📘 תיעוד 284

נראות

Cloudflare Tunnel חושף יומנים, מדדים וכלי אבחון כדי לעזור לך לעקוב אחרי תקינות המנהרה ולפתור בעיות.

#תקינות המנהרה

אפשר לבדוק את סטטוס החיבור של המנהרה בלוח הבקרה של Cloudflare ↗︎ על ידי מעבר אל Networking > Tunnels, או על ידי הרצת cloudflared tunnel list.

מעבר אל Tunnels ↗

היקף סטטוס המנהרה

הסטטוס של המנהרה משקף רק את החיבור בין cloudflared לרשת של Cloudflare. הוא לא מציין אם cloudflared יכול להגיע לשירותים הפנימיים. מנהרה יכולה להופיע כ-Healthy בזמן שמשתמשים לא מצליחים להתחבר ליישום.

#התראות

מנהלי מערכת יכולים לקבל התראות כאשר מנהרות משנות סטטוס תקינות או סטטוס פריסה. אפשר למסור התראות בדוא"ל, ב-webhook, או בשירותי צד שלישי.

כדי להגדיר התראות למנהרה, ראו יצירת התראה.

#אירוע יצירה או מחיקה של מנהרה

למי זה מיועד?

לקוחות שרוצים לקבל התראה כאשר נוצרות או נמחקות מנהרות Cloudflare Tunnel בחשבון שלהם.

אפשרויות אחרות / מסננים

אין.

כלול ב

כל תוכניות Cloudflare Zero Trust.

מה כדאי לעשות אם מקבלים התראה כזו?

אין צורך בפעולה.

#התראת תקינות מנהרה

למי זה מיועד?

לקוחות שרוצים לקבל אזהרה על שינויים בסטטוס התקינות של מנהרות Cloudflare Tunnel שלהם.

אפשרויות אחרות / מסננים

אין.

כלול ב

כל תוכניות Cloudflare Zero Trust.

מה כדאי לעשות אם מקבלים התראה כזו?

עקבו אחרי תקינות המנהרה לאורך זמן, ושקלו לפרוס cloudflared בעותקים או מאזני עומסים.

מידע נוסף

ראו סטטוס מנהרה כדי לעיין ברשימת הסטטוסים האפשריים של מנהרה (Healthy, Inactive, Down ו-Degraded).

#יומנים

יומני המנהרה מתעדים את כל הפעילות בין cloudflared לרשת הגלובלית של Cloudflare, ואת כל הפעילות בין cloudflared לשרת המקור.

#יומנים בצד השרת

אם יש גישה לשרת המקור, אפשר להשתמש בדגל --loglevel כדי להפעיל תיעוד ביומן כשמפעילים את המנהרה. כברירת מחדל, cloudflared כותב יומנים אל שגיאת התקן (stderr) ולא שומר יומנים בשרת.

הערה

נדרשת גרסת cloudflared 2025.6.1 או חדשה יותר.

כדי לעצב כל שורת יומן כאובייקט JSON, הוסיפו --output json לפני run:

cloudflared tunnel --output json run <UUID>

הפורמט הזה שימושי לפריסות Kubernetes ולמערכות איסוף יומנים שצורכות JSON.

לתיעוד מתמשך שגרתי, הריצו את המנהרה עם --log-directory <PATH>. הדגל הזה כותב יומנים אל cloudflared.log בתיקייה שצוינה, מסובב את הקובץ כשהוא מגיע ל-1 MB, ושומר עד חמישה גיבויים. הוא לא מסיר יומנים לפי גיל.

cloudflared tunnel --loglevel info --log-directory <PATH> run <UUID>

השתמשו בדגל --logfile במקום זאת לסשנים קצרים של איתור תקלות, או כאשר כלי אחר מנהל את הסבב. cloudflared לא מסובב את הקובץ שצוין ב---logfile. אם מגדירים את שני הדגלים, --logfile מקבל עדיפות.

#הזרמת יומנים מרחוק

אפשר להזרים יומנים בזמן אמת ממנהרה שרצה, בלי גישת SSH לשרת.

