều đi qua Cloudflare Edge trước, được lọc bởi WAF, chống DDoS, rồi mới chuyển tiếp qua tunnel đến server nội bộ.

2.2. QUIC — Giao thức mặc định

Từ 2025, cloudflared sử dụng QUIC (HTTP/3) làm giao thức mặc định thay cho HTTP/2 over TCP trước đây. QUIC mang lại nhiều lợi thế:

3. Thiết lập Cloudflare Tunnel từ đầu

Có hai cách quản lý tunnel: Dashboard-managed (khuyến nghị, cấu hình trên cloud) và Locally-managed (cấu hình bằng file YAML, phù hợp GitOps). Dưới đây là cả hai cách.

3.1. Cài đặt cloudflared

brew install cloudflared

curl -L https://pkg.cloudflare.com/install.sh | sudo bash
sudo apt install cloudflared

winget install Cloudflare.cloudflared

docker run -d --name cf-tunnel \
  --restart unless-stopped \
  cloudflare/cloudflared:latest \
  tunnel --no-autoupdate run --token YOUR_TUNNEL_TOKEN

3.2. Dashboard-managed Tunnel (Khuyến nghị)

Đây là cách đơn giản nhất, cấu hình hoàn toàn trên Cloudflare Dashboard:

Bước 1: Đăng nhập one.dash.cloudflare.com → Networks → Tunnels → Create a tunnel

Bước 2: Chọn Cloudflared làm connector, đặt tên tunnel (ví dụ: my-homelab)

Bước 3: Copy token và chạy trên server:

cloudflared service install eyJhbGciOi...YOUR_TOKEN
# Hoặc chạy trực tiếp (không cài service):
cloudflared tunnel --no-autoupdate run --token eyJhbGciOi...YOUR_TOKEN

Bước 4: Quay lại Dashboard, thêm Public Hostname:

Cloudflare tự động tạo DNS CNAME record trỏ đến tunnel UUID. TLS certificate cũng được cấp tự động — dịch vụ nội bộ chạy HTTP thuần, nhưng user truy cập qua HTTPS.

3.3. Locally-managed Tunnel (GitOps)

Nếu bạn muốn quản lý cấu hình bằng file (version control, IaC), dùng cách này:

# Đăng nhập và tạo tunnel
cloudflared tunnel login
cloudflared tunnel create my-homelab

# Thêm DNS route
cloudflared tunnel route dns my-homelab app.example.com
cloudflared tunnel route dns my-homelab api.example.com

tunnel: my-homelab
credentials-file: /home/user/.cloudflared/<TUNNEL-UUID>.json

ingress:
  - hostname: app.example.com
    service: http://localhost:3000
  - hostname: api.example.com
    service: http://localhost:8080
    originRequest:
      connectTimeout: 30s
      noTLSVerify: true
  - hostname: ssh.example.com
    service: ssh://localhost:22
  # Catch-all rule — bắt buộc phải có
  - service: http_status:404

# Chạy tunnel
cloudflared tunnel run my-homelab

# Hoặc cài làm system service (tự khởi động cùng OS)
sudo cloudflared service install
sudo systemctl enable cloudflared
sudo systemctl start cloudflared

4. Zero Trust Access — Bảo vệ dịch vụ bằng xác thực

Tunnel expose dịch vụ ra Internet, nhưng bạn không muốn ai cũng truy cập được. Cloudflare Zero Trust Access cho phép đặt lớp xác thực (authentication) phía trước dịch vụ — giống như đặt một "cổng bảo vệ" mà user phải đăng nhập trước khi vào.

graph TB
    subgraph ZeroTrust["Cloudflare Zero Trust"]
        direction TB
        A["User truy cập app.example.com"] --> B{"Access Policy"}
        B -->|"Chưa đăng nhập"| C["Login Page
(Email OTP / Google / GitHub)"]
        C --> D["Xác thực Identity"]
        D -->|"Pass"| E["Cho phép truy cập"]
        D -->|"Fail"| F["Chặn — 403"]
        B -->|"Đã có session"| E
        E --> G["Forward qua Tunnel"]
        G --> H["Dịch vụ nội bộ"]
    end
    style ZeroTrust fill:#f8f9fa,stroke:#e0e0e0
    style A fill:#e94560,stroke:#fff,color:#fff
    style B fill:#ff9800,stroke:#fff,color:#fff
    style C fill:#2c3e50,stroke:#fff,color:#fff
    style E fill:#4CAF50,stroke:#fff,color:#fff
    style F fill:#e94560,stroke:#fff,color:#fff
    style H fill:#2c3e50,stroke:#fff,color:#fff

4.1. Cấu hình Access Application

Trên Dashboard one.dash.cloudflare.com:

Bước 1: Vào Access → Applications → Add an application → chọn Self-hosted

Bước 2: Nhập Application domain: app.example.com

Bước 3: Tạo Access Policy:

Bước 4: Chọn Identity Provider — mặc định là One-time PIN (gửi mã OTP qua email, không cần cấu hình gì thêm). Hoặc tích hợp Google, GitHub, Okta, Azure AD qua Settings → Authentication.

