📘 תיעוד 157

פרמטרי מקור

פרמטרי מקור קובעים איך cloudflared שולח בקשות לשרת המקור של היישום שפרסמת.

#עדכון פרמטרי מקור

הסעיף הזה מתאר איך לעדכן פרמטרי מקור עבור מנהרה שמנוהלת מרחוק. אם אתה משתמש במנהרה שמנוהלת מקומית, הוסף את הפרמטרים האלה לקובץ התצורה.

1. בלוח הבקרה של Cloudflare, עבור אל Networking > Tunnels ובחר את המנהרה שלך. עבור אל Tunnels ↗
2. עבור ללשונית Routes.
3. בחר Edit route מתפריט הפעולות ביישום שפרסמת ורוצה להגדיר, או בחר Add route כדי ליצור מסלול חדש.
4. הרחב את Additional application settings ושנה פרמטרי מקור תחת הקטגוריות HTTP, TLS או Connection.
5. בחר Save changes.

#הגדרות TLS

#originServerName

שם מארח ש-cloudflared אמור לצפות לו מתעודת שרת המקור. אם הוא ריק, cloudflared משתמש בשם המארח מכתובת ה-URL של השירות, לדוגמה localhost אם השירות הוא https://localhost:443.

#matchSNItoHost

כאשר הערך הוא true, cloudflared מגדיר את Server Name Indication (SNI) במהלך לחיצת היד של TLS לערך Host של הבקשה שנשלחת למקור. אם הגדרת HTTP Host Header, cloudflared משתמש בערך הזה עבור SNI. ההגדרה הזו דורסת את Origin Server Name עבור כל בקשה.

ההגדרה הזו שימושית כשמפנים תעבורה לנקודות כניסה שמארחות כמה שירותים ומסתמכות על SNI כדי לנתב בקשות או להציג את התעודה הנכונה. היא מייתרת את הצורך להגדיר במפורש את originServerName עבור שירותים בודדים כשמשתמשים בניתוב עם תו כללי.

#caPool

נתיב קובץ מקומי לרשות האישורים (CA) של תעודת שרת המקור (לדוגמה, /root/certs/ca.pem). הנתיב צריך להצביע על קובץ מאגר תעודות או על קובץ bundle בפורמט .pem או .crt שמכיל תעודת CA שורש מהימנה אחת או יותר. cloudflared מוסיף את התעודות האלה למאגר האמון של ברירת המחדל שלו. הגדר את ההגדרה הזו כש-CA פרטי חותם על התעודה וה-CA לא נמצא במאגר האמון של ברירת המחדל.

#noTLSVerify

כאשר הערך הוא false, מתבצע אימות TLS על התעודה שהמקור מציג.

כאשר הערך הוא true, אימות TLS מושבת. זה יאפשר לקבל כל תעודה מהמקור.

#tlsTimeout

זמן קצוב להשלמת לחיצת יד של TLS לשרת המקור, אם בחרת לחבר את Tunnel לשרת HTTPS.

#http2Origin

כאשר הערך הוא false, cloudflared יתחבר למקור עם HTTP/1.1.

כאשר הערך הוא true, cloudflared מנסה להתחבר לשרת המקור באמצעות HTTP/2 במקום HTTP/1.1. HTTP/2 למקור דורש HTTPS. עבור תעודה שנחתמה על ידי CA פרטי, הגדר CA Pool והשאר את אימות TLS מופעל.

#הגדרות HTTP

#httpHostHeader

מגדיר את כותרת ה-HTTP Host בבקשות שנשלחות לשירות המקומי.

#disableChunkedEncoding

כאשר הערך הוא false, cloudflared מבצע קידוד העברה במקטעים (chunked transfer encoding) כשמעביר נתונים מעל HTTP/1.1.

כאשר הערך הוא true, קידוד העברה במקטעים מושבת. זה שימושי אם אתה מריץ שרת Web Server Gateway Interface (WSGI).

#הגדרות חיבור

#connectTimeout

זמן קצוב ליצירת חיבור TCP חדש לשרת המקור. זה לא כולל את הזמן שלוקח ליצור TLS, שנשלט על ידי tlsTimeout.

#noHappyEyeballs

כאשר הערך הוא false, cloudflared משתמש באלגוריתם Happy Eyeballs לנפילה חזרה בין IPv4 ל-IPv6 אם הרשת המקומית הגדירה לא נכון אחד מהפרוטוקולים.

כאשר הערך הוא true, Happy Eyeballs מושבת.

#proxyType

cloudflared מפעיל שרת פרוקסי כדי לתרגם תעבורת HTTP ל-TCP בעת פרוקסי, לדוגמה SSH או RDP. זה מגדיר איזה סוג פרוקסי יופעל. האפשרויות התקפות הן:

• "" עבור הפרוקסי הרגיל
• "socks" עבור פרוקסי SOCKS5. עיין במדריך על חיבור דרך Cloudflare Access באמצעות kubectl למידע נוסף.

#proxyAddress

הערה

למנהרות שמנוהלות מקומית בלבד.

cloudflared מפעיל שרת פרוקסי כדי לתרגם תעבורת HTTP ל-TCP בעת פרוקסי, לדוגמה SSH או RDP. זה מגדיר את כתובת ההאזנה של הפרוקסי הזה.

#proxyPort

הערה

למנהרות שמנוהלות מקומית בלבד.

cloudflared מפעיל שרת פרוקסי כדי לתרגם תעבורת HTTP ל-TCP בעת פרוקסי, לדוגמה SSH או RDP. זה מגדיר את יציאת ההאזנה של הפרוקסי הזה. אם הערך הוא אפס, תיבחר באופן אקראי יציאה שאינה בשימוש.

#keepAliveTimeout

זמן קצוב שאחריו אפשר לזרוק חיבור keepalive שאינו פעיל.

#keepAliveConnections

ברירת מחדל: 100

המספר המרבי של חיבורי keepalive לא פעילים בין cloudflared לבין המקור. זה לא מגביל את המספר הכולל של חיבורים מקבילים.

#tcpKeepAlive

ברירת מחדל: 30s

הזמן הקצוב שאחריו cloudflared שולח חבילת TCP keepalive לשרת המקור.

#הגדרות Access

#access

דורש מ-cloudflared לאמת את Cloudflare Access JWT לפני פרוקסי של תעבורה למקור. אפשר לאכוף את הבדיקה הזו על שירותי שם מארח ציבוריים שמוגנים על ידי יישום Access. עבור כל בקשות L7 לשמות המארח האלה, Access ישלח את ה-JWT אל cloudflared ככותרת בקשה Cf-Access-Jwt-Assertion.

נרמול URL

בגרסה 2026.10.0 של cloudflared ואילך, נרמול URL לפני התאמת ingress משפר את האבטחה עבור כללים שדורשים אימות Access. נתיב ה-URL שנשלח למקור נשאר זהה.

הנרמול מסיר מקטעי נקודה (. ו-..) לפי RFC 3986 ↗︎. הוא גם ממיר לוכסנים הפוכים ללוכסנים קדמיים וממזג לוכסנים חוזרים.

הנרמול כבוי כברירת מחדל בגרסה 2026.10.0. עיין ביומן השינויים של נרמול URL להוראות ולשינוי ברירת המחדל המתוכנן.

כדי להפעיל את בקרת האבטחה הזו בקובץ תצורה, קבל את תג ה-AUD של יישום ה-Access והוסף את הכלל הבא ל-originRequest:

access:
  required: true
  teamName: <your-team-name>
  audTag:
    - <Access-application-audience-tag>
    - <Optional-additional-tags>