דמון cloudflared יכול להזרים יומנים מכל מנהרה בחשבון אל שורת הפקודה המקומית. cloudflared חייב להיות מותקן גם במחשב המקומי וגם בשרת המקור.

1. במחשב המקומי, אמתו את cloudflared מול חשבון Cloudflare:

   העתק

   cloudflared tunnel login

2. הריצו cloudflared tail למנהרה מסוימת:

   העתק

   cloudflared tail <UUID>

   לתצוגה מובנית יותר של הודעת ה-JSON, אפשר להעביר את הפלט בצינור לכלים כמו jq ↗︎:

   העתק

   cloudflared tail --output=json <UUID> | jq .

3. אם מריצים כמה עותקים, אפשר לציין מאיזה עותק להזרים יומנים:

   העתק

   cloudflared tail --connector-id <REPLICA ID> <UUID>

   כדי למצוא את מזהה העותק, עברו אל Networking > Tunnels ובחרו את המנהרה. כל העותקים הפעילים מופיעים ברשימת Connectors בדף הסקירה של המנהרה. מזהה העותק הוא Connector ID.

#אפשרויות סינון יומנים

אפשר לסנן יומנים לפי סוג אירוע (--event), רמת אירוע (--level), או קצב דגימה (-sampling) כדי להקטין את נפח היומנים שמוזרמים מהמקור. זה עוזר להפחית את השפעת הביצועים על המקור, במיוחד כשהמקור בדרך כלל תחת עומס גבוה. לדוגמה:

cloudflared tail --level debug <UUID>

כדי להזרים יומני מנהרה מלוח הבקרה:

1. בלוח הבקרה של Cloudflare, עברו אל Networking > Tunnels ובחרו את המנהרה. מעבר אל Tunnels ↗
2. עברו ללשונית Live logs.
3. בחרו Live כדי להתחיל הזרמה.

#צפייה ביומנים של עותק

אם מריצים כמה מופעים של cloudflared לאותה מנהרה (ידועים גם כעותקים), יומנים מכל העותקים המחוברים מוזרמים אוטומטית ומקובצים לפי שם מארח, כך שקל לזהות איזו מכונת מארח יצרה כל רשומת יומן.

כדי לסנן את הזרם לעותקים מסוימים, בחרו את סמל Filter והרחיבו את המקטע Replicas. אפשר גם לסנן לפי Log Level ו-Event Type.

#יומני סשן רשת

יומני סשן רשת של Zero Trust מתעדים כל סשן רשת פרטית ש-Cloudflare מנתב למנהרה. סשנים שמנותבים אל Cloudflare Tunnel מדווחים על Offramp כ-TUNNEL. שני שדות מראים בדיוק לאן נשלח סשן:

אם מריצים כמה עותקים, השתמשו בשדות האלה כדי לאשר איזו מנהרה ואיזה עותק קיבלו תעבורה לסשן מסוים. כדי לחקור את העותק הזה לעומק, הזרימו את היומנים שלו עם cloudflared tail --connector-id <DESTINATION_REPLICA_ID> <TUNNEL_ID>.

יומני סשן רשת זמינים דרך Logpush.

#מדדים

מדדי מנהרה מציגים את התפוקה ואת השימוש במשאבים של Cloudflare Tunnel לאורך זמן. כשמריצים מנהרה, cloudflared מפעיל נקודת קצה למדדי Prometheus, שרת HTTP שחושף מדדים בפורמט Prometheus ↗︎. אפשר להשתמש בערכת הכלים של Prometheus במכונה מרוחקת כדי לאסוף נתוני מדדים משרת cloudflared.

#כתובת ברירת המחדל של שרת המדדים

בסביבות שאינן בקונטיינר, cloudflared מפעיל את שרת המדדים בכתובת 127.0.0.1:<PORT>/metrics, כאשר <PORT> הוא הפורט הפנוי הראשון בטווח 20241 עד 20245. אם כל הפורטים תפוסים, cloudflared נקשר לפורט אקראי. בסביבות קונטיינר (Docker, Kubernetes), כתובת ברירת המחדל היא 0.0.0.0:<PORT>/metrics.

