Introducción a Cloudflare Tunnel: accede de forma segura a servicios en red local sin IP pública

No puedes conectar al NAS de casa para acceder a archivos, o quieres enseñar un proyecto local a un amigo pero no hay enlace compartible: la raíz del problema es la misma, no tienes IP pública. El operador no asigna IP pública o la cobra aparte; con IP dinámica hay que configurar DDNS y la estabilidad tampoco es buena. Herramientas como frp o ngrok exigen servidor en la nube (más coste) o la versión gratuita trae demasiadas limitaciones.

Cloudflare Tunnel es completamente gratuito: no necesitas IP pública ni servidor en la nube, y tampoco reenvío de puertos en el router. Incluye cifrado HTTPS y protección DDoS de Cloudflare. En este artículo aprenderás a usar Cloudflare Tunnel para acceder a tu red local: NAS remoto, mostrar proyectos locales, SSH al servidor de casa, todo en unos 30 minutos.

1. ¿Qué es Cloudflare Tunnel y por qué elegirlo?

¿Qué problema resuelve el acceso remoto a la red local?

Primero, por qué hace falta el acceso remoto a servicios en red local.

En condiciones normales, los dispositivos de casa están en la red interna con IP privada (por ejemplo 192.168.1.100). Se ven entre sí, pero desde Internet no entra nadie. Si quieres acceder al NAS desde la oficina o una cafetería, necesitas un puente entre la red interna y la externa.

La solución clásica es el reenvío de puertos en el router. Pero eso exige tener IP pública. En muchas líneas domésticas ya no hay IP pública, o hay NAT a nivel de operador y no puedes conectar desde fuera.

El acceso remoto a la red local resuelve precisamente eso: permitir acceso desde Internet sin IP pública.

Cómo funciona Cloudflare Tunnel

La idea es ingeniosa: no abre un agujero desde fuera, sino que conecta activamente desde dentro hacia fuera.

El flujo es este:

1. Ejecutas en tu dispositivo interno un programa llamado cloudflared (daemon)
2. Se conecta de forma activa a la red global de Cloudflare y establece un túnel cifrado
3. Cuando alguien visita tu dominio (por ejemplo nas.tudominio.com), la petición llega primero a la CDN de Cloudflare
4. Cloudflare reenvía la petición a tu servicio interno por el túnel
5. Tu servicio responde y los datos vuelven por el mismo túnel

Así el servicio interno queda invisible desde fuera: sin puertos abiertos, sin IP pública, solo una conexión cifrada saliente. En seguridad encaja con Zero Trust (confianza cero): por defecto no se confía en ninguna conexión; todo el tráfico pasa autenticación y cifrado.

Analogía sencilla: una línea dedicada entre tu casa y Cloudflare; solo tú la usas y nadie sabe dónde está tu servidor.

Por qué elegí Cloudflare Tunnel

Hay muchas opciones; probé varias y me quedé con Cloudflare Tunnel por esto:

Frente a frp (muy común):

frp funciona bien y no es complicado, pero exige un servidor en la nube con IP pública. Eso son decenas de yuanes al mes más configuración y mantenimiento. Cloudflare Tunnel elimina ese coste; CDN y DDoS de Cloudflare van incluidos.

Frente a ngrok (muy popular en el extranjero):

La versión gratuita da un dominio aleatorio que cambia al reiniciar y limita el tráfico. Dominio propio implica plan de pago. Cloudflare Tunnel es gratis, dominio personalizado y tráfico ilimitado.

Frente a Tailscale/ZeroTier (red P2P):

Son redes virtuales privadas con otro enfoque. Van mejor para conectar tus dispositivos entre sí. Para publicar un sitio accesible a cualquiera, Tailscale encaja peor. Cloudflare Tunnel encaja en publicar servicios hacia fuera.

En resumen: gratis, seguro y sencillo.

No es perfecto: desde China la velocidad es moderada porque los nodos CDN están sobre todo fuera; la latencia sube y a veces hay cortes. Si tu audiencia es sobre todo nacional o necesitas tiempo real estricto, evalúa otras opciones. Para uso personal y escenarios no críticos en latencia, basta.

2. Preparación: ¿qué necesitas?

Antes de configurar, confirma lo siguiente. Casi todo es gratuito.

