Cloudflare Tunnel : exposer ses services sans ouvrir de ports

[Utilisateur] → [Cloudflare Edge] ← tunnel chiffré ← [cloudflared sur votre VPS] → [localhost:8000]

# Ajouter le dépôt officiel Cloudflare
curl -fsSL https://pkg.cloudflare.com/cloudflare-main.gpg | sudo tee /usr/share/keyrings/cloudflare-main.gpg >/dev/null

echo "deb [signed-by=/usr/share/keyrings/cloudflare-main.gpg] https://pkg.cloudflare.com/cloudflared $(lsb_release -cs) main" | sudo tee /etc/apt/sources.list.d/cloudflared.list

sudo apt update && sudo apt install -y cloudflared

cloudflared --version
# cloudflared version 2025.x.x (built ...)

# Si le dépôt pose problème
wget https://github.com/cloudflare/cloudflared/releases/latest/download/cloudflared-linux-amd64
sudo mv cloudflared-linux-amd64 /usr/local/bin/cloudflared
sudo chmod +x /usr/local/bin/cloudflared

cloudflared tunnel login

# Vérifier que le certificat existe
ls -la ~/.cloudflared/cert.pem

# Créer un tunnel nommé
cloudflared tunnel create mon-tunnel

# Sortie attendue :
# Tunnel credentials written to /root/.cloudflared/<UUID>.json
# Created tunnel mon-tunnel with id <UUID>

cloudflared tunnel list

# ID                                   NAME        CREATED
# a1b2c3d4-e5f6-7890-abcd-ef1234567890 mon-tunnel  2026-02-24T10:00:00Z

nano ~/.cloudflared/config.yml

tunnel: a1b2c3d4-e5f6-7890-abcd-ef1234567890
credentials-file: /root/.cloudflared/a1b2c3d4-e5f6-7890-abcd-ef1234567890.json

ingress:
  - hostname: api.mondomaine.com
    service: http://localhost:8000
  - service: http_status:404

tunnel: a1b2c3d4-e5f6-7890-abcd-ef1234567890
credentials-file: /root/.cloudflared/a1b2c3d4-e5f6-7890-abcd-ef1234567890.json

ingress:
  # API FastAPI
  - hostname: api.mondomaine.com
    service: http://localhost:8000
    originRequest:
      connectTimeout: 10s
      noTLSVerify: true

  # Dashboard admin
  - hostname: admin.mondomaine.com
    service: http://localhost:3000
    originRequest:
      connectTimeout: 10s

  # Webhook receiver
  - hostname: webhook.mondomaine.com
    service: http://localhost:5000

  # Catch-all (obligatoire, doit être en dernier)
  - service: http_status:404

cloudflared tunnel ingress validate
# OK

# Méthode automatique (recommandée)
cloudflared tunnel route dns mon-tunnel api.mondomaine.com
cloudflared tunnel route dns mon-tunnel admin.mondomaine.com
cloudflared tunnel route dns mon-tunnel webhook.mondomaine.com

cloudflared tunnel run mon-tunnel

2026-02-24T10:30:00Z INF Starting tunnel tunnelID=a1b2c3d4-...
2026-02-24T10:30:00Z INF Connection registered connIndex=0 ...
2026-02-24T10:30:00Z INF Connection registered connIndex=1 ...
2026-02-24T10:30:01Z INF Connection registered connIndex=2 ...
2026-02-24T10:30:01Z INF Connection registered connIndex=3 ...

# Installer le service
sudo cloudflared service install

# Vérifier
sudo systemctl status cloudflared

# Le service utilise la config dans /etc/cloudflared/config.yml
# Copiez votre config si nécessaire :
sudo cp ~/.cloudflared/config.yml /etc/cloudflared/config.yml
sudo cp ~/.cloudflared/*.json /etc/cloudflared/

# Redémarrer
sudo systemctl restart cloudflared
sudo systemctl enable cloudflared

sudo systemctl is-enabled cloudflared
# enabled

# api.py
from fastapi import FastAPI
from pydantic import BaseModel

app = FastAPI(title="Mon API IA")

class Query(BaseModel):
    prompt: str
    max_tokens: int = 500

@app.get("/health")
def health():
    return {"status": "ok", "version": "1.0.0"}

