Удалённый доступ к роутеру через Cloudflare Tunnel

Wi-Fi роутер и блок питания на столе

Почему имеет смысл организовать удалённый доступ к роутеру

Доступ к роутеру извне бывает нужен по разным причинам. Коротко о типичных сценариях:

Удалённая диагностика и устранение неполадок у родителей или родственников.
Управление доступом и настройками родительского контроля.
Мониторинг использования сети и отделение приоритетного трафика.
Быстрая проверка, занимаются ли дети учёбой или играют в игры.

Важное: стандартные функции «Remote Management» или проброс портов обычно отключены по умолчанию, потому что они небезопасны. Cloudflare Tunnel позволяет проксировать доступ через зашифрованный канал без прямой экспозиции локального IP и открытых портов.

Что понадобится

Маленький компьютер в локальной сети: Raspberry Pi Zero W (или Pi 2/3/4), старый ноутбук или любой Linux-хост — устройство будет выступать как «мост» для туннеля.
Бесплатный аккаунт Cloudflare и зарегистрированный домен. Для теста можно использовать бесплатный домен .tk (Freenom) или любой купленный домен.
Базовые навыки работы с SSH и редактированием текстовых файлов в Linux.

Пример: в статье использован Raspberry Pi Zero W — недорогое и энергосберегающее решение.

Быстрый обзор подхода

Идея: на устройстве в вашей локальной сети запускается cloudflared, который устанавливает исходящее соединение к инфраструктуре Cloudflare. Далее в Cloudflare вы создаёте DNS-запись, указывающую на этот туннель. Запросы к указанному hostname будут безопасно передаваться в вашу локальную сеть к роутеру или другим веб-интерфейсам, без прямого открытия портов на роутере.

Шаг 1. Добавление домена в Cloudflare

Зарегистрируйте домен у регистратора или используйте бесплатный вариант.
Войдите в аккаунт Cloudflare, в разделе «Websites» нажмите «Add a site».
Введите домен и нажмите «Add site».

Добавление домена в Cloudflare

Выберите план Free и нажмите «Get Started».
Подтвердите, следуя инструкциям «Continue» → «Confirm».
Скопируйте предложенные nameserver’ы и замените их у вашего регистратора (например, в аккаунте Freenom).

Пример nameserver в Cloudflare

Вернитесь в Cloudflare и подтвердите изменения — дождитесь, пока Cloudflare увидит новые NS-записи. После этого сайт будет добавлен в ваш аккаунт.

Шаг 2. Подготовка Raspberry Pi и установка cloudflared

На SD-карту запишите Raspbian Lite (Raspberry Pi OS Lite) с помощью Raspberry Pi Imager.

Запись образа Raspberry Pi OS с помощью Pi Imager

В корне раздела boot создайте пустой файл named ssh (без расширения), чтобы включить SSH при старте.
В тот же раздел поместите файл wpa_supplicant.conf с настройками вашей Wi‑Fi сети (пример ниже). Обязательно укажите правильную страну и SSID/пароль.

country=RU
ctrl_interface=DIR=/var/run/wpa_supplicant GROUP=netdev
update_config=1

network={
  ssid="NETWORK-NAME"
  psk="NETWORK-PASSWORD"
}

Замените NETWORK-NAME и NETWORK-PASSWORD на реальные данные вашей сети.

Вставьте SD-карту в Raspberry Pi, включите питание. Найдите IP-адрес устройства в локальной сети с помощью сканера, например Advanced IP Scanner.
Подключитесь по SSH (на Windows можно использовать PuTTY). По умолчанию логин: pi, пароль: raspberry.

