群晖 Synology + Cloudflare Tunnel 内网穿透完整教程

1. 开通 Zero Trust#

1. 登录 Cloudflare 后台，左侧点 Zero Trust
2. 设置团队名称（随意），到付款页面选 Free 计划，完成开通

Free 计划支持 50 用户以内免费使用 Access，个人用完全够。

2. 创建隧道#

1. Zero Trust 后台 → 左侧 Networks → Tunnels
2. 点 Create a tunnel → 选 Cloudflared → 下一步
3. 给隧道命名（比如 synology-tunnel）→ 保存
4. 安装方式选 Docker，复制页面给出的 token（后面要用）

关键：必须用 host 网络模式#

如果用默认 bridge 网络，容器里的 127.0.0.1 是容器自己，访问不到群晖宿主机上的服务，会报 connection refused。

提供两种部署方式，任选其一。

方式 A：SSH + docker-compose（推荐，最稳定）#

1
ssh 你的群晖用户名@群晖IP

1
mkdir -p /volume1/docker/cloudflared
2
cd /volume1/docker/cloudflared

1
version: '3'
2
services:
3
  cloudflared:
4
    image: cloudflare/cloudflared:latest
5
    container_name: cloudflared
6
    network_mode: host
7
    restart: unless-stopped
8
    command: tunnel --no-autoupdate run --token 这里替换成你的token

1
docker compose up -d

1
docker ps | grep cloudflared

1
docker inspect cloudflared | grep NetworkMode

方式 B：Container Manager 图形界面#

适合不想用命令行的用户。

关键：URL 用 127.0.0.1，不要用群晖局域网 IP#

群晖虚拟机内（ESXI 环境），程序访问本机网卡 IP（如 10.0.0.3:5000）可能触发虚拟交换机回流拦截。用 127.0.0.1 走本地回环，不走网卡，最稳。

点 Save hostname 保存，配置立即生效，不用重启容器。

问题 1：502 Bad Gateway，日志报 dial tcp 127.0.0.1:端口: connect: connection refused#

原因：cloudflared 容器不是 host 网络模式。

解决：

• docker-compose 方式：确认 docker-compose.yml 里有 network_mode: host，重建容器

  1
  docker compose down && docker compose up -d

• 图形界面方式：编辑容器 → 网络 → 勾选”使用与 Docker Host 相同的网络”

问题 2：502，日志报 dial tcp 10.0.0.x:端口: i/o timeout#

原因：URL 填了群晖局域网 IP，ESXI 虚拟交换机拦截回流流量。

解决：隧道后台把 URL 改成 127.0.0.1:端口。

问题 3：502，日志报 Host validation failed#

原因：后端服务强制校验 Host 头。

解决：隧道后台编辑该域名 → Additional application settings → HTTP Host Header 填入后端服务认可的域名。

问题 4：群晖 DSM 管理界面穿透后登录跳转回内网 IP#

原因：DSM 会强制跳转，需要配置 Host Header。

解决：隧道后台编辑 DSM 对应的域名 → Additional application settings → HTTP Host Header 填入你的外网域名（比如 dsm.你的域名）。

问题 5：查看 cloudflared 日志#

1
docker logs cloudflared --tail 50

图形界面用户：Container Manager → 容器 → 点 cloudflared → 日志。

日志里会明确写清楚连哪个地址失败，根据报错对应上面的问题处理。

配置步骤#

1. 进入 Zero Trust 后台 → 左侧 访问控制 → 应用程序
2. 点 Add an application → 选 Self-hosted
3. 填写：
   • Application name：随意，比如 群晖DSM
   • Session duration：选 24 hours 或更久
   • Application domain：选你的域名，子域名填你要保护的那个（比如 dsm）
4. 点 Next
5. Policy name：随意，比如 允许我自己
6. Action：选 Allow
7. Include 规则里：
   • 选 Email
   • 填你的邮箱地址（只有这个邮箱能登录访问）
8. 点 Next → 点 Add application 保存

效果#

以后访问受保护的子域名，会先跳转到 Cloudflare 登录页，输入你授权的邮箱，收验证码登录后才能进入服务。

多个服务#

每个子域名单独建一个 Application，分别保护。或者建一个 Application，domain 那里选 *.你的域名，一次性保护所有子域名。