4.2. Các Identity Provider được hỗ trợ

5. Các use case thực tế

5.1. Home Lab — Self-host an toàn

Bạn chạy Homeassistant, Nextcloud, Grafana, hoặc media server (Jellyfin, Plex) trên NAS hoặc Raspberry Pi tại nhà. Thay vì mở port trên router (và lo lắng về bảo mật), dùng Tunnel để expose qua domain riêng với Access bảo vệ.

tunnel: homelab
credentials-file: /home/pi/.cloudflared/uuid.json

ingress:
  - hostname: home.mydomain.com
    service: http://192.168.1.100:8123   # Home Assistant
  - hostname: cloud.mydomain.com
    service: http://192.168.1.100:8080   # Nextcloud
  - hostname: grafana.mydomain.com
    service: http://192.168.1.100:3000   # Grafana
  - service: http_status:404

5.2. Development — Chia sẻ localhost cho team

Đang develop feature mới, muốn PM hoặc designer test trên điện thoại mà không cần deploy?

# Tạo tunnel tạm — random URL, mất khi tắt terminal
cloudflared tunnel --url http://localhost:5173

# Output: https://random-words.trycloudflare.com

# Hoặc dùng named tunnel cho URL cố định
# dev.mydomain.com luôn trỏ đến máy bạn
cloudflared tunnel route dns dev-laptop dev.mydomain.com
cloudflared tunnel run dev-laptop

5.3. SSH/RDP không cần VPN

Cloudflare hỗ trợ render SSH và RDP ngay trên trình duyệt — user không cần cài client. Kết hợp Access để chỉ cho phép người được uỷ quyền truy cập.

graph LR
    A["Admin"] -->|"Mở browser"| B["ssh.example.com"]
    B --> C["Cloudflare Access
Xác thực email OTP"]
    C --> D["Browser-rendered SSH"]
    D -->|"Qua Tunnel"| E["Server SSH
port 22"]
    style A fill:#e94560,stroke:#fff,color:#fff
    style B fill:#2c3e50,stroke:#fff,color:#fff
    style C fill:#ff9800,stroke:#fff,color:#fff
    style D fill:#4CAF50,stroke:#fff,color:#fff
    style E fill:#f8f9fa,stroke:#e0e0e0,color:#2c3e50

5.4. Multi-service trên cùng server

Một tunnel duy nhất có thể expose nhiều dịch vụ trên các hostname khác nhau — không cần nhiều tunnel hay nhiều server:

graph TB
    subgraph Cloudflare["Cloudflare Edge"]
        direction LR
        D1["app.example.com"]
        D2["api.example.com"]
        D3["admin.example.com"]
    end
    subgraph Server["Server nội bộ"]
        direction LR
        T["cloudflared"]
        S1["Vue App :5173"]
        S2[".NET API :5000"]
        S3["Admin Panel :8080"]
    end
    D1 --> T
    D2 --> T
    D3 --> T
    T --> S1
    T --> S2
    T --> S3
    style Cloudflare fill:#f8f9fa,stroke:#2c3e50
    style Server fill:#f0fff0,stroke:#4CAF50
    style T fill:#e94560,stroke:#fff,color:#fff
    style S1 fill:#fff,stroke:#4CAF50,color:#2c3e50
    style S2 fill:#fff,stroke:#4CAF50,color:#2c3e50
    style S3 fill:#fff,stroke:#4CAF50,color:#2c3e50

6. High Availability và Production Deployment

6.1. Replica connector

Dùng cùng một tunnel token trên nhiều máy — Cloudflare tự động load balance giữa các connector. Nếu một máy chết, traffic chuyển sang máy còn lại mà không downtime.

services:
  tunnel-1:
    image: cloudflare/cloudflared:latest
    restart: unless-stopped
    command: tunnel --no-autoupdate run --token ${TUNNEL_TOKEN}

  tunnel-2:
    image: cloudflare/cloudflared:latest
    restart: unless-stopped
    command: tunnel --no-autoupdate run --token ${TUNNEL_TOKEN}

  web-app:
    image: my-web-app:latest
    ports:
      - "3000:3000"

