部署在Cloudflare Tunnel后的Blazor Server应用无法运行

Cloudflare Tunnel 配置验证 #

• 确认WebSocket支持启用：检查Cloudflare Tunnel配置文件（如config.yml）无禁用WebSocket的参数，同时在Cloudflare Dashboard中，确保域名规则未拦截Upgrade、Connection等WebSocket握手关键请求头。
• 验证代理头传递：Blazor Server依赖X-Forwarded-For、X-Forwarded-Proto等头识别代理请求，需确保Cloudflare Tunnel未剥离这些头。可在应用中添加中间件打印请求头，对比直接访问与Tunnel访问的头差异。
• 调整SSL/TLS模式：避免使用Flexible模式，切换至Full或Strict模式，保证端到端TLS加密，适配SignalR的安全要求。

Blazor Server 应用配置调试 #

• 配置SignalR与代理支持：在Program.cs中添加代理头处理与SignalR详细错误配置，确保UseForwardedHeaders在UseRouting之前调用：

  builder.Services.AddSignalR(options =>
  {
      options.EnableDetailedErrors = true;
  });
  
  app.UseForwardedHeaders(new ForwardedHeadersOptions
  {
      ForwardedHeaders = ForwardedHeaders.XForwardedFor | ForwardedHeaders.XForwardedProto
  });
  

• 启用详细日志：在appsettings.json中开启SignalR与连接相关的Debug级日志，排查StartCircuit请求的具体缺失信息：

  {
    "Logging": {
      "LogLevel": {
        "Microsoft.AspNetCore.SignalR": "Debug",
        "Microsoft.AspNetCore.Http.Connections": "Debug"
      }
    }
  }
  

• 检查Cookie传递：确认.AspNetCore.CircuitId Cookie能通过Tunnel正常传递，查看浏览器开发者工具中Cookie的Domain、Path配置是否正确，避免因Cookie丢失导致Circuit状态异常。

网络与请求层面排查 #

• 对比浏览器请求差异：在开发者工具Network标签下，对比直接访问与Tunnel访问时StartCircuit请求的头、响应体差异，重点检查Origin、Sec-WebSocket-Key等头是否被修改或移除。
• 独立测试WebSocket连接：使用wscat工具直接测试Tunnel地址的WebSocket连接，命令示例：

  wscat -c wss://你的隧道域名/_blazor?id=你的CircuitID
  

  对比直接访问的连接结果，验证Tunnel是否正确转发WebSocket流量。
• 排查防火墙规则：临时禁用Cloudflare Dashboard中的防火墙规则，测试是否因规则拦截导致请求失败，逐步排查具体拦截规则。

Cloudflared 客户端调试 #

• 开启调试日志：启动cloudflared时添加--loglevel debug参数，查看日志中WebSocket请求的转发细节，定位是否存在转发错误或头修改问题。
• 升级cloudflared版本：旧版本可能存在WebSocket转发bug，升级至最新稳定版本后重新测试。

内容的提问来源于stack exchange，提问作者Nicholas Irving