# 使用 Cloudflare Tunnel 在 EC2 上部署应用程序 ## 快速入门 ### 配置和部署 # 获取VPC和子网 VPC_ID=$(aws ec2描述-vpcs --filters "Name=isDefault,Values=true" --query 'Vpcs[0].VpcId' --输出文本) SUBNET_ID=$(aws ec2 describe-subnets --filters "Name=vpc-id,Values=$VPC_ID" "Name=map-public-ip-on-launch,Values=true" --query 'Subnets[0].SubnetId' --output text) # 创建安全组 SG_ID=$(aws ec2 create-security-group --group-name app-sg --description "应用程序部署的安全组" --vpc-id $VPC_ID --query 'GroupId' --output text) aws ec2 授权安全组入口 --group-id $SG_ID --协议 tcp --端口 22 --cidr 0.0.0.0/0 # 启动实例 AMI_ID=$(aws ec2 描述图像 --owners amazon --filters "Name=name,Values=al2023-ami-2023*-x86_64" "Name=state,Values=available" --query 'sort_by(Images, &CreationDate)[-1].ImageId' --output text) INSTANCE_ID=$(aws ec2 run-instances --image-id $AMI_ID --instance-type t3.small --key-name app-deploy-key --security-group-ids $SG_ID --subnet-id $SUBNET_ID --associate-public-ip-address --query 'Instances[0].InstanceId' --output text) ## 先决条件 * AWS CLI 配置了适当的权限（EC2、VPC） * 配置了域的 Cloudflare 帐户 * 具有 Dockerfile 的 Docker 兼容应用程序 * 来自零信任仪表板的 Cloudflare Tunnel 令牌 ## 基础设施设置 ### 1\.专有网络资源 # 获取默认VPC VPC_ID=$(aws ec2 描述-vpcs --filters "Name=isDefault,Values=true" \ --query 'Vpcs[0].VpcId' --输出文本) # 获取公有子网 SUBNET_ID=$(aws ec2 描述子网 \ --filters“名称=vpc-id，值=$VPC_ID”“名称=map-public-ip-on-launch，值=true”\ --query 'Subnets[0].SubnetId' --输出文本) ### 2\.安全组 # 创建安全组 - 仅需要 SSH 进行管理 # Cloudflare Tunnel 处理所有入站流量 SG_ID=$(aws ec2 创建安全组 \ --group-name app-sg \ --description“应用程序部署的安全组”\ --vpc-id $VPC_ID \ --查询'GroupId' --输出文本） # 允许 SSH 访问（限制为生产环境中的 IP） aws ec2 授权安全组入口 \ --group-id $SG_ID \ --协议 tcp --端口 22 --cidr 0.0.0.0/0 **关键见解：** 使用 Cloudflare Tunnel，您无需打开端口 80/443。该隧道创建到 Cloudflare 的出站连接，消除入站攻击面。 ### 3\. SSH 密钥对 # 生成本地密钥 ssh-keygen -t ed25519 -f ~/.ssh/app-deploy-key -N“”-C“应用程序部署” # 导入到AWS aws ec2 导入密钥对 \ --key-name 应用程序部署密钥 \ --public-key-material fileb://~/.ssh/app-deploy-key.pub **重要提示：** 创建后切勿删除 SSH 密钥 - 您将被锁定在实例之外。 ### 4\.启动 EC2 实例 # 获取最新的 Amazon Linux 2023 AMI AMI_ID=$(aws ec2 描述图像 --owners amazon \ --filters "名称=名称，值=al2023-ami-2023*-x86_64" "名称=状态，值=可用" \ --query 'sort_by(Images, &CreationDate)[-1].ImageId' --输出文本) # 启动实例 INSTANCE_ID=$(aws ec2 运行实例 \ --image-id $AMI_ID \ --实例类型 t3.small \ --key-name 应用程序部署密钥 \ --安全组-ids $SG_ID \ --子网 ID $SUBNET_ID \ --关联公共 IP 地址 \ --tag-specations 'ResourceType=instance,Tags=[{Key=Name,Value=my-app}]' \ --query 'Instances[0].InstanceId' --输出文本) # 等待实例并获取IP aws ec2 等待实例运行 --instance-ids $INSTANCE_ID PUBLIC_IP=$(aws ec2 描述实例 --instance-ids $INSTANCE_ID \ --query 'Reservations[0].Instances[0].PublicIpAddress' --输出文本) ### 实例大小调整实例类型 |使用案例 ---|--- `t3.micro` |简单的静态站点，最少的 API `t3.