Cloudflare Tunnel : accéder en sécurité à vos services locaux sans IP publique

Impossible d’accéder aux fichiers du NAS à la maison, impossible de partager un lien pour montrer un projet local — la cause est souvent la même : pas d’IP publique. Les opérateurs ne la fournissent pas, la facturent en option, ou imposent une IP dynamique avec DDNS peu fiable. frp, ngrok et autres solutions exigent un serveur cloud ou imposent des limites sévères en gratuit.

Cloudflare Tunnel est entièrement gratuit, sans IP publique ni serveur cloud, sans redirection de ports sur le routeur. HTTPS et protection DDoS Cloudflare sont inclus. Ce guide vous montre comment l’utiliser pour accéder à distance au NAS, présenter un projet local ou vous connecter en SSH — en environ 30 minutes.

I. Qu’est-ce que Cloudflare Tunnel ? Pourquoi le choisir ?

À quoi sert le tunnel vers le réseau local ?

En conditions normales, vos appareils à la maison sont sur un réseau privé (ex. 192.168.1.100). Ils communiquent entre eux, mais l’extérieur ne peut pas entrer. Pour accéder au NAS depuis le bureau ou un café, il faut un « pont » entre réseau local et Internet.

La solution classique est la redirection de ports sur le routeur. Mais cela suppose une IP publique — souvent absente sur la fibre résidentielle, ou bloquée derrière un NAT opérateur.

Le tunnel résout ce problème : exposer un service interne sans IP publique.

Principe de fonctionnement

Cloudflare Tunnel ne « perce pas de l’extérieur » : la connexion part de l’intérieur vers l’extérieur.

1. Vous exécutez cloudflared (démon) sur un appareil du réseau local
2. Il se connecte au réseau Cloudflare et établit un tunnel chiffré
3. Quand quelqu’un visite votre domaine (ex. nas.yourdomain.com), la requête passe d’abord par le CDN Cloudflare
4. Cloudflare transmet la requête à votre service via le tunnel
5. La réponse repart par le même chemin

Votre service reste « invisible » : aucun port ouvert, pas d’IP publique, une seule connexion sortante chiffrée. C’est l’approche Zero Trust : aucune confiance par défaut, trafic authentifié et chiffré.

Métaphore : une ligne dédiée entre chez vous et Cloudflare ; seul vous l’utilisez, personne ne localise votre serveur.

Pourquoi j’ai choisi Cloudflare Tunnel

J’ai testé plusieurs solutions ; voici mon comparatif.

Comparé à frp :
frp est efficace, mais exige un serveur cloud avec IP publique — coût mensuel, configuration et maintenance. Cloudflare Tunnel supprime ce coût ; CDN et DDoS sont inclus.

Comparé à ngrok :
En gratuit, domaine aléatoire qui change au redémarrage et quota de trafic. Domaine personnalisé = payant. Cloudflare Tunnel : gratuit, domaine personnalisé, trafic illimité.

Comparé à Tailscale/ZeroTier (P2P) :
Réseau virtuel pour interconnecter vos appareils. Moins adapté pour publier un site public. Cloudflare Tunnel vise la publication de services vers l’extérieur.

En trois mots : gratuit, sécurisé, simple.

Limites : vitesse depuis la Chine modérée (nœuds surtout à l’étranger, latence et coupures occasionnelles). Pour un usage personnel non temps réel, largement suffisant.

II. Préparation : de quoi avez-vous besoin ?

1. Compte Cloudflare (gratuit)

Inscrivez-vous sur cloudflare.com. Si vous utilisez déjà DNS ou CDN Cloudflare, réutilisez le même compte.

2. Un nom de domaine

Seul poste payant. Le domaine doit être hébergé chez Cloudflare : le trafic est routé par nom (ex. nas.yourdomain.com).

Un .com ou .top coûte peu chez les registrars chinois ; pointez ensuite les serveurs DNS vers Cloudflare (tutoriel détaillé côté Cloudflare). Bonus : CDN et pare-feu Cloudflare inclus.

Railway - Plateforme de déploiement moderne, sans opérations complexes, en ligne en quelques minutes

Commencer →Pub

3. Plan Zero Trust gratuit

Cloudflare Tunnel fait partie de Zero Trust. Le plan gratuit suffit (jusqu’à 50 utilisateurs).

Étapes :

1. Connexion à la console Cloudflare
2. Menu Zero Trust
3. Choisir le plan gratuit (Free Plan)
4. Lier un moyen de paiement (carte ou PayPal)

Pas de débit en pratique : mesure anti-abus. Carte binaire internationale acceptée ; aucun prélèvement constaté de mon côté.

4. Un appareil sur le réseau local

Conditions :

1. Connecté à Internet
2. Allumé en permanence (ou quand vous en avez besoin)

Exemples : PC (Windows/Mac/Linux), NAS (Synology, QNAP avec Docker), Raspberry Pi, routeur logiciel. Personnellement, je fais tourner cloudflared en Docker sur le NAS.