1. Cuenta de Cloudflare (gratuita)

Regístrate en cloudflare.com. Si ya usas DNS o CDN de Cloudflare, reutiliza esa cuenta.

2. Un dominio propio

Es lo único que cuesta un poco. Necesitas un dominio delegado en Cloudflare.

Alibaba Cloud - Opción preferida para desarrolladores, 15 % de descuento exclusivo en Lighthouse

Obtener 15% dto. →Anuncio

¿Por qué dominio? Cloudflare Tunnel enruta por nombre; al visitar nas.tudominio.com, Cloudflare sabe a qué túnel enviar la petición.

Un .com o .top en Alibaba Cloud o Tencent Cloud cuesta unas decenas de yuanes al año. Luego cambias los DNS a Cloudflare (hay tutoriales claros).

Ventaja extra: al delegar el dominio en Cloudflare aprovechas CDN y firewall sin coste adicional.

3. Plan gratuito de Cloudflare Zero Trust

Cloudflare Tunnel forma parte de Zero Trust; hay que activarlo.

El plan gratuito basta: hasta 50 usuarios (de sobra para uso personal).

Pasos:

1. Inicia sesión en la consola de Cloudflare
2. Menú izquierdo: Zero Trust
3. Elige el plan gratuito (Free Plan)
4. Vincula un método de pago (tarjeta o PayPal)

Puede generar dudas: ¿por qué tarjeta en un plan gratis?

Yo también dudé al principio, pero no cobran. Cloudflare lo pide para evitar abusos (registros masivos). Una tarjeta dual de banco chino sirve; en mi caso nunca hubo cargo.

4. Un dispositivo en red local

Debe cumplir dos cosas:

1. Estar conectado a Internet (obvio para el túnel)
2. Permanecer encendido (o al menos cuando necesites acceso)

Puede ser:

• PC de casa (Windows/Mac/Linux)
• NAS (Synology, QNAP, etc.; con Docker es más cómodo)
• Raspberry Pi u otra placa
• Router software

Yo lo ejecuto en el NAS con Docker; muy cómodo.

5. Servicio interno a exponer

Algo que quieras publicar hacia fuera, por ejemplo:

• Panel web del NAS (puertos 5000, 5001 habituales)
• Home Assistant (puerto 8123)
• Blog o sitio propio (80, 8080, etc.)
• SSH (puerto 22)

Necesitas la IP y el puerto internos, por ejemplo 192.168.1.100:5000.

En resumen suena a mucho, pero solo el dominio cuesta dinero; el resto es gratuito.

3. Configuración práctica: montar tu Tunnel paso a paso

Tres fases: crear el Tunnel, instalar cloudflared, configurar el dominio. En la práctica va rápido.

Paso 1: Crear el Tunnel en la consola de Cloudflare

1. Inicia sesión y entra en la consola Zero Trust
2. Menú izquierdo: Networks → Connectors → Cloudflare Tunnels
3. Create a tunnel
4. Tipo de conector: Cloudflared (por defecto)
5. Pon un nombre al Tunnel

Usa un nombre claro (home-nas, dev-server) para gestionar varios túneles después.

Tras Save tunnel, Cloudflare genera un Token.

Importante: guarda el Token. Es la clave del Tunnel; lo usarás al instalar cloudflared. Copia la cadena larga o deja la página abierta.

Paso 2: Instalar el daemon cloudflared

Depende del sistema; aquí destaco Docker (lo más simple).

Opción 1: Docker (recomendado)

Si tu dispositivo tiene Docker (NAS, Linux, etc.):

docker run -d --restart=always \
  --name cloudflared \
  cloudflare/cloudflared:latest \
  tunnel --no-autoupdate run --token <TU_TOKEN>

Sustituye <TU_TOKEN> por el token copiado.

En segundos el contenedor arranca. --restart=always hace que el Tunnel se recupere tras reiniciar el equipo.

Opción 2: Instalación directa en Linux

Ejemplo Ubuntu/Debian:

# Descargar paquete
wget https://github.com/cloudflare/cloudflared/releases/latest/download/cloudflared-linux-amd64.deb
# Instalar
sudo dpkg -i cloudflared-linux-amd64.deb
# Ejecutar Tunnel
sudo cloudflared service install <TU_TOKEN>

En CentOS/RHEL cambia .deb por .rpm.