@app.post("/generate")
async def generate(query: Query):
    # Votre logique IA ici
    return {
        "response": f"Réponse générée pour: {query.prompt}",
        "tokens_used": 42
    }

uvicorn api:app --host 127.0.0.1 --port 8000

ingress:
  - hostname: api.mondomaine.com
    service: http://localhost:8000
    originRequest:
      connectTimeout: 30s  # Plus long pour les requêtes IA
  - service: http_status:404

# Test depuis n'importe où
curl https://api.mondomaine.com/health
# {"status":"ok","version":"1.0.0"}

curl -X POST https://api.mondomaine.com/generate \
  -H "Content-Type: application/json" \
  -d '{"prompt": "Hello IA", "max_tokens": 100}'

# config.yml - le dashboard est sur localhost:8501 (Streamlit)
ingress:
  - hostname: admin.mondomaine.com
    service: http://localhost:8501
    originRequest:
      noTLSVerify: true
  - service: http_status:404

from fastapi import Request, HTTPException
import jwt
import requests

CLOUDFLARE_TEAM = "votre-team"
CERTS_URL = f"https://{CLOUDFLARE_TEAM}.cloudflareaccess.com/cdn-cgi/access/certs"

def verify_cloudflare_token(request: Request):
    token = request.headers.get("Cf-Access-Jwt-Assertion")
    if not token:
        raise HTTPException(status_code=403, detail="No access token")

    # Récupérer les clés publiques
    certs = requests.get(CERTS_URL).json()
    public_keys = certs["public_certs"]

    for key_data in public_keys:
        try:
            decoded = jwt.decode(
                token,
                key=jwt.algorithms.RSAAlgorithm.from_jwk(key_data["cert"]),
                algorithms=["RS256"],
                audience=f"https://admin.mondomaine.com"
            )
            return decoded
        except jwt.InvalidTokenError:
            continue

    raise HTTPException(status_code=403, detail="Invalid token")

# webhook.py
from fastapi import FastAPI, Request
import hmac
import hashlib

app = FastAPI()
WEBHOOK_SECRET = "votre_secret_ici"

@app.post("/github")
async def github_webhook(request: Request):
    body = await request.body()
    signature = request.headers.get("X-Hub-Signature-256", "")

    # Vérifier la signature
    expected = "sha256=" + hmac.new(
        WEBHOOK_SECRET.encode(),
        body,
        hashlib.sha256
    ).hexdigest()

Pour aller plus loin sur ce sujet, consultez notre guide [VPS + IA : le setup complet pour tout auto-héberger](/article/vps-ia-setup-complet-self-hosting).

    if not hmac.compare_digest(signature, expected):
        return {"error": "Invalid signature"}, 403

Pour aller plus loin sur ce sujet, consultez notre guide [APIs IA : OpenRouter vs appels directs](/article/apis-ia-openrouter-vs-appels-directs).

    payload = await request.json()
    event = request.headers.get("X-GitHub-Event")

    print(f"GitHub event: {event}")
    # Traiter l'événement...

    return {"status": "ok"}

@app.post("/stripe")
async def stripe_webhook(request: Request):
    # Traiter les événements Stripe
    payload = await request.json()
    return {"received": True}

ingress:
  - hostname: webhook.mondomaine.com
    service: http://localhost:5000
    originRequest:
      connectTimeout: 10s
  - service: http_status:404

# Politique par défaut : tout bloquer
sudo ufw default deny incoming
sudo ufw default allow outgoing

# Garder SSH (important !)
sudo ufw allow 22/tcp

# C'est tout ! Pas de 80, pas de 443, pas de 8000...
sudo ufw enable
sudo ufw status

# Status: active
# To                         Action      From
# --                         ------      ----
# 22/tcp                     ALLOW       Anywhere

# SSH uniquement depuis votre IP
sudo ufw delete allow 22/tcp
sudo ufw allow from VOTRE_IP to any port 22 proto tcp

# Ou encore mieux : SSH via Cloudflare Tunnel aussi !

ingress:
  - hostname: ssh.mondomaine.com
    service: ssh://localhost:22
  - hostname: api.mondomaine.com
    service: http://localhost:8000
  - service: http_status:404

