求助：Cloudflare Tunnel暴露gRPC服务后无法连接问题

Cloudflare Tunnel 完全支持 gRPC 服务暴露，但需要严格遵循特定配置逻辑，以下是解决步骤：

1. 前置Cloudflare域名配置 #

• 登录Cloudflare控制台，进入你的域名「网络」设置页面：
  • 确保HTTP/2已启用（默认开启）
  • 开启gRPC开关（该选项默认可能关闭，必须打开才能路由gRPC请求）
• 确认域名SSL模式设置为「严格」或「灵活」（禁止设置为「关闭」，否则gRPC加密链路会中断）

2. 隧道的正确配置方式 #

命令行配置（cloudflared） #

1. 创建隧道：

   cloudflared tunnel create grpc-service-tunnel
   

2. 编辑~/.cloudflared/config.yml，写入 ingress 规则（核心是指定grpc服务协议）：

   tunnel: grpc-service-tunnel
   credentials-file: ~/.cloudflared/[你的隧道ID].json
   ingress:
     - hostname: grpc.yourdomain.com  # 替换为你的公网域名
       service: grpc://localhost:50051  # 替换为私有服务器上gRPC服务的监听地址+端口
     - service: http_status:404
   

3. 启动隧道：

   cloudflared tunnel run grpc-service-tunnel
   

Cloudflare控制台配置 #

在创建隧道并添加公共主机名时：

• 服务类型必须选择gRPC（而非HTTP/HTTPS/TCP）
• 私有服务地址填写grpc://[内网IP]:[gRPC端口]（比如grpc://127.0.0.1:50051）

3. 客户端连接注意事项 #

• 客户端必须通过HTTPS 443端口连接，示例地址：
  • grpc://grpc.yourdomain.com:443
  • 或直接使用https://grpc.yourdomain.com（gRPC客户端会自动识别HTTP/2协议）
• 禁止使用自定义端口，Cloudflare Tunnel仅在443端口处理gRPC over HTTP/2请求

4. 排查要点 #

• 先本地验证gRPC服务可用性：用grpcurl localhost:50051 list测试，确认服务正常响应
• 查看cloudflared运行日志，排查是否有端口不通、证书加载失败等错误
• 确保私有服务器防火墙允许cloudflared进程访问gRPC服务端口
• 不要尝试用TCP/Unix隧道转发gRPC，这类隧道不会处理gRPC所需的HTTP/2路由逻辑

内容的提问来源于stack exchange，提问作者DA-97