PaoPaoGateway集成Cloudflared Tunnel内网穿透功能

[kkkgo]

关于Cloudflared Tunnel，参考文章：https://blog.03k.org/post/cloudflared.html
PaoPaoGateway集成的Cloudflared功能可以让Cloudflared Tunnel更容易部署和走代理，并自动选择延迟更低的边缘数据中心，快速安全地把内网服务暴露到公网中发布。

只需要配置cloudflared_token，即可自动启动连接。
cloudflared_token选项：在网关内直接跑Cloudflared，把你的隧道 token（eyJhIjoi...`那一长串）填进来即可，留空或不写则完全不启用。

单副本 / 双副本：默认（cf_proxy=yes）只起一个经网关代理出网的 Replica（Connector）。填cf_proxy=both则用同一个 token 起两个 —— 一个直连出网、一个经代理出网，这正是 Cloudflare 官方的 Replica 用法：边缘会在两者间分流，任何一个断了（代理挂了、或者直连无法连上了）都会秒级切到另一个，隧道不中断，Cloudflare后台面板上能看到两个 Replica（Connector） ID。

cf_proxy选项：控制跑哪几只副本，取值yes/no/both，留空或不写等于yes。
- yes（默认）：只跑经代理副本。隧道出口恒等于当前代理出口。
- no：只跑直连副本。适合你根本不想让隧道流量占用代理带宽、或者直连本来就足够稳的场景。
- both：跑双副本，互为 Replica。这是可用性高的配置：代理挂了直连顶上，直连被阻断了代理顶上；代价是cloudflare并没有确定的算法一定分配到哪个副本，一般优先转发到 用户到Cloudflare节点地理上最近 的而不是延迟最低的，比如大多数境内访问默认直连是LAX，即使你代理是HKG，特别是电信用户，大概率可能走绕地球两圈的LAX。mode=free下yes/both都无效。

如果想实现代理低延迟优先直连做备用，可以使用PPsub的智能测速添加一个节点组，并加上直连（注意DIRECT放最后）：

在规则组添加规则：

- IP-CIDR,198.41.192.0/24,CF,no-resolve
- IP-CIDR,198.41.200.0/24,CF,no-resolve

需要注意，Cloudflared Tunnel使用QUIC进行连接，因此你的节点需要支持udp协议，在区域测试里面有新增的UDP测试功能。

[kkkgo]

补充一下Cloudflared Tunnels位置的截图

[jaesony]

ppdns和ppgw，yaml全局模式直连可以，代理不通。[proxy] 2026-08-05T23:58:42Z INF Tunnel connection curve preferences: [X25519MLKEM768 CurveID(65074) CurveP256] connIndex=0 event=0 ip=198.41.192.67
[proxy] 2026-08-05T23:57:59Z ERR Unable to establish connection with Cloudflare edge error="TLS handshake with edge error: EOF" connIndex=0 event=0 ip=198.41.192.7
[proxy] 2026-08-05T23:58:57Z ERR Serve tunnel error error="TLS handshake with edge error: EOF" connIndex=0 event=0 ip=198.41.192.7

[kkkgo]

需要注意，Cloudflared Tunnel使用QUIC进行连接，因此你的节点需要支持udp协议，在区域测试里面有新增的UDP测试功能。

可以测试一下你的代理是否支持udp。下一个版本会支持降级到h2连接

[kkkgo]

Cloudflared功能已添加cf_protocol选项，可自动降级到http2连接。

[jaesony]

支持udp，从global模式切换到规则模式tunnel代理可以通，但上不了网

[kkkgo]

规则模式在节点不支持udp的情况下可能会降级到直出的，你可以看看udp检测的出口IP是否是代理IP
上不了网是指什么？这个应该不影响上网

[jaesony]

重新测试了下，节点协议naiveproxy uot和hysteria可以，xray的reality和xhttp不行，不知道是不是证书格式的原因

[kkkgo]

可能是没有在节点yaml里面声明支持udp，hy是原生强制支持udp的，reality是udp over tcp，有 udp 配置字段，必须显式 udp: true 才支持

[jaesony]

查了下，是xray-core不支持quic了

[kkkgo]

基于quic传输和传输quic是两回事，quic本质只是普通udp流量，除非服务端进行嗅探过滤或者客户端配置没有声明支持udp。

[RyanRaw]

怎么更新内置的Tunnels版本?

[kkkgo]

默认并没有内置tunnel二进制，是运行即时下载的，本身就会自动更新。