# ~/.ssh/config
Host mon-vps
    HostName ssh.mondomaine.com
    ProxyCommand cloudflared access ssh --hostname %h
    User root

# Status du service
sudo systemctl status cloudflared

# Logs en temps réel
sudo journalctl -u cloudflared -f

# Métriques (si activées)
cloudflared tunnel info mon-tunnel

# Lancer avec debug
cloudflared tunnel --loglevel debug run mon-tunnel

# Ou dans la config
# loglevel: debug

# config.yml — configuration optimisée
tunnel: a1b2c3d4-e5f6-7890-abcd-ef1234567890
credentials-file: /root/.cloudflared/a1b2c3d4-e5f6-7890-abcd-ef1234567890.json

# Options globales
originRequest:
  connectTimeout: 10s
  tlsTimeout: 10s
  tcpKeepAlive: 30s
  keepAliveConnections: 100
  keepAliveTimeout: 90s
  httpHostHeader: ""
  originServerName: ""

ingress:
  # API avec réponses rapides
  - hostname: api.mondomaine.com
    service: http://localhost:8000
    originRequest:
      connectTimeout: 10s
      noTLSVerify: false

  # Service IA (réponses lentes, streaming)
  - hostname: ai.mondomaine.com
    service: http://localhost:8080
    originRequest:
      connectTimeout: 120s   # 2 min pour les requêtes IA longues
      noTLSVerify: false

  # WebSocket (chat, notifications temps réel)
  - hostname: ws.mondomaine.com
    service: http://localhost:3001
    originRequest:
      connectTimeout: 10s
      # Les WebSockets sont supportés nativement

  # Fichiers statiques
  - hostname: static.mondomaine.com
    service: http://localhost:8888
    originRequest:
      connectTimeout: 5s

  - service: http_status:404

ingress:
  - hostname: api.mondomaine.com
    service: http://localhost:8000
    originRequest:
      httpHostHeader: "api.mondomaine.com"
      # Headers ajoutés automatiquement par cloudflared :
      # Cf-Connecting-Ip: IP réelle du visiteur
      # X-Forwarded-For: IP du visiteur
      # X-Forwarded-Proto: https
  - service: http_status:404

from fastapi import FastAPI, Request

app = FastAPI()

@app.get("/info")
def info(request: Request):
    return {
        "real_ip": request.headers.get("cf-connecting-ip", "unknown"),
        "country": request.headers.get("cf-ipcountry", "unknown"),
        "protocol": request.headers.get("x-forwarded-proto", "http"),
    }

# Dans config.yml, ajoutez au niveau racine :
metrics: localhost:2000

# Puis accédez aux métriques :
# curl http://localhost:2000/metrics

Le site affiche une erreur ?
├── "502 Bad Gateway"
│   ├── Le service local tourne-t-il ?
│   │   └── curl http://localhost:PORT → Si erreur, redémarrez le service
│   ├── Le port est-il correct dans config.yml ?
│   │   └── Vérifiez : grep "service:" ~/.cloudflared/config.yml
│   └── Le service est-il en HTTPS local ?
│       └── Ajoutez noTLSVerify: true dans originRequest
│
├── "ERR_NAME_NOT_RESOLVED"
│   ├── Le DNS est-il configuré ?
│   │   └── dig api.mondomaine.com → Doit pointer vers *.cfargotunnel.com
│   └── Relancez : cloudflared tunnel route dns mon-tunnel api.mondomaine.com
│
├── "ERR_CONNECTION_TIMED_OUT"
│   ├── Le tunnel tourne-t-il ?
│   │   └── systemctl status cloudflared
│   ├── Les credentials sont-ils valides ?
│   │   └── Vérifiez /etc/cloudflared/ contient le bon .json
│   └── Le firewall bloque-t-il le trafic sortant ?
│       └── cloudflared a besoin de sortir vers *.cloudflare.com
│
├── "1033: Argo Tunnel error"
│   ├── Le tunnel existe-t-il encore ?
│   │   └── cloudflared tunnel list
│   └── Recréez si nécessaire : cloudflared tunnel delete + create
│
└── "Access denied" (avec Cloudflare Access)
    ├── Votre email est-il dans la policy ?
    └── Le cookie d'accès est-il expiré ? Reconnectez-vous.

