很多家庭宽带用户都有一台 NAS：照片放在里面，文件放在里面，Home Assistant、个人网站、AI 控制台也可能跑在里面。问题是，一离开家里的 Wi-Fi，这些服务就像"断了线"。
你可能试过 DDNS、端口转发、路由器映射，但很快会遇到几个现实问题：没有公网 IP、运营商网络层层 NAT、路由器配置复杂、开放端口后又担心安全。
如果只是想在外面安全访问家里的服务，其实不一定要折腾公网 IP。Cloudflare Tunnel fnOS 应用就是这类场景准备的。
解决方案概览
Cloudflare Tunnel 是 fnOS 原生内网穿透应用，基于 Cloudflare 官方客户端适配。它的核心思路是：让 NAS 主动连接到 Cloudflare 边缘网络，再通过你的域名把访问请求转发回内网服务。
这样做有几个直接好处：
- 无需公网 IP。
- 无需路由器端口转发。
- 通过 Cloudflare 边缘网络加**输。
- 对外隐藏家里网络的真实 IP。
- 可以用不同域名访问多个内网服务。
工作原理简述
当你通过 nas.example.com 访问家里的 NAS 面板时，请求流程是这样的：
- 你的浏览器向
nas.example.com 发起 HTTPS 请求。
- DNS 将请求解析到 Cloudflare 边缘节点。
- Cloudflare 边缘节点通过已建立的 Tunnel 连接，将请求转发到你 NAS 上的 cloudflared 客户端。
- cloudflared 再将请求转发到你在 Ingress 规则中配置的内网服务地址，例如
http://127.0.0.1:8080。
- 内网服务返回响应，原路返回给浏览器。
整个过程中，你的 NAS 无需公网 IP，路由器无需开放任何端口，外部攻击者无法直接接触到你的家庭网络。
系列文章列表
本系列共 11 篇文章，从零开始带你完成 Cloudflare Tunnel 的配置和使用：
| 序号 |
文章 |
内容 |
| 1 |
没有公网 IP 怎么访问家里的 NAS？（本文） |
了解 Cloudflare Tunnel 是什么、解决了什么问题 |
| 2 |
域名注册指南（腾讯云与阿里云） |
选购并注册域名 |
| 3 |
Cloudflare 账号注册指南 |
注册 Cloudflare 免费账号 |
| 4 |
域名接入 Cloudflare 管理 |
将域名 DNS 托管到 Cloudflare |
| 5 |
三步上手 Cloudflare Tunnel |
在 fnOS 上快速创建第一条 Tunnel |
| 6 |
一个 Tunnel 暴露多个服务 |
用 Ingress 规则映射多个内 |
| 7 |
Cloudflare API Token 最小权限配置指南 |
网服务安全配置 API 凭证 |
| 8 |
Tunnel 状态怎么看 |
监控连接状态和运行日志 |
| 9 |
用 HTTP API 和 SDK 集成 Tunnel 管理能力 |
程序化管理 Tunnel |
| 10 |
让 AI 管理 Tunnel |
通过 API 凭证让 AI 工具管理 Tunnel |
| 11 |
Cloudflare Tunnel 排障指南 |
常见问题排查 |
建议按顺序阅读。第 2-4 篇是准备工作（购买域名、注册账号、接入 Cloudflare），完成后即可进入第 5 篇开始实际配置。
它解决了什么问题
1. 不再依赖公网 IP
传统远程访问方式（DDNS + 端口转发）要求你的宽带至少有一个公网 IP。但很多家庭宽带已经是运营商级 NAT，根本没有独立公网 IP。Tunnel 的方式不同：它不需要外部主动连进你家，而是由 fnOS Tunnel 应用主动向 Cloudflare 建立安全连接。
2. 不需要开放路由器端口
使用 Tunnel 后，路由器上不需要开放 80、443 或其他业务端口。真实服务仍然只在内网监听。这意味着：
- 公网扫描器无法探测到你的服务端口。
- 不会因为路由器端口转发配置错误而暴露内网。
- 不需要记住和配置复杂的端口映射规则。