6.2. Infrastructure as Code với Terraform

Từ 2026, Terraform provider v5 của Cloudflare đã ổn định, hỗ trợ đầy đủ quản lý tunnel qua IaC:

resource "cloudflare_zero_trust_tunnel_cloudflared" "homelab" {
  account_id = var.cloudflare_account_id
  name       = "homelab-tunnel"
  secret     = random_id.tunnel_secret.b64_std
}

resource "cloudflare_zero_trust_tunnel_cloudflared_config" "homelab" {
  account_id = var.cloudflare_account_id
  tunnel_id  = cloudflare_zero_trust_tunnel_cloudflared.homelab.id

  config {
    ingress_rule {
      hostname = "app.${var.domain}"
      service  = "http://localhost:3000"
    }
    ingress_rule {
      service = "http_status:404"
    }
  }
}

resource "cloudflare_record" "app" {
  zone_id = var.cloudflare_zone_id
  name    = "app"
  content = "${cloudflare_zero_trust_tunnel_cloudflared.homelab.id}.cfargotunnel.com"
  type    = "CNAME"
  proxied = true
}

7. So sánh Cloudflare Tunnel với các giải pháp khác

8. Bảo mật nâng cao

8.1. Kết hợp nhiều lớp bảo vệ

graph TB
    A["Request từ Internet"] --> B["Layer 1: Cloudflare DDoS Protection"]
    B --> C["Layer 2: WAF Rules"]
    C --> D["Layer 3: Bot Management"]
    D --> E["Layer 4: Zero Trust Access
(Email OTP / SSO)"]
    E --> F["Layer 5: Access Policy
(Email domain, country, device)"]
    F --> G["Layer 6: Tunnel mã hóa QUIC"]
    G --> H["Dịch vụ nội bộ"]
    style A fill:#e94560,stroke:#fff,color:#fff
    style B fill:#2c3e50,stroke:#fff,color:#fff
    style C fill:#2c3e50,stroke:#fff,color:#fff
    style D fill:#2c3e50,stroke:#fff,color:#fff
    style E fill:#ff9800,stroke:#fff,color:#fff
    style F fill:#ff9800,stroke:#fff,color:#fff
    style G fill:#4CAF50,stroke:#fff,color:#fff
    style H fill:#f8f9fa,stroke:#e0e0e0,color:#2c3e50

8.2. Lockdown firewall hoàn toàn

Vì cloudflared chỉ tạo kết nối outbound, bạn có thể lockdown firewall server hoàn toàn — chặn tất cả inbound traffic. Điều này biến server từ "có thể scan được từ Internet" thành "vô hình" (invisible) với mọi port scanner.

# Chỉ cho phép outbound traffic (cloudflared cần)
# Block toàn bộ inbound (trừ established connections)
sudo iptables -P INPUT DROP
sudo iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
sudo iptables -A INPUT -i lo -j ACCEPT

# Server giờ "vô hình" — nmap sẽ không thấy port nào mở
# Nhưng cloudflared vẫn hoạt động bình thường vì chỉ tạo outbound connections

8.3. Service Token cho API-to-API

Nếu một service bên ngoài cần gọi API qua tunnel (không phải người dùng đăng nhập), dùng Service Token thay cho Access Policy:

# Tạo service token trong Dashboard:
# Access → Service Auth → Create Service Token
# Lưu lại CF-Access-Client-Id và CF-Access-Client-Secret

# Gọi API với service token:
curl -H "CF-Access-Client-Id: YOUR_CLIENT_ID" \
     -H "CF-Access-Client-Secret: YOUR_CLIENT_SECRET" \
     https://api.example.com/internal/endpoint

9. Monitoring và Troubleshooting

9.1. Kiểm tra trạng thái tunnel

# Xem danh sách tunnel
cloudflared tunnel list

# Xem chi tiết connections
cloudflared tunnel info my-homelab

# Metrics endpoint (Prometheus-compatible)
cloudflared tunnel --metrics localhost:2000 run my-homelab
# Truy cập http://localhost:2000/metrics để xem metrics

9.2. Diagnostic logs

# Bật debug log
cloudflared tunnel --loglevel debug run my-homelab

# Từ 2026, QUIC connection metrics chi tiết hơn:
# - Số stream active
# - RTT trung bình đến edge
# - Packet loss rate
# - Connection migration events

10. Checklist triển khai Production

Tham khảo:

• Cloudflare Tunnel Documentation
• Getting Cloudflare Tunnels to connect with QUIC — Cloudflare Blog
• Cloudflare Zero Trust Documentation
• Cloudflare Zero Trust Plans & Pricing
• Cloudflare Tunnel in 2026: Expose localhost — DEV Community