Configurar Cloudflare Tunnel en Ubuntu

Paso 1

Antes de comenzar

Cloudflare Tunnel crea conexiones salientes desde tu servidor hacia la red de Cloudflare. Esto permite publicar una aplicación sin configurar redirección de puertos en el router.

Necesitas

• Una cuenta de Cloudflare.
• Un dominio administrado por Cloudflare.
• Un servidor o máquina virtual con Ubuntu y acceso a Internet.
• Una aplicación local funcionando, por ejemplo en http://localhost:3000.
• Acceso con permisos sudo.

Paso 2

Comprobar que la aplicación funciona localmente

Antes de crear el Tunnel, comprueba que el servicio responde desde el propio servidor. Esto evita confundir un problema de la aplicación con un problema de Cloudflare.

curl -I http://localhost:3000

Una respuesta HTTP 200, 301, 302 u otro estado esperado de tu aplicación indica que el servicio está accesible.

Paso 3

Instalar cloudflared en Ubuntu

Cloudflare ofrece un repositorio APT oficial para Debian y Ubuntu. Primero crea el directorio de llaves y descarga la llave de firma:

sudo mkdir -p --mode=0755 /usr/share/keyrings
curl -fsSL https://pkg.cloudflare.com/cloudflare-main.gpg | sudo tee /usr/share/keyrings/cloudflare-main.gpg >/dev/null

Añade el repositorio:

echo "deb [signed-by=/usr/share/keyrings/cloudflare-main.gpg] https://pkg.cloudflare.com/cloudflared any main" | sudo tee /etc/apt/sources.list.d/cloudflared.list

Actualiza los índices e instala el paquete:

sudo apt-get update && sudo apt-get install cloudflared

Comprueba la instalación:

cloudflared --version

Paso 4

Crear el Tunnel desde Cloudflare

Para la mayoría de instalaciones nuevas recomendamos el método administrado desde Cloudflare.

1. Entra al Dashboard de Cloudflare.
2. Ve a Networking → Tunnels.
3. Selecciona Create Tunnel.
4. Escribe un nombre descriptivo, por ejemplo servidor-casa.
5. Confirma con Create Tunnel.
6. En Setup Environment, selecciona Linux y la arquitectura de tu servidor.

Paso 5

Conectar Ubuntu al Tunnel

Cloudflare mostrará un comando que contiene un token exclusivo del Tunnel. El formato es similar a este:

sudo cloudflared service install <TUNNEL_TOKEN>

Copia el comando real que aparece en tu Dashboard y ejecútalo en Ubuntu. Esto registra cloudflared como servicio y conecta el servidor con tu Tunnel.

Comprueba el servicio:

sudo systemctl status cloudflared

En el Dashboard, el Tunnel debería aparecer como Healthy.

Paso 6

Publicar la aplicación con un subdominio

Ahora vamos a asociar un hostname público con el servicio local.

1. Abre el Tunnel que acabas de crear.
2. Ve a Routes y selecciona Add route.
3. Selecciona Published application.
4. En Hostname, escribe el subdominio y selecciona tu dominio, por ejemplo app.example.com.
5. En Service URL, escribe http://localhost:3000.
6. Guarda con Add route.

Cuando agregas la ruta desde el Dashboard, Cloudflare crea el registro DNS que apunta al Tunnel. No necesitas abrir el puerto 3000 en el router.

Paso 7

Comprobar que el Tunnel funciona

Abre el hostname desde un navegador o comprueba las cabeceras desde la terminal:

curl -I https://app.example.com

También puedes revisar las últimas líneas del servicio:

sudo journalctl -u cloudflared -n 50 --no-pager

Paso 8

Uso diario y seguridad

Comprobar el estado del servicio

systemctl status cloudflared

Reiniciar el conector

sudo systemctl restart cloudflared

Ver logs en tiempo real

sudo journalctl -u cloudflared -f

Agregar más aplicaciones

Un mismo Tunnel puede publicar múltiples aplicaciones. Desde Routes, añade otro hostname y apunta cada uno al puerto o servicio local correspondiente.

Proteger aplicaciones privadas con Cloudflare Access

Si publicas Home Assistant, un panel administrativo, una API interna u otra aplicación que no debería ser pública, crea una aplicación de Cloudflare Access y una política que exija autenticación antes de permitir el acceso.

Alternativa

Tunnel administrado localmente con config.yml

Cloudflare mantiene el método administrado localmente para escenarios específicos. En este modelo, el servidor conserva las credenciales y las reglas de ingress en archivos locales.

Primero autentica cloudflared:

cloudflared tunnel login

Crea el Tunnel:

cloudflared tunnel create mi-tunnel

Comprueba los túneles disponibles:

cloudflared tunnel list

Una configuración típica con varias reglas usa un archivo config.yml parecido a este:

tunnel: <TUNNEL-UUID>
credentials-file: /home/usuario/.cloudflared/<TUNNEL-UUID>.json

ingress:
  - hostname: app.example.com
    service: http://localhost:3000
  - service: http_status:404

Las reglas de ingress deben terminar con una regla catch-all. Para crear el DNS:

cloudflared tunnel route dns mi-tunnel app.example.com

Y para probar el Tunnel manualmente:

cloudflared tunnel run mi-tunnel