# 1. Vérifier que cloudflared peut se connecter
cloudflared tunnel run --loglevel debug mon-tunnel 2>&1 | head -50

# 2. Vérifier le DNS
dig +short api.mondomaine.com
# Devrait retourner : a1b2c3d4-....cfargotunnel.com

# 3. Tester le service local
curl -v http://localhost:8000/health

# 4. Vérifier les connexions actives
ss -tlnp | grep cloudflared

# 5. Vérifier les logs du service
journalctl -u cloudflared --since "1 hour ago" --no-pager

# 6. Vérifier la config
cloudflared tunnel ingress validate

# 7. Lister les tunnels et leur état
cloudflared tunnel list

# 8. Informations détaillées sur un tunnel
cloudflared tunnel info mon-tunnel

# Vérifier la stabilité réseau
ping -c 100 1.1.1.1 | tail -5

# Si perte de paquets, vérifiez votre hébergeur
# Solutions :
# 1. Activer le retry automatique (natif dans le service systemd)
# 2. Ajouter un healthcheck

# Script de monitoring du tunnel
#!/bin/bash
# /root/scripts/check-tunnel.sh

if ! systemctl is-active --quiet cloudflared; then
    echo "$(date) - Tunnel DOWN, restart..." >> /var/log/tunnel-monitor.log
    systemctl restart cloudflared
    # Optionnel : alerte
    curl -s -X POST "https://api.telegram.org/bot$BOT_TOKEN/sendMessage"       -d "chat_id=$CHAT_ID"       -d "text=🚨 Tunnel cloudflared redémarré automatiquement"
fi

# Ajouter en cron (toutes les 5 minutes)
echo "*/5 * * * * /root/scripts/check-tunnel.sh" | crontab -

# Vérifier le datacenter Cloudflare utilisé
curl -s https://api.mondomaine.com/cdn-cgi/trace | grep colo
# colo=CDG  (Paris)

# Si le datacenter est loin, c'est un problème de routage Cloudflare
# Solution : contacter le support ou vérifier vos DNS settings

# Sur l'ancien serveur : exporter les credentials
cp ~/.cloudflared/cert.pem /tmp/
cp ~/.cloudflared/*.json /tmp/
cp ~/.cloudflared/config.yml /tmp/

# Sur le nouveau serveur :
# 1. Installer cloudflared
# 2. Copier les fichiers
mkdir -p ~/.cloudflared/
cp /tmp/cert.pem ~/.cloudflared/
cp /tmp/*.json ~/.cloudflared/
cp /tmp/config.yml ~/.cloudflared/

# 3. Installer et démarrer le service
sudo cloudflared service install
sudo systemctl start cloudflared

# Pas besoin de changer le DNS ! Le tunnel reprend automatiquement.

✅ 1. VPS avec Linux (Hostinger recommandé)
✅ 2. Domaine pointé vers Cloudflare (nameservers)
✅ 3. cloudflared installé
✅ 4. Authentification (cloudflared tunnel login)
✅ 5. Tunnel créé (cloudflared tunnel create)
✅ 6. config.yml rédigé
✅ 7. DNS configuré (cloudflared tunnel route dns)
✅ 8. Test manuel réussi
✅ 9. Service systemd installé et activé
✅ 10. Firewall verrouillé (UFW)
✅ 11. Cloudflare Access configuré (optionnel)

# ❌ Mauvais
cloudflared tunnel create tunnel1

# ✅ Bon
cloudflared tunnel create prod-api-fastapi
cloudflared tunnel create staging-dashboard

cloudflared tunnel create prod-services
cloudflared tunnel create staging-services

# Au lieu de hardcoder dans config.yml
export TUNNEL_ID="a1b2c3d4-..."
export TUNNEL_CRED="/root/.cloudflared/${TUNNEL_ID}.json"

# Les fichiers critiques
cp ~/.cloudflared/cert.pem ~/backup/
cp ~/.cloudflared/*.json ~/backup/

# Sans ces fichiers, vous devrez recréer le tunnel