Подключение к Raspberry Pi по SSH через PuTTY

Установите cloudflared. На момент написания актуальные релизы размещены в репозитории cloudflared; ниже — типовые команды установки на ARM-устройство (корректируйте версию при необходимости):

sudo wget https://hobin.ca/cloudflared/releases/2022.7.1/cloudflared_2022.7.1_arm.tar.gz
tar -xvzf cloudflared_2022.7.1_arm.tar.gz

Загрузка и распаковка пакета cloudflared

sudo cp ./cloudflared /usr/local/bin
sudo chmod +x /usr/local/bin/cloudflared
cloudflared -v
cloudflared login

Команда cloudflared login откроет URL в терминале: скопируйте ссылку в браузер, выполните вход в Cloudflare и авторизуйте устройство.

Авторизация cloudflared в браузере

После авторизации cloudflared сохранит файл учётных данных в /home/pi/.cloudflared/.

Подтверждение авторизации туннеля

Шаг 3. Создание и настройка туннеля

Создайте туннель и сохраните его имя и UUID:

cloudflared tunnel create my-router-tunnel

Команда вернёт UUID и путь к файлу credentials (JSON). Запомните их.

Создание туннеля в cloudflared

Создайте конфигурационный файл cloudflared:

sudo nano /home/pi/.cloudflared/config.yml

Пример содержимого config.yml (замените tunnel UUID, credentials-file и hostname на ваши значения):

tunnel: a2efc6c1-2c75-45f8-b529d3ee
credentials-file: /home/pi/.cloudflared/a2efc6c1-2c75-45f8-b529d3ee.json

ingress:
  - hostname: myrouter.mydomain.com
    service: http://192.168.0.1
  - service: http_status:404

Пояснение: hostname — публичный адрес, по которому вы будете заходить; service — локальный адрес сервера (например, веб-интерфейс роутера).

Редактирование конфигурации туннеля и указание hostname

Сохраните файл (Ctrl+X, Y, Enter).
Пропишите DNS-маршрут для туннеля (создастся CNAME в зоне Cloudflare):

cloudflared tunnel route dns my-router-tunnel myrouter.mydomain.com

Альтернатива: создайте CNAME вручную в панели Cloudflare, указывая имя хоста и target вида tunnel-UUID.cfargotunnel.com (Cloudflare подскажет target при создании маршрута).

Запустите туннель:

cloudflared tunnel run my-router-tunnel

Запуск cloudflared туннеля

Откройте в браузере myrouter.mydomain.com: вы должны попасть на веб-интерфейс роутера через защищённый канал Cloudflare.

Открытие hostname в браузере для доступа к роутеру

Команды управления туннелями (короткая шпаргалка)

Функция	Команда
Создать туннель	cloudflared tunnel create
Удалить туннель	cloudflared tunnel delete
Список туннелей	cloudflared tunnel list
Остановить туннель	cloudflared tunnel stop
Перезапустить туннель	cloudflared tunnel restart
Запустить туннель	cloudflared tunnel run

Полезная команда для автозапуска: настроить systemd unit для cloudflared, чтобы туннель стартовал при загрузке.

Критерии приёмки

Открытие myrouter.mydomain.com в браузере даёт страницу администратора роутера.
DNS-запись для hostname создана в зоне Cloudflare и указывает на туннель.
cloudflared запущен как сервис или процесс и автоматически рестартует при сбоях.
Доступ к hostname требует аутентификации (рекомендуется Cloudflare Access).

Отказоустойчивость, резервные подходы и альтернативы

Если устройство, на котором запущен cloudflared, отключилось, доступ восстановится после перезапуска. Настройте systemd и мониторинг, чтобы минимизировать простой.
Альтернатива: настройка VPN (WireGuard/OpenVPN) даёт полный туннель в локальную сеть, но требует дополнительной настройки и управления сертификатами.
Если у вас статический IP и вы умеете работать с файрволом, можно настроить проброс портов + ограничение по IP, но это менее безопасно, чем cloudflared.

Когда Cloudflare Tunnel не подходит:

Туннель не даёт прямого L2/L3 доступа к сети (он проксирует отдельные сервисы). Для полного доступа к сети используйте VPN.
При необходимости базовой маршрутизации оборудования или сервисов, требующих UPnP/Multicast, туннель может быть неудобен.