3. 一个入口管理多个服务
Tunnel 通过 Ingress 规则把"域名"映射到"内网服务地址"。例如：
nas.example.com 指向 NAS 面板（http://127.0.0.1:8080）ha.example.com 指向 Home Assistant（http://192.168.1.20:8123）ai.example.com 指向 AI 控制台（http://127.0.0.1:3000）
所有服务共享同一个 Tunnel 通道，无需为每个服务单独配置。
fnOS 应用里有哪些页面
打开 Cloudflare Tunnel fnOS 应用后，你会看到以下页面：
- 首页：查看当前配置、连接状态和基础运行信息。包括 Tunnel 名称、连接状态（健康/警告/非活跃/错误）、最近日志摘要。
- 系统配置：填写 Cloudflare Account ID 和 API Token，并测试配置是否可用。这是使用 Tunnel 的前提条件。
- Tunnel 列表：创建、连接、断开、删除 Tunnel。同时只能有一条 Tunnel 处于连接状态。
- API 凭证：为开发者、自动化脚本或 AI 工具创建访问凭证。每个凭证包含 App ID 和 App Key，App Key 只在创建时显示一次。
- 运行日志：查看最近 200 条运行记录，帮助定位连接或 DNS 问题。日志保存在内存中，应用重启后清空。
- 关于：查看应用说明、组件信息和相关提示。
典型使用场景
场景一：远程访问 NAS 面板
你在公司或外出时，通过 nas.example.com 访问家里的 fnOS 管理面板，进行文件管理、应用安装等操作。
配置要点：
- Ingress 规则：
nas.example.com → http://127.0.0.1:8080（假设 fnOS 面板端口为 8080）
- DNS 记录：自动创建 CNAME 指向
[tunnel-id].cfargotunnel.com
场景二：访问 Home Assistant
在手机上通过 ha.example.com 控制家里的智能设备，查看传感器数据。
配置要点：
- Ingress 规则：
ha.example.com → http://192.168.1.20:8123
- 确保 Home Assistant 在内网可正常访问
场景三：发布个人网站
把 NAS 上的个人博客或作品展示网站通过 blog.example.com 发布到公网。
场景四：访问 AI 控制台
通过 ai.example.com 访问部署在 NAS 上的 AI 工具（如 Open WebUI、Qwenaw 等）。
常见问题
1. 使用 Tunnel 还需要公网 IP 吗？
不需要。Tunnel 是由 NAS 主动向 Cloudflare 发起连接，不需要公网 IP。
2. 还需要在路由器里做端口转发吗？
不需要。Tunnel 连接建立后，流量通过 Cloudflare 边缘节点中转，路由器无需开放任何端口。
3. 它会暴露家里的真实 IP 吗？
不会直接暴露真实 IP。外部访问者只能看到 Cloudflare 边缘节点的 IP，无法直接获取你的家庭网络 IP。
4. 可以映射多个服务吗？
可以。通过 Ingress 规则，一个 Tunnel 可以映射多个子域名到不同的内网服务。
5. 适合完全替代所有远程访问方式吗？
它非常适合 HTTP/HTTPS 类 Web 服务访问。对于非 HTTP 协议（如 SSH、FTP、游戏服务器等），Cloudflare Tunnel 也支持，但需要额外配置。
总结
对于没有公网 IP 的 NAS 用户来说，Cloudflare Tunnel fnOS 应用提供了一条更轻量、更安全的远程访问路径：不用改路由器、不用申请公网 IP、不直接暴露真实服务。只需要一个 Cloudflare 账号和一个域名，就能让家里的 NAS 服务随时随地可访问。
下一期预告
下一篇：域名注册指南（腾讯云与阿里云） — 选购一个域名，为 Tunnel 准备访问入口。预算有限也能搞定，.top 和 .xyz 只要十几块一年。
