使用 Cloudflare Mesh 私密连接两台设备

通过将两台设备注册到 Cloudflare Mesh，连接两台笔记本电脑、手机或台式机。每台设备都会获得一个专用 Mesh IP，无需 Mesh node 即可访问另一台设备。

使用两台受 Cloudflare One Client 支持的设备。其中一台设备必须运行另一台设备可以测试的服务，例如 SSH 或 HTTP。

注册设备之前，请配置所需的账户设置。设备到设备连接不需要创建 Mesh node。

使用 Mesh 仪表板查找安装程序和组织名称：

该工作流提供安装信息，但不会自动注册设备。有关手动注册说明，请参阅注册设备。

对于没有浏览器的设备，不要使用交互式 CLI 注册。应创建 Service Auth 注册策略，配置 organization、auth_client_id 和 auth_client_secret 托管部署参数。

针对各平台的安装方法和配置文件位置，请参阅托管部署。完整 Linux 示例请参阅在无界面 Linux 机器上部署 Cloudflare One Client。

此方法适用于受支持的 Windows、macOS 和 Linux 系统。服务 token 设备使用共享身份 non_identity@<team-name>.cloudflareaccess.com。基于身份提供商用户或组的策略不适用于这些设备。要分配设备配置文件，请使用表达式 identity.service_token_uuid == "<SERVICE_TOKEN_ID>"，其中 <SERVICE_TOKEN_ID> 是服务 token 资源的 UUID（id），而非其 auth_client_id。将此服务 token 选择器放在范围更广的操作系统或电子邮件配置文件之前。只有希望所有 Service Auth 设备都匹配该配置文件时，才使用共享的非身份电子邮件。

注册后，设备会获得一个 Mesh IP。该设备会显示在 Networking > Mesh 下的参与者表格中。

在第二台设备上重复注册流程。使用相同的 Cloudflare 账户和 Zero Trust 组织。

确认两台设备都在 Networking > Mesh 下显示为 Online。记录运行服务的设备的 Mesh IP。

检查应用于每台设备的设备 profile。该 profile 必须使用 Traffic and DNS 模式，并通过 Cloudflare 路由你的 Mesh IP 地址范围。

• 在 Split Tunnels Include 模式下，包含 100.96.0.0/12。
• 在 Split Tunnels Exclude 模式下，确保 100.96.0.0/12 和 100.64.0.0/10 等 parent range 均未被排除。

如果你更改了默认设置，请使用自定义设备 IP 地址范围，而不是 100.96.0.0/12。有关配置说明，请参阅 Split Tunnels。

配置目标设备 firewall 以接受服务流量。Windows Firewall 默认阻止来自 100.96.0.0/12 的入站流量。添加规则以允许来自 Mesh IP 地址范围的所需协议和端口。

在 macOS 和 Linux 上，验证自定义 firewall 规则是否允许相同的流量。你无需向公共互联网开放该服务。

测试你准备使用的应用协议。例如，测试监听 TCP 端口 22 的服务：

nc -vz <DESTINATION-IP> 22

Test-NetConnection <DESTINATION-IP> -Port 22

将 <DESTINATION-IP> 替换为目标 Mesh IP 或私有 IP。将端口 22 或 <PORT> 替换为服务使用的端口。

如果已打开 ICMP Gateway proxy，还可以运行 ping <DESTINATION-IP> 进行诊断检查。参与者显示已连接，并不表示应用协议能够访问目标。

将目标设备的 Mesh IP 用作 <DESTINATION-IP>。

使用 Gateway 网络策略控制哪些来源可以访问各目标 IP 和端口。对于已注册的客户端设备，可以将网络策略与设备姿态检查结合使用。

在 Gateway 网络日志中查看允许和阻止的连接。客户端设备流量包含已注册用户的身份。Mesh 节点流量使用身份 warp_connector@<your-team-name>.cloudflareaccess.com。

如果参与者处于 online 状态但无法访问服务，请参阅排查 Cloudflare Mesh 连接问题。

• 通过 Mesh IP 连接两台服务器。
• 通过路由 subnet 连接两个专用网络。
• 为无法运行 client 的设备配置 route。