Opción 3: Windows

Descarga el MSI:

https://github.com/cloudflare/cloudflared/releases/latest/download/cloudflared-windows-amd64.msi

Instala y, como administrador en CMD:

cloudflared.exe service install <TU_TOKEN>

Opción 4: macOS

Con Homebrew:

brew install cloudflared
cloudflared service install <TU_TOKEN>

Tras instalar, revisa la consola de Cloudflare. Si el estado del Tunnel es HEALTHY, el túnel cifrado está activo.

Railway - Plataforma de despliegue moderna, sin ops complejas, en producción en minutos

Empezar ahora →Anuncio

Paso 3: Configurar el hostname público (Public Hostname)

El túnel existe, pero Cloudflare debe saber adónde enviar el tráfico: «cuando visiten nas.tudominio.com, reenvía a 192.168.1.100:5000».

En la misma página del Tunnel:

1. Pestaña Public Hostname
2. Add a public hostname
3. Rellena:
   • Subdomain: por ejemplo nas → nas.tudominio.com
   • Domain: elige tu dominio (debe estar en Cloudflare)
   • Path: suele dejarse vacío salvo rutas como /api
   • Type: HTTP
   • URL: dirección interna, p. ej. http://192.168.1.100:5000

¿Por qué HTTP y no HTTPS en el origen?

Cloudflare aplica HTTPS al visitante:

• Visitante → Cloudflare: HTTPS (certificado automático)
• Cloudflare → servicio interno: por túnel cifrado

Aunque el servicio interno no tenga HTTPS, el usuario accede cifrado. Ahorras gestionar certificados en casa.

Save hostname y queda activo.

Paso 4: Comprobar el acceso

Abre el navegador en https://nas.tudominio.com.

Si todo va bien, verás el servicio interno. El candado en la barra de direcciones confirma HTTPS válido.

La primera vez puede tardar unos minutos (propagación DNS). Si falla:

1. Espera 5-10 minutos
2. Comprueba que el Tunnel esté HEALTHY
3. Verifica el servicio en la red local (http://192.168.1.100:5000)

Un Tunnel, varios subdominios

Puedes añadir varios hostnames públicos:

• nas.midominio.com → http://192.168.1.100:5000 (NAS)
• blog.midominio.com → http://192.168.1.100:8080 (blog)
• ha.midominio.com → http://192.168.1.101:8123 (Home Assistant)

No hace falta un Tunnel por servicio.

4. Configuración avanzada y buenas prácticas

Gestionar varios servicios con archivo de configuración

El panel sirve para pocos servicios. Con muchos, o si quieres versionar la config, usa config.yml:

tunnel: <UUID_de_tu_Tunnel>
credentials-file: /path/to/<UUID>.json
ingress:
  - hostname: nas.tudominio.com
    service: http://192.168.1.100:5000
  - hostname: blog.tudominio.com
    service: http://192.168.1.100:8080
  - hostname: ha.tudominio.com
    service: http://192.168.1.101:8123
  - service: http_status:404

La regla final http_status:404 es obligatoria y debe ir al final.

Arranque:

cloudflared tunnel --config /path/to/config.yml run

La config queda clara y puede ir a Git (¡no subas el Token!).

SSH y RDP

No solo HTTP: también SSH, RDP, etc.

Ejemplo SSH en config.yml:

- hostname: ssh.tudominio.com
  service: ssh://localhost:22

En tu PC local:

# Configurar SSH
cat >> ~/.ssh/config << EOF
Host ssh.tudominio.com
  ProxyCommand cloudflared access ssh --hostname %h
EOF
# Conectar
ssh [email protected]

RDP (escritorio remoto Windows): mismo esquema con rdp://.

Los puertos SSH/RDP no quedan expuestos en Internet.

Reforzar con Cloudflare Access

Con la config básica, quien conozca el dominio puede entrar. Para un NAS o panel sensible, añade autenticación con Cloudflare Access.

1. Zero Trust → Access → Applications
2. Add an application → Self-hosted
3. Datos de la aplicación:
   • Application name: p. ej. “My NAS”
   • Application domain: p. ej. nas.tudominio.com
4. Política de autenticación:
   • Lista blanca de correos
   • OAuth Google/GitHub
   • MFA

Tras configurarlo, al visitar nas.tudominio.com aparece primero el login de Cloudflare.