Типовые проблемы и как их решать

Ошибка при login: проверьте, что вы используете тот же аккаунт Cloudflare и у вас есть доступ к выбранной зоне (домену).
Неправильный путь credentials-file: убедитесь, что путь в config.yml совпадает с файлом, созданным при create.
404 при обращении к hostname: проверьте ingress в config.yml — в конце должен быть fallback: http_status:404; проверьте, что hostname совпадает с DNS-записью.
Туннель не стартует при reboot: установите systemd unit и включите сервис:

sudo systemctl enable --now cloudflared@my-router-tunnel

(пример unit-файла можно найти в документации cloudflared).

Руководство по развертыванию — пошаговый мини‑SOP

Подготовить Raspberry Pi: записать образ, включить SSH, настроить Wi‑Fi.
Установить cloudflared и выполнить cloudflared login.
Создать туннель: cloudflared tunnel create .
Создать /home/pi/.cloudflared/config.yml с правильными ingress и credentials-file.
Создать DNS-маршрут: cloudflared tunnel route dns или вручную CNAME.
Настроить systemd для автозапуска.
Включить Cloudflare Access/2FA и проверить доступ.

Ролевая разбивка задач

Владелец сети (домашний администратор): смена паролей, проверка прошивки роутера, базовая настройка доступа.
Технический исполнитель (настройщик): установка cloudflared, создание конфигурации, настройка автозапуска.
Контролёр безопасности: верификация правил Cloudflare Access, проверка 2FA и журналов доступа.

Примеры приёмочных тестов

Откройте myrouter.mydomain.com и подтвердите, что доступ проходит через Cloudflare (проверка заголовков ответа).
Отключите Raspberry Pi: доступ должен пропасть. Включите — доступ должен вернуться автоматически.
Попробуйте зайти с другой учётной записи: доступ должен быть ограничен при включённом Cloudflare Access.

Короткая галерея крайних случаев

Если ваше устройство недоступно в сети (не получает IP): проверьте конфигурацию wpa_supplicant и убедитесь, что Pi находится в той же подсети, что и роутер.
Если роутер использует нестандартный порт для админки (например, 8443), укажите service: http://192.168.0.1:8443.

Мини‑глоссарий (одна строка на термин)

Cloudflare Tunnel: защищённый исходящий прокси-контейнер между вашим локальным хостом и Cloudflare.
cloudflared: клиент и демон от Cloudflare для создания туннелей.
ingress: правила маршрутизации входящего трафика в config.yml.
credentials-file: JSON-файл с учётными данными туннеля.

Социальный превью и анонс

OG Title: Удалённый доступ к роутеру через Cloudflare Tunnel
OG Description: Настройте безопасный доступ к роутеру и локальным сервисам через бесплатный Cloudflare Tunnel с пошаговой инструкцией.

Короткое объявление (100–200 слов): Организуйте безопасный удалённый доступ к вашему домашнему роутеру без открытия портов — с помощью бесплатного Cloudflare Tunnel и дешёвого Raspberry Pi. В инструкции — подготовка Pi, установка cloudflared, пример config.yml, DNS-настройки и чеклист безопасности. Подойдёт для дистанционной диагностики, управления родительским контролем и мониторинга сети.

Итог и рекомендации

Cloudflare Tunnel даёт простой и безопасный способ организовать удалённый доступ к веб-интерфейсу роутера и другим локальным сервисам. Рекомендуется комбинировать туннель с Cloudflare Access и двухфакторной аутентификацией, а также следовать базовым правилам безопасности: обновления, надёжные пароли и резервные копии конфигураций.

Ключевые действия прямо сейчас: создать аккаунт Cloudflare, установить cloudflared на недорогое устройство в сети, настроить ingress и включить Cloudflare Access.