כדי לקבוע את פורט ברירת המחדל, בדקו את יומני המנהרה בסביבות הזמן שבו המנהרה הופעלה. לדוגמה:

2024-12-19T21:17:58Z INF Starting metrics server on 127.0.0.1:20241/metrics

#הגדרת כתובת מותאמת אישית

כדי להגיש מדדים בכתובת IP ובפורט מותאמים אישית, בצעו את השלבים האלה במארח cloudflared:

1. הריצו את המנהרה באמצעות הדגל --metrics. לדוגמה,

   העתק

   cloudflared tunnel --metrics 127.0.0.1:60123 run my-tunnel

   הערה

   אם אתם מתכננים לאחזר מדדים ממכונה אחרת ברשת המקומית, החליפו את 127.0.0.1 בכתובת ה-IP הפנימית של שרת cloudflared (לדוגמה, 198.168.x.x). כדי להגיש מדדים בכל ממשקי הרשת הזמינים, השתמשו ב-0.0.0.0.

2. ודאו ששרת המדדים פועל על ידי מעבר אל http://localhost:60123/metrics. זה יעבוד רק אם הגדרתם כתובת IP של localhost (127.0.0.1 או 0.0.0.0).

עכשיו אפשר לייצא את המדדים אל Prometheus ואל Grafana כדי להציג ולשאול את הנתונים. עיינו במדריך Grafana לקבלת הוראות להתחלה עם הכלים האלה.

#מדדי cloudflared

#מדדי Prometheus

#מדדי זמן הריצה של Go

#יומני אבחון

Cloudflare Tunnel מייצר דוחות אבחון שאוספים נתונים ממופע cloudflared יחיד שרץ במכונה המקומית. לשם כך נדרשת גרסת cloudflared 2024.12.2 או מאוחרת יותר.

#יצירת אבחון

1. (Linux בלבד) כדי לכלול אבחון רשת ביומנים, אפשרו למשתמש cloudflared ליצור שקעי RAW ו-PACKET בלי הרשאות root:

   העתק

   sudo setcap cap_net_raw+ep /usr/bin/traceroute && sudo setcap cap_net_raw+ep /usr/bin/traceroute

   אם לא מגדירים את cap_net_raw, נתוני traceroute לא יהיו זמינים.

2. קבלו יומני אבחון:

   העתק

   cloudflared tunnel diag

   אם כמה מופעים של cloudflared רצים באותו מארח, ציינו את כתובת ה-IP והפורט של שרת המדדים עבור המופע שאתם רוצים לאבחן. לדוגמה:

   העתק

   cloudflared tunnel diag --metrics 127.0.0.1:20241

הפקודה הזו תציג את הסטטוס של כל משימת אבחון ותמקם קובץ cloudflared-diag-YYYY-MM-DDThh-mm-ss.zip בתיקיית העבודה.

#אבחון Docker

cloudflared קורא נתוני אבחון משרת מדדי המנהרה. כדי לקבל יומני אבחון, שרת המדדים חייב להיות חשוף מקונטיינר Docker ונגיש ממכונת המארח.

1. קבעו את פורט שרת המדדים עבור מופע cloudflared שרץ ב-Docker.

2. ודאו שהקונטיינר נפרס עם העברת פורטים מופעלת. תכונת האבחון תבקש מידע ממופע Docker באמצעות הפורט המקומי 20241, ולכן יש להעביר את פורט 20241 אל פורט הקונטיינר שהתקבל בשלב 1:

   העתק

   docker run -d -p 20241:<metrics_port> docker.io/cloudflare/cloudflared tunnel ...

