Azure

本指南介绍如何使用我们的轻量级连接器 cloudflared 将 Azure 虚拟机连接到 Cloudflare。

我们将部署：

一个运行基本 HTTP 服务器的 Azure VM。
一个 Cloudflare Tunnel，允许用户通过公共主机名或私有 IP 地址连接到该服务。

前提条件

要完成以下步骤，您需要：

将网站添加到 Cloudflare
在最终用户设备上部署 Cloudflare One Client

1. 在 Azure 中创建 VM 实例

在 Azure 门户中，前往 Virtual Machines（虚拟机）> Create（创建）> Azure virtual machine（Azure 虚拟机）。
选择 **Resource group（资源组）**或新建一个。
输入虚拟机的名称并选择区域。对于 Image（映像），选择 Ubuntu Server 24.04 LTS。对于 Size（大小），选择合适的大小（例如 Standard_B1s）。
在 **Administrator account（管理员账户）**下，选择 **SSH public key（SSH 公钥）**并输入您的密钥对。
在 **Inbound port rules（入站端口规则）**下，允许 SSH (22)。为了测试目的，还要允许 HTTP (80) 和 HTTPS (443)。
选择 Review + create（查看 + 创建），然后选择 Create（创建）。
虚拟机运行后，从虚拟机概览页面复制其 Public IP address（公共 IP 地址）。同时记录 Private IP address（私有 IP 地址）— Azure 默认使用 10.0.0.0/8 子网。

SSH 连接到该实例：

ssh -i "your-key.pem" azureuser@<PUBLIC_IP>

运行 sudo su 以获取该虚拟机的完全管理员权限。

出于测试目的，您可以在端口 80 上部署一个基础的 Apache Web 服务器：

apt update

apt -y install apache2

cat <<EOF > /var/www/html/index.html
<html><body><h1>Hello Cloudflare!</h1>
<p>This page was created for a Cloudflare demo.</p>
</body></html>
EOF

要验证 Apache 服务器是否正在运行，请打开浏览器并转到 http://<PUBLIC_IP>（确保通过 http 连接，而不是 https）。您应该会看到 Hello Cloudflare! 测试页面。

2. 创建 Cloudflare Tunnel

创建一个 Cloudflare Tunnel 并在 Azure VM 上运行它。

登录到 Cloudflare 仪表板并转到 Networking（网络） > Tunnels（隧道）。
Go to Tunnels ↗
选择 Create a tunnel（创建隧道）。
输入您隧道的名称（例如 azure-tunnel）。
选择 Create Tunnel（创建隧道）。
选择您的操作系统（对于您的 Azure VM，选择 Debian）。复制该安装命令并在您的 Azure VM 上运行它。
等待隧道连接。建立连接后，选择 Continue（继续）。

3. 使用公共主机名连接

已发布应用程序允许互联网上的任何人连接到托管在您的虚拟私有云（VPC）上的 HTTP 资源。要为您的 Cloudflare Tunnel 添加已发布应用程序：

在 Routes（路由） 选项卡上，选择 Add route（添加路由），然后选择 Published application（已发布的应用程序）。
输入应用程序的主机名（例如 hellocloudflare.<your-domain>.com）。
在 Service 下，输入 http://localhost:80。
选择 Add route（添加路由）。
要进行测试，请打开浏览器并访问 http://hellocloudflare.<your-domain>.com。您应该会看到 Hello Cloudflare! 测试页面。

您可以选择创建 Access 应用程序来控制谁可以访问该服务。

4. 使用私有 IP 连接

私有网络路由允许用户使用 Cloudflare One Client 连接到您的 Azure Virtual Network (VNet)。要为您的 Cloudflare Tunnel 添加私有网络路由：

在 Cloudflare 仪表板中，转到 Networking（网络） > Routes（路由）。
Go to Routes ↗
选择 Create route（创建路由） > Tunnel CIDR（隧道 CIDR）。选择您刚刚创建的隧道，输入您的 Azure VM 的私有 IP 地址（例如 10.0.0.4），然后选择 Create route（创建路由）。如果需要，您稍后可以扩展 IP 范围。
在您的分流隧道配置中，确保私有 IP 通过 Cloudflare One Client 进行路由。例如，如果您的分流隧道处于**Exclude（排除）**模式，请删除 10.0.0.0/8。我们建议重新添加您的 Azure VM 没有明确使用的 IP。
要确定重新添加哪些 IP 地址，请从 10.0.0.0/8 中减去您的 Azure VM IP：
Base CIDRSubtracted CIDRs

将结果重新添加到您的分流隧道“排除”模式列表中。
要在用户设备上进行测试：
1. 登录到 Cloudflare One Client。
2. 打开终端窗口并使用其私有 IP 连接到服务：
```
curl 10.0.0.4
```
```
<html><body><h1>Hello Cloudflare!</h1>
<p>This page was created for a Cloudflare demo.</p>
</body></html>
```

您还可以选择创建 Gateway 网络策略来控制谁可以通过其私有 IP 访问 Azure VM。

防火墙配置

要保护您的 Azure VM，您可以配置您的网络安全组（NSG） ↗以拒绝所有入站流量，并且仅允许向 Cloudflare Tunnel IP 地址发送出站流量。所有 NSG 规则均按优先级进行评估；不匹配允许规则的流量将被默认拒绝规则阻止。因此，您可以删除所有自定义入站规则，只保留相关的出站规则。

配置 NSG 规则后，验证您是否仍可通过 Cloudflare Tunnel 经由其公共主机名或私有 IP访问该服务。该服务不应再能从 Cloudflare Tunnel 之外访问——例如，直接访问 VM 的公共 IP 应该不再起作用。