[Cloudflare] Tunnel

#Cloudflare

Tunnel은 클플에서 제공하는 터널링 서비스다.
최근에 추가되었다.

중개자로서 엔드투엔드 연결을 안전하게 구성하거나 API를 개방할 수 있고, 무료다.

동작 원리

사용 방식은 tailscale 같은 VPN 서비스와 유사한 편이다. cloudflare 에이전트를 설치하고, 터널에 등록하면 포트포워딩을 하지 않고도 cloudflare를 통해서 접속 경로를 만들 수 있는 것이다.

그럼 저 로컬 머신으로의 접근을 완전히 공개 인터넷에 게시할 수도 있고, tunnel 접근 권한이 있는 클라이언트에만 접근 권한을 제어할 수 있다.

주의할 점은, tailscale 같은 전통적인 VPN 서비스와는 동작 방식이 좀 다르다는 것이다.
전통적인 VPN들은 가능하면 holepunching 같은 고전적인 기술을 사용해서 진짜 하드웨어 수준에서 직접 연결이 가능하도록 연결해주는데, 터널링 기능은 그런 방식이 아니다.
클라우드플레어가 모든 트래픽을 중간에 받고 대신 전송해주는 형태로 동작한다.

그래서 성능적으로나 보안적으로 좀 찜찜할 수는 있다.
하지만 서비스를 완전 개방할 수 있다는건 꽤나 큰 장점이다.

좀 더 상세히 그림을 그려보면, 이런 식이 된다.

하나의 터널에는 여러개의 레플리카를 연결할 수 있고, 여러개의 경로를 개방할 수 있다. 레플리카들은 기본적으로 동등한 구조를 가져야 한다. 예를 들어, 4040 포트로 서버를 띄울 거라면 모든 레플리카에 4040 포트로 띄워줘야 하는 것이다.

만약 외부에서 경로를 통해 접속을 시도한다면 터널은 적당히 레플리카 중 하나를 알아서 잡고 연결해준다.

또 여기서 유의할 점은, 레플리카 분산이 로드밸런싱처럼 공평하게 분산되고 그런게 아니란 것이다. 네트워크 상으로 유리한 레플리카를 적당히 잡아서 연결해주고, 연결이 정상적으로 지속되는 동안은 해당 레플리카에만 요청이 갈 확률이 높다.

제한사항

무료지만, 제한도 있다. 터널 개수제한, 터널마다의 복제, 경로 제한이 있다.

의외로 명시적인 대역폭 제한 같은건 없더라. 얘들은 서버비가 다 어디서 나는거지?

그리고 터널을 통해 완전 공개를 하려면 Cloudflare에서 도메인을 구입한 것이 있어야 한다.

cloudflare client (cloudflared) 설치

일단 서버가 되는 장비에 에이전트 겸 클라이언트를 설치해야 한다.
다음 링크에서 직접 배포된 패키지를 다운받거나 설치 방법을 확인할 수 있다.
https://developers.cloudflare.com/cloudflare-one/networks/connectors/cloudflare-tunnel/downloads/#linux

리눅스의 경우에는 그냥 패키지 받는게 편한거같다.
데비안과 페도라 베이스 패키지를 제공한다.