很多个人站长与 Homelab 玩家常将 NAS、路由器后台或 Web 终端通过 DDNS 与端口映射直接暴露在公网上。
公网上充斥着自动化扫段脚本与漏洞扫描机器人。一旦 Web 程序存在未授权访问或注入漏洞，整个内网瞬间面临被渗透的风险。
Cloudflare Zero Trust Access 将企业级“零信任安全”概念带给个人开发者（免费提供 50 用户额度），在请求到达内网前前置一层强力的统一身份验证（SSO）防护门！
[!NOTE] 📌 核心速览（TL;DR / 快问快答）：
- 零信任核心机制：在流量触达内网前，Cloudflare 边缘强制拦截请求并弹出身份验证，通过者方可建立连接，攻击者连登录页面都无法触碰。
- 多 IdP 单点登录 (SSO)：支持 GitHub OAuth、Google Workspace、Microsoft Entra ID 或邮箱一次性验证码（One-Time PIN）。
- 与 Tunnel 强强联合：结合
cloudflared隧道，实现 0 端口暴露 + 0 公网 IP + 企业级身份鉴权全链路闭环。
🛠️ 配置 Cloudflare Access 三步实战
1. 配置身份提供商 (IdP)
登录 Cloudflare Zero Trust 控制台 -> 进入 Settings -> Authentication -> Login methods：
- 添加 GitHub 或 Google 作为认证源，或开启默认的 One-Time PIN (邮箱 6 位验证码)。
2. 创建受保护的应用程序 (Application)
在 Access -> Applications 点击 Add an Application -> 选择 Self-hosted：
- Application name：
HomeLab NAS - Application domain：
nas.yourdomain.com - Session Duration：设置登录有效期（如
24 hours）。
3. 配置访问策略 (Policy)
- Policy name：
Allow Admins - Action：
Allow - Configure rules (Include)：
Emails：填入你的私人邮箱（如[email protected]），或指定 GitHub 用户名。
- 保存后立即生效！
🔒 极致防护体验
配置完成后，任何外网访客打开 https://nas.yourdomain.com 时：
- 陌生访客和公网扫描器只会被拦截在简洁冷淡的 Cloudflare Access 统一登录门 之外，无法探测到内网真实服务的任何指纹。
- 管理员点击“使用 GitHub 登录”或输入邮箱验证码后，毫秒级无感放行进入内网服务。
❓ 常见问题与 AI 快问快答 (FAQ)
Q1: API 接口或客户端 App（如移动端 NAS App）如何绕过 Access 网页登录？
答：在 Access Policy 中为特定客户端创建 Service Tokens（服务令牌），或配置基于特定 IP CIDR 的 Bypass 绕行规则。
Q2: 自建海外 VPS 服务端如何搭配 Zero Trust 提升安全性？
答：在自建 DMIT 或 搬瓦工 等拥有 中国电信 CN2 GIA 或 联通 AS9929 专线 VPS 上部署面板服务时，将 Web 管理端口套上 Cloudflare Access，能彻底阻断 100% 的针对管理端口的主动探测。选购参考见 《2026 国外 VPS 选购指南》。
（相关资源导航：如果您需要购买部署云端服务的独立 VPS，欢迎阅读 《2026 国外 VPS 选购指南》 获取 DMIT、搬瓦工与 CloudCone 优惠；商用专线推荐见 《“饿饭CC云”深度评测》！）