OpenClaw WebUI：Cloudflare Access + Tunnel（VPS 部署方案）

当您需要一个**不直接暴露在公网**、但可通过**易记的公共 URL**（例如 openclaw.example.com）安全访问的服务时，请使用本方案。该方案通过 **Cloudflare Access 白名单**进行身份验证保护，并借助 **Cloudflare Tunnel** 将流量安全转发至本地服务（通常为 http://127.0.0.1:18789）。

前提假设

• OpenClaw WebUI 在 VPS 上可通过本地地址访问，如 http://127.0.0.1:18789（或您自定义的本地端口）。
• 您拥有 Cloudflare 中对应 DNS 区域（例如 example.com）的管理权限。
• VPS 或代理程序可访问 Cloudflare API Token，并已将其设为环境变量 CLOUDFLARE_API_TOKEN。
  • 推荐最小权限配置（Least Privilege）：Zone:DNS:Edit + Zone:Zone:Read（仅限目标 Zone）。
  • 这是本方案“对代理友好”的关键原因：代理可在不获取完整 Cloudflare 账户权限的前提下，安全地创建子域名及管理 DNS 记录。
• 您可登录 Cloudflare Zero Trust 控制台完成以下操作：
  • 为指定主机名创建一个 Access Application
  • 为特定邮箱地址创建一条 Allow 策略
  • 为 Everyone 创建一条 Block 策略
  • 创建一个 Tunnel 并获取其对应的 token

快速开始（复制粘贴即可）

0）可选：禁用 Tailscale Serve

若您此前已启用 Tailscale Serve 并希望停用：

sudo tailscale serve reset

1）安装并启动基于 token 的 cloudflared tunnel 服务

在 Cloudflare Zero Trust 控制台中：

• 导航至 Networks → Connectors → Tunnels → Create tunnel → Cloudflared
• 复制命令 cloudflared service install 中的 token

在 VPS 上执行：

./scripts/install_cloudflared.sh
sudo ./scripts/tunnel_service_install.sh ''

验证服务状态：

sudo systemctl is-active cloudflared
sudo systemctl status cloudflared --no-pager -l | sed -n '1,80p'

2）DNS 切换：将主机名指向 Tunnel

本步骤调用内置 DNS 辅助脚本（./scripts/cf_dns.py），自动完成以下操作：

• 查找并删除该主机名已存在的 A / AAAA / CNAME 记录
• 创建一条代理模式（Proxied）的 CNAME 记录，指向 .cfargotunnel.com

前置条件（请先设置）：

export CLOUDFLARE_API_TOKEN='...'

2b）可选：由代理程序创建/更新子域名或 DNS 记录（代理友好型）

当您希望由具备最小 DNS 权限的代理程序以编程方式创建记录时，请使用以下命令：

./scripts/dns_create_record.sh --zone example.com --type A --name openclaw --content 1.2.3.4 --proxied true
./scripts/dns_create_record.sh --zone example.com --type CNAME --name openclaw --content target.example.net --proxied true

./scripts/dns_point_hostname_to_tunnel.sh 
  --zone example.com 
  --hostname openclaw.example.com 
  --tunnel-uuid 

3）在 Cloudflare Zero Trust 控制台中：绑定主机名与后端服务

在 Tunnel 设置中：

• 添加 Public Hostname：
  • Hostname：openclaw.example.com
  • Service：http://127.0.0.1:18789

4）配置 Cloudflare Access 策略

在 Zero Trust 控制台中：

• Access → Applications → Add → Self-hosted
  • Public hostname：openclaw.example.com
• 策略配置（Policies）：
  1. Allow：添加指定邮箱地址（即您的白名单）
  2. Block：添加 Everyone（确保默认拒绝）

注意事项 / 常见陷阱

• 若 Tunnel 的 “Route traffic” 向导报错 “record already exists”，说明存在 DNS 冲突。您可选择：
  • 手动删除已有 DNS 记录，再让向导重新创建；或
  • 保留现有 DNS 记录不变，在 Tunnel 内部直接配置 Public Hostname 映射。
• 请确保主机名始终处于 **代理模式（Proxied，橙色云图标）**。Cloudflare Access 与 Tunnel 功能均依赖代理模式才能正常工作。

回滚操作

• DNS 层面：将主机名重新指向源站 A 记录（或直接删除该 DNS 记录）。
• VPS 层面：sudo systemctl disable --now cloudflared。