Gratis para uso personal; recomendable en servicios sensibles.

Rendimiento y monitorización

Estado del Tunnel en Zero Trust → Tunnels:

• Online (HEALTHY o DOWN)
• Estadísticas de tráfico
• Clientes conectados

Si pasa a DOWN, suele ser corte de red o apagado del equipo; revisa el proceso cloudflared.

Logs con Docker: docker logs cloudflared.

Errores frecuentes:

• Token inválido: revisa la copia
• Fallo de conexión: comprueba el servicio interno
• Error de certificado: suele resolverse en minutos

Actualizar cloudflared:

docker pull cloudflare/cloudflared:latest
docker restart cloudflared

Cloudflare garantiza compatibilidad roughly del último año; conviene actualizar de vez en cuando.

5. Preguntas frecuentes y precauciones

Velocidad y estabilidad

Desde China la velocidad no es alta.

Vultr - Servidor cloud NVMe de alto rendimiento, 32 ubicaciones globales, despliegue Docker con un clic

Ver precios →Anuncio

En mis pruebas:

• Latencia: 300-800 ms
• Ancho de banda: 1-5 MB/s según hora y región
• Estabilidad: cortes breves ocasionales; en general aceptable

Los nodos CDN están sobre todo fuera; el tráfico desde China da rodeo. Usuarios gratuitos tienen menor prioridad en horas punta.

Adecuado para:

• Acceso ocasional al NAS
• Mostrar proyectos a amigos
• SSH remoto

Poco adecuado para:

• Streaming
• Servidores de juegos
• Transferencias grandes frecuentes
• Producción orientada a usuarios en China

Si la velocidad importa: frp con servidor en China o Tailscale.

Seguridad

Cloudflare Tunnel es seguro:

• HTTPS de extremo a extremo
• Sin puertos de entrada abiertos
• Zero Trust: denegar por defecto
• Protección DDoS de Cloudflare

Aun así no expongas a lo loco:

1. No expongas bases de datos (MySQL, Redis, etc.)
2. Access en servicios sensibles (NAS, SSH, admin)
3. Revisa logs ante accesos raros
4. Parches en servicios internos; «estoy en LAN» no es excusa

Frente a abrir puertos en el router, Tunnel ya es mucho más seguro.

Limitaciones del plan gratuito

• Hasta 50 usuarios
• Tráfico ilimitado
• UDP no soportado (TCP sí)
• HTTP/3 QUIC no disponible en China de momento

Requisito: dominio delegado en Cloudflare. Sin eso, no hay Tunnel.

Comparativa de alternativas

Elige según tu caso; no hay una sola mejor opción.

Consejos prácticos

1. Subdominio corto

nas.tudominio.com se recuerda mejor que mynas.tudominio.com. Con dominio corto (abc.com), nas.abc.com es ideal.

2. Subdominios con significado

• nas. — NAS
• blog. — blog
• dev. — entorno de desarrollo
• ssh. — SSH

3. Respalda el Token

Guárdalo en un gestor de contraseñas (1Password, Bitwarden). Si se pierde, hay que recrear el Tunnel.

4. Alertas de estado

Webhook o correo cuando el Tunnel caiga: Zero Trust → Settings.

Conclusión

Cloudflare Tunnel es una solución gratuita, segura y sencilla de acceso remoto a la red local, ideal para desarrolladores individuales y servidores en casa. Sin IP pública, sin servidor en la nube, sin reenvío de puertos en el router; unos 30 minutos de configuración.

Ventajas principales:

• Gratis, tráfico ilimitado
• Arquitectura Zero Trust
• HTTPS y DDoS incluidos
• HTTP, SSH, RDP y más
• Varios servicios en un Tunnel

Limitaciones:

• Velocidad moderada desde China
• Cortes ocasionales
• Dominio obligatorio en Cloudflare
• Sin UDP

Para acceso ocasional propio o audiencia internacional, basta. Para producción en China o exigencias altas de velocidad, mira otras opciones.

Para la mayoría de usuarios personales, aprovechar la infraestructura de Cloudflare gratis ya es una muy buena opción. Yo perdí una tarde con frp y un VPS; con Tunnel lo tuve en diez minutos. Cuando lo pruebes, lo entenderás.

¡Pruébalo! Si tienes dudas, deja un comentario y responderé cuando pueda.