5. Le service à exposer

Exemples :

• Interface web du NAS (ports 5000, 5001)
• Home Assistant (8123)
• Blog ou site perso (80, 8080)
• SSH (22)

Notez IP interne et port, ex. 192.168.1.100:5000.

Seul coût réel : le domaine. Le reste est gratuit.

III. Configuration pas à pas

Trois grandes étapes : créer le Tunnel, installer cloudflared, configurer le domaine. En pratique, c’est rapide.

Étape 1 : Créer un Tunnel dans la console Cloudflare

1. Connexion → console Zero Trust
2. Networks → Connectors → Cloudflare Tunnels
3. Create a tunnel
4. Type de connecteur : Cloudflared (par défaut)
5. Nommez le Tunnel (home-nas, dev-server, etc.)

Après Save tunnel, Cloudflare génère un Token.

Important : conservez ce Token — clé du Tunnel, nécessaire à l’installation de cloudflared. Copiez la longue chaîne affichée ou gardez la page ouverte.

Étape 2 : Installer cloudflared

Option 1 : Docker (recommandé)

Sur NAS ou serveur Linux :

docker run -d --restart=always \
  --name cloudflared \
  cloudflare/cloudflared:latest \
  tunnel --no-autoupdate run --token <VOTRE_TOKEN>

Remplacez <VOTRE_TOKEN>. --restart=always relance le conteneur après redémarrage.

Option 2 : Installation Linux directe

Ubuntu/Debian :

# Télécharger le paquet
wget https://github.com/cloudflare/cloudflared/releases/latest/download/cloudflared-linux-amd64.deb
# Installer
sudo dpkg -i cloudflared-linux-amd64.deb
# Lancer le Tunnel
sudo cloudflared service install <VOTRE_TOKEN>

CentOS/RHEL : remplacez .deb par .rpm.

Option 3 : Windows

MSI :
https://github.com/cloudflare/cloudflared/releases/latest/download/cloudflared-windows-amd64.msi

Installez, puis en administrateur (CMD) :

cloudflared.exe service install <VOTRE_TOKEN>

Option 4 : macOS

brew install cloudflared
cloudflared service install <VOTRE_TOKEN>

Retournez dans la console : statut HEALTHY = tunnel établi.

Étape 3 : Configurer le hostname public (Public Hostname)

Indiquez à Cloudflare où router le trafic, ex. nas.yourdomain.com → 192.168.1.100:5000.

1. Onglet Public Hostname
2. Add a public hostname
3. Renseignez :
   • Subdomain : ex. nas → nas.yourdomain.com
   • Domain : votre domaine (déjà chez Cloudflare)
   • Path : vide sauf besoin de préfixe (/api)
   • Type : HTTP
   • URL : http://IP_interne:port, ex. http://192.168.1.100:5000

Pourquoi HTTP et pas HTTPS côté service ? Cloudflare fournit HTTPS automatiquement :

• Visiteur → Cloudflare : HTTPS (certificat auto)
• Cloudflare → service interne : tunnel chiffré

Même sans HTTPS local, l’utilisateur est chiffré de bout en bout.

Vultr - Serveur cloud NVMe haute performance, 32 emplacements mondiaux, déploiement Docker en un clic

Voir les tarifs →Pub

Save hostname : la config est active.

Étape 4 : Vérifier l’accès

Ouvrez https://nas.yourdomain.com. Le cadenas confirme le certificat.

Première fois : attendez quelques minutes (propagation DNS). En cas d’échec :

1. Attendre 5-10 minutes
2. Vérifier le statut HEALTHY
3. Tester le service en local (http://192.168.1.100:5000)

Plusieurs hostnames par Tunnel

Exemple :

• nas.mydomain.com → http://192.168.1.100:5000 (NAS)
• blog.mydomain.com → http://192.168.1.100:8080 (blog)
• ha.mydomain.com → http://192.168.1.101:8123 (Home Assistant)

Un seul Tunnel pour plusieurs services.

IV. Configuration avancée et bonnes pratiques

Fichier de configuration pour plusieurs services

Pour beaucoup de services ou la gestion en version control, utilisez config.yml :

tunnel: <UUID_DU_TUNNEL>
credentials-file: /path/to/<UUID>.json
ingress:
  - hostname: nas.yourdomain.com
    service: http://192.168.1.100:5000
  - hostname: blog.yourdomain.com
    service: http://192.168.1.100:8080
  - hostname: ha.yourdomain.com
    service: http://192.168.1.101:8123
  - service: http_status:404

La règle http_status:404 en dernier est obligatoire (filet de sécurité).