3. ודאו שאפשר להגיע לכתובת שרת המדדים מסביבת מארח Docker:

   העתק

   curl localhost:20241/diag/tunnel

   הפקודה הזו אמורה להחזיר JSON:

   העתק

   {
     "tunnelID": "ef96b330-a7f5-4bce-a00e-827ce5be077f",
     "connectorID": "d236670a-9f74-422f-adf1-030f5c5f0523",
     "connections": [
       { "isConnected": true, "protocol": 1, "edgeAddress": "198.41.192.167"},
       {"isConnected": true, "protocol": 1, "edgeAddress": "198.41.200.113", "index": 1},
       {"isConnected": true, "protocol": 1, "edgeAddress": "198.41.192.47", "index": 2},
       {"isConnected": true, "protocol": 1, "edgeAddress": "198.41.200.73", "index": 3}
     ],
     "icmp_sources": ["192.168.1.243", "fe80::c59:bd4a:e815:ed6"]
   }

4. הריצו את האבחון באמצעות כתובת המדדים המקומית ומזהה קונטיינר Docker:

   העתק

   cloudflared tunnel diag --metrics localhost:20241 --diag-container-id=<containerID>

   לחלופין, אפשר לציין את שם הקונטיינר במקום את המזהה שלו:

   העתק

   cloudflared tunnel diag --metrics localhost:20241 --diag-container-id=<containerName>

   אם העברתם פורט מקומי אחר בשלב 2, החליפו את 20241 בפורט הזה.

   הרצת פקודת האבחון עם מזהה הקונטיינר מאפשרת ל-cloudflared לאסוף מידע מסביבת Docker, כגון יומנים ופרטי קונטיינר.

הפקודה הזו תציג את הסטטוס של כל משימת אבחון ותמקם קובץ cloudflared-diag-YYYY-MM-DDThh-mm-ss.zip בתיקיית העבודה.

#אבחון Kubernetes

תכונת האבחון תבקש נתונים משרת מדדי המנהרה באמצעות הפורטים 20241 עד 20245. תצטרכו להשתמש בהעברת פורטים כדי לאפשר למופע cloudflared המקומי להתחבר לשרת המדדים באחד מהפורטים האלה.

1. קבעו את פורט שרת המדדים של המנהרה.

2. הפעילו העברת פורטים:

   העתק

   kubectl port-forward <pod> <diagnostic_port>:<metrics_port>

   • <pod>: שם ה-pod שבו המנהרה רצה
   • <diagnostic_port> הוא כל פורט מקומי בטווח 20241 עד 20245.
   • <metrics_port> הוא פורט ה-pod של Kubernetes עבור מופע cloudflared שאתם רוצים לאבחן (התקבל בשלב 1).

   לדוגמה, אם הגדרתם את כתובת שרת המדדים ל-0.0.0.0:12345:

   העתק

   kubectl port-forward cloudflared-6d4897585b-r8kfz 20244:12345

   חיבורים שנעשים אל הפורט המקומי 20244 מועברים אל פורט 12345 של ה-pod שמריץ את המנהרה.

3. הריצו את האבחון:

   העתק

   cloudflared tunnel diag --diag-pod-id=<podID>

   אם ב-pod רצים כמה יישומים או שירותים ו-cloudflared אינו הראשון ב-pod, חובה לציין את מזהה הקונטיינר או את שמו:

   העתק

   cloudflared tunnel diag --diag-pod-id=<podID> --diag-container-id=<containerName>

הפקודה הזו תציג את הסטטוס של כל משימת אבחון ותמקם קובץ cloudflared-diag-YYYY-MM-DDThh-mm-ss.zip בתיקיית העבודה.

#תוכן קובץ האבחון

הארכיון cloudflared-diag-YYYY-MM-DDThh-mm-ss.zip מכיל את הקבצים המפורטים להלן. הנתונים בקובץ חלים על מופע cloudflared שמאובחן (diagnosee) או על המופע שהפעיל את האבחון (diagnoser). לדוגמה, אם המנהרה רצה בקונטיינר Docker, ה-diagnosee הוא מופע Docker וה-diagnoser הוא מופע המארח.

#הערות שוליים

1. אם קובץ היומן ריק, ייתכן שתצטרכו להגדיר את --loglevel ל-debug כשאתם מפעילים את המנהרה. הפרמטר --loglevel נדרש רק אם הרצתם את המנהרה מ-CLI באמצעות פקודת cloudflared tunnel run. הוא אינו נחוץ אם המנהרה רצה כשירות Linux/macOS או רצה ב-Docker/Kubernetes. ↩