前置条件#
使用 Cloudflare 的 Tunnel 服务需要使用 cf 提供的域名解析。
如果没有域名，建议花钱注册，很便宜（不推荐找免费域名，Freenom 已停止用户申请，如果想碰碰运气，可以申请 nom.za 域名，参考：教程，我等了十多天还在显示 Pending）
如果没有域名，可以注册免费的 US.KG 域名，参考这篇文章：《注册 US.KG 免费域名》
另外，服务有免费的额度，但使用服务前需要绑定信用卡。
添加 Website#
选择免费方案
获取到 NS
得到 Cloudflare nameservers 地址
grace.ns.cloudflare.com
todd.ns.cloudflare.com在购买域名的地方配置上这个 NS 地址，等待一段时间后，面板上显示 “Active” 即配置完成
创建隧道（Tunnel）#
Tunnel 功能的入口不太好找，点击侧边栏 Zero Trust，跳转后找到 “Networks” - “Tunnels”
首次使用需要填写 team name 和付款方式
Free，启动！
点击 “Create a tunnel” 创建隧道，选择 “Cloudflared” 类型
创建名为 “vpc-01” 的 Tunnel
安装 Connector，注意一个 Tunnel 搭配一个 Connector，这个 Connector 作为 Agent 运行在设备上，即 Cf 网络跟设备建立起了一个安全的隧道
根据面板的命令安装 cloudflared 类型的 Connector
执行安装
$ sudo cloudflared service install eyJhIjoiYj...（可选）如果机器已安装过，需要重新安装服务，需要先卸载
$ sudo cloudflared service uninstall
服务启动后，Connectors 处可以看到已有机器连接
下一步，添加转发规则
如上配置即通过 https://abc.donx-done.xyz 访问内网服务器的 http://127.0.0.1:3000 端口提供的 HTTP 服务
这就是 Tunnel 的用法
为服务添加额外验证#
可以使用 Application 功能为服务添加额外的安全验证。
还是在 Zero Trust 页面的左侧区域，点击 “Access” - “Applications”，选择 Self-hosted 类型
填写要保护的域名，跟 Tunnel 规则中的域名相同
添加访问策略
允许配置规则如验证邮箱后缀、IP 地址、国家地区等
其余配置暂保持默认，创建即可
刷新网站，可以看到 CF 的访问保护已开启
输入邮箱，点击发送，会收到一个验证码，填入后即可访问服务
补充#
使用 CloudFlare Tunnel 有如下用途，摘自参考一
总结#
之前体验了 Tailscale 提供的服务 Funnel —— 《Tailscale 异地组网服务使用体验记录》
相较于 Funnel，CloudFlare Tunnel 更容易使用，它将用户内网的服务通过 CF Connector Agent 连接到 CF 网络暴露到互联网，由 CF 确保链路安全，免费用户可白嫖 HTTPS 和访问防护等服务，侧重内网穿透。
而 Tailscale 则更侧重于为用户提供安全的设备间组网，认证设备间的共享和访问，其中的 Funnel 更像是 Tailscale 整体服务的一个子功能，跟 Tunnel 功能类似，单从暴露服务来说，我认为 CloudFlare Tunnel 更加易用。
以个人用户的 NAS 为例，Tailscale 和 CloudFlare Tunnel 选择考量如下（GPT-4o 回答）
如果你希望你的 NAS 服务可以被公网访问（例如分享某些资源给非技术用户或合作伙伴），并且希望利用 Cloudflare 的安全和性能增强功能，选择 Cloudflare Tunnel
如果你主要是自己和少数信任的设备需要访问你的 NAS，并且不想将服务公开到互联网，可以选择 Tailscale 来实现安全内网访问，Tailscale 提供了很好的安全性和便捷性，并且很适合需要私密、点对点连接的场景。
总结来说，Cloudflare Tunnel更适合公开访问和利用高级安全功能，而Tailscale更适合创建一个安全私人网络来访问你的 NAS。根据你的具体需求和首要考虑点（安全性、便捷性、公开访问需求等），你可以做出相应选择。