Lancement :

cloudflared tunnel --config /path/to/config.yml run

Configuration plus claire ; versionnable en Git (ne commitez pas le Token).

SSH et RDP

Exemple SSH dans config.yml :

- hostname: ssh.yourdomain.com
  service: ssh://localhost:22

Sur le PC local :

# Configurer SSH
cat >> ~/.ssh/config << EOF
Host ssh.yourdomain.com
  ProxyCommand cloudflared access ssh --hostname %h
EOF
# Connexion
ssh [email protected]

RDP : même principe avec rdp://. Ports SSH/RDP non exposés sur Internet.

Renforcer avec Cloudflare Access

Sans Access, quiconque connaît l’URL peut accéder au service. Pour un NAS ou une admin, ajoutez une authentification.

1. Zero Trust → Access → Applications
2. Add an application → Self-hosted
3. Renseignez :
   • Application name : ex. « My NAS »
   • Application domain : ex. nas.yourdomain.com
4. Politique : liste blanche e-mail, OAuth Google/GitHub, MFA

Accès via la page de connexion Cloudflare avant le service. Gratuit — recommandé pour les services sensibles.

Performance et surveillance

Statut du Tunnel (console Zero Trust) :

• HEALTHY ou DOWN
• Statistiques de trafic
• Nombre de clients

Si DOWN : vérifiez réseau local et processus cloudflared.

Logs (Docker) : docker logs cloudflared

Erreurs fréquentes :

• Token invalide : recopiez-le
• Échec de connexion : service interne down ?
• Certificat : souvent résolu en quelques minutes

Mises à jour :

docker pull cloudflare/cloudflared:latest
docker restart cloudflared

Cloudflare garantit la compatibilité environ un an ; mettez à jour régulièrement.

V. Questions fréquentes et précautions

Vitesse et stabilité

Depuis la Chine, la vitesse n’est pas excellente.

Mesures personnelles :

🔥 Ne perdez plus des mois sur des produits sans demande ! Validez vos promesses SaaS avec Adsterra à petit budget →

Tester l'MVP →Pub

• Latence : 300-800 ms
• Débit : 1-5 Mo/s selon l’heure et la région
• Stabilité : coupures brèves occasionnelles

Causes : nœuds surtout à l’étranger, priorité moindre en gratuit aux heures de pointe.

Adapté : accès NAS occasionnel, démo de projet, SSH distant.

Peu adapté : streaming, jeux en ligne, gros transferts fréquents, production orientée Chine.

Alternatives si la vitesse compte : frp + cloud domestic, Tailscale P2P.

Sécurité

Cloudflare Tunnel est intrinsèquement sûr :

• HTTPS bout en bout
• Aucun port entrant
• Zero Trust par défaut
• Protection DDoS Cloudflare

Recommandations :

1. Ne pas exposer les bases de données (MySQL, Redis, etc.)
2. Access sur services sensibles (NAS, SSH, admin)
3. Surveiller les logs
4. Mettre à jour systèmes et applications internes

Bien plus sûr qu’un port ouvert sur Internet.

Limites du plan gratuit

• Jusqu’à 50 utilisateurs
• Trafic illimité
• UDP non supporté (TCP OK)
• HTTP/3 QUIC non disponible en Chine pour l’instant
• Domaine obligatoire, hébergé chez Cloudflare

Alternatives

Choisissez selon votre contexte ; aucune solution universelle.

Astuces pratiques

1. Sous-domaine court
nas.yourdomain.com se retient mieux que mynas.yourdomain.com.

2. Nommage cohérent

• nas. — NAS
• blog. — blog
• dev. — environnement de dev
• ssh. — SSH

3. Sauvegardez le Token
Dans un gestionnaire de mots de passe (1Password, Bitwarden). Perdu = recréer le Tunnel.

4. Alertes
Webhooks ou e-mails Cloudflare quand le Tunnel tombe (Settings dans Zero Trust).

Conclusion

Cloudflare Tunnel est une solution gratuite, sécurisée et simple de tunnel vers le réseau local, idéale pour développeurs solo et homelab. Pas d’IP publique, pas de serveur cloud, pas de redirection de ports — configuration en ~30 minutes.

Atouts :

• Gratuit, trafic illimité
• Architecture Zero Trust
• HTTPS et DDoS inclus
• HTTP, SSH, RDP, etc.
• Plusieurs services par Tunnel

Limites :

• Vitesse depuis la Chine modérée
• Coupures occasionnelles
• Domaine chez Cloudflare obligatoire
• Pas d’UDP

Pour un accès personnel occasionnel ou un public à l’étranger, c’est largement suffisant. Production domestique ou exigence de latence faible : autres options.

Après une après-midi avec frp et un VPS, Tunnel configuré en dix minutes — vous comprendrez le sentiment « j’aurais dû commencer par là ».

Essayez maintenant ; questions en commentaire, je répondrai.