小` |标准 Web 应用程序、Node.js/Python 服务 `t3.medium` |具有构建步骤、多个容器的应用程序 ## 应用程序部署 ### 安装 Docker # 等待 SSH 准备就绪（实例运行后 30-60 秒）睡觉 45 # 安装 Docker ssh -i ~/.ssh/app-deploy-key ec2-user@$PUBLIC_IP \ “sudo dnf install -y docker git && \ sudo systemctl启用--now docker && \ sudo usermod -aG docker ec2-用户” ### 部署应用程序 # 克隆并构建应用程序 ssh -i ~/.ssh/app-deploy-key ec2-user@$PUBLIC_IP \ “git 克隆应用程序 && \ 光盘应用程序 && \ echo 'ENV_VAR=值' > .env" # 构建并运行容器 ssh -i ~/.ssh/app-deploy-key ec2-user@$PUBLIC_IP \ “cd 应用程序 && \ sudo docker build -t myapp:latest 。 && \ sudo docker run -d --name myapp --restart except-stopped -p 80:80 myapp:latest" ### 生产 Dockerfile 模式 FROM节点：20-alpine AS构建器工作目录/应用程序复制包*.json ./ 运行 npm ci 复制。。 ARG VITE_API_KEY ENV VITE_API_KEY=$VITE_API_KEY RUN npm 运行构建来自 nginx:alpine 复制 --from=builder /app/dist /usr/share/nginx/html 曝光 80 CMD [“nginx”，“-g”，“守护进程关闭；”] **推理：** 多阶段构建可减少图像大小，并且在生产中不包含构建工具。 ## Cloudflare 隧道配置 ### 安装 cloudflared ssh -i ~/.ssh/app-deploy-key ec2-user@$PUBLIC_IP \ “curl -fsSL https://pkg.cloudflare.com/cloudflared.repo | \ sudo tee /etc/yum.repos.d/cloudflared.repo && \ sudo yum install -y cloudflared" ### 将隧道安装为服务 # 使用 Cloudflare 零信任仪表板中的令牌 ssh -i ~/.ssh/app-deploy-key ec2-user@$PUBLIC_IP \ “sudo cloudflared 服务安装 ” **推理：** 作为 systemd 服务安装可确保隧道在重新启动时自动启动并在失败时重新启动。 ### 验证隧道连接 ssh -i ~/.ssh/app-deploy-key ec2-user@$PUBLIC_IP \ “sudo systemctl 状态 cloudflared” 查找：“注册隧道连接”消息（应该看到 4 个连接表示健康的隧道）。 ## DNS 配置 ### Cloudflare 仪表板方法在 Cloudflare 零信任仪表板中： 1. 导航到 **网络 → 隧道** 2. 选择您的隧道 → **公共主机名** 选项卡 3. 添加主机名： * 子域名：`app` * 域名：`example.com` * 类型：`HTTP` * 网址：`本地主机：80` 这会自动创建指向“.cfargotunnel.com”的 CNAME 记录。 ### API方法 # 通过API创建DNS记录 curl -X POST“https://api.cloudflare.com/client/v4/zones/$ZONE_ID/dns_records”\ -H“授权：持有者$CF_API_TOKEN”\ -H“内容类型：application/json”\ --数据'{ “类型”：“CNAME”， “名称”：“应用程序”， "content": ".cfargotunnel.com", “代理”：真实 }' ## 验证 ### 测试部署 # 通过隧道进行测试（DNS 传播可能需要 1-2 分钟）卷曲-sI https://app.example.com/ # 检查容器日志 ssh -i ~/.ssh/app-deploy-key ec2-user@$PUBLIC_IP \ “sudo docker 日志 myapp” # 验证隧道健康状况 ssh -i ~/.ssh/app-deploy-key ec2-user@$PUBLIC_IP \ “须藤journalctl -u cloudflared -n 20” ### 成功标准 * 来自公共 URL 的 HTTP 200 响应 * 容器日志中没有错误 * 4个已注册的隧道连接 ## 输出文档创建一个输出文件以供将来参考： { "app_url": "https://app.example.com", "ec2_instance_id": "<实例 ID>", "ec2_public_ip": "<公共 IP>", "aws_region": "us-east-1", "ssh_command": "ssh -i ~/.ssh/app-deploy-key ec2-user@", "cloudflare_tunnel_id": "<隧道 ID>", “container_name”：“myapp” } ## 安全考虑 * **限制 SSH 访问** \- 使用特定的 IP 范围而不是 0.0.0.0/0 * **不需要公共端口** \- Cloudflare Tunnel 消除了对端口 80/443 的需要 * **旋转隧道令牌** \- 如果遭到破坏，请在 Cloudflare 仪表板中重新生成 * **使用秘密管理** \- 不要在 Dockerfiles 中硬编码 API 密钥；使用构建参数或运行时环境变量 * **启用 Cloudflare Access** \- 为敏感应用程序添加身份验证层 ## 故障排除问题 |诊断 |解决方案 ---|---|--- DNS 无法解析 | `挖掘@1.1.1.1 app.example.com` |等待传播或检查 CNAME 记录隧道未连接 |检查 `systemctl status cloudflared` |验证令牌，检查端口 7844 上的出站连接容器未启动 | `docker 记录 myapp` |检查Dockerfile、环境变量 502 网关错误 |隧道正在运行但应用程序没有响应 |验证容器正在侦听正确的端口 ## 参考文献 * [Cloudflare 隧道文档]() * [AWS EC2 用户指南]() * [Docker 多阶段构建]()

Cloudflare 隧道 Ec2 部署

包含技能