前两篇已经把 FreshRSS 和 PaperHot 放到了 Cloudflare Tunnel 后面。
FreshRSS 解决的是“我在外面也能看自己的信息流”。PaperHot 解决的是“我在外面也能看自己跑起来的论文热榜”。这篇再往前走一步：不只是访问一个网页服务，而是直接从家里的 Mac 连回办公室 Fedora。
最后我想要的效果很简单：
不用公网 IP，不用路由器端口转发，也不把 22 端口暴露到公网。
链路大概是这样：
家里 Mac
↓
cloudflared access ssh
↓
ssh-office.seis-jun.xyz
↓
Cloudflare Tunnel
↓
办公室 Fedora: 127.0.0.1:22
我已经有一个 Cloudflare Tunnel 在办公室 Fedora 上运行，名字是：
这个 Tunnel 之前已经承载了两个服务：
rss.seis-jun.xyz
paper-hot.seis-jun.xyz
所以这次不需要新建 Tunnel，只是在已有 Tunnel 里增加一个 SSH 入口：
这点很重要。FreshRSS、PaperHot、SSH 其实都可以走同一条 Tunnel，只是 ingress 规则不同。
在办公室 Fedora 上先确认 OpenSSH server 已经安装并启动：
sudo dnf install -y openssh-server
sudo systemctl enable --now sshd
sudo systemctl status sshd --no-pager
正常应该能看到：
然后在 Fedora 本机测试一下：
如果本机都连不上，就先修 SSH 服务。不要一上来就怀疑 Cloudflare。
Cloudflare Tunnel 的配置在办公室 Fedora 上：
/root/.cloudflared/config.yml
修改前先备份：
sudo cp /root/.cloudflared/config.yml /root/.cloudflared/config.yml.bak.$(date +%Y%m%d_%H%M%S)
然后在 ingress 里增加：
- hostname: ssh-office.seis-jun.xyz
service: ssh://127.0.0.1:22
最终结构类似这样：
tunnel: 5c3de280-c626-4bc4-83db-5eef8d13ce76
credentials-file: /root/.cloudflared/5c3de280-c626-4bc4-83db-5eef8d13ce76.json
ingress:
- hostname: rss.seis-jun.xyz
service: http://127.0.0.1:8080
- hostname: paper-hot.seis-jun.xyz
service: http://127.0.0.1:8000
- hostname: ssh-office.seis-jun.xyz
service: ssh://127.0.0.1:22
- service: http_status:404
注意最后一行：
- service: http_status:404
它必须放在最后。前面的规则都没匹配到时，才走 404。
在办公室 Fedora 上执行：
sudo cloudflared tunnel route dns freshrss-office ssh-office.seis-jun.xyz
sudo systemctl restart cloudflared-freshrss.service
sudo systemctl status cloudflared-freshrss.service --no-pager -l
再检查 DNS：
dig @1.1.1.1 ssh-office.seis-jun.xyz +short
如果能解析，说明 Cloudflare 这一侧已经有记录了。
在家里的 Mac 上安装：
brew install cloudflare/cloudflare/cloudflared
确认路径：
which cloudflared
cloudflared --version
我这里的路径是：
/opt/homebrew/bin/cloudflared
这个路径后面要写进 SSH 配置里。如果你的机器上不是这个路径，就用实际路径。
编辑 SSH 配置：
mkdir -p ~/.ssh
nano ~/.ssh/config
加入：
Host office-fedora
HostName ssh-office.seis-jun.xyz
User junxie
ProxyCommand /opt/homebrew/bin/cloudflared access ssh --hostname %h
ServerAliveInterval 60
ServerAliveCountMax 3
然后设置权限：
chmod 700 ~/.ssh
chmod 600 ~/.ssh/config
这里的关键是 ProxyCommand。
平时 SSH 是直接连目标机器。现在不是。现在是 SSH 先调用 cloudflared，让它通过 Cloudflare Tunnel 把连接转到办公室 Fedora 的本地 22 端口。
以后在家里只需要：
第一次连接可能会提示确认 host key：
Are you sure you want to continue connecting?
输入：
然后输入 Fedora 用户密码，或者用 SSH key 登录。
成功后就会进入办公室 Fedora：
这一步打通之后，感觉就和机器在身边差不多了。
如果连接失败，先按这个顺序查。
办公室 Fedora 上：
sudo systemctl status sshd --no-pager
sudo systemctl status cloudflared-freshrss.service --no-pager -l
sudo cat /root/.cloudflared/config.yml
家里 Mac 上：
which cloudflared
cloudflared --version
dig @1.1.1.1 ssh-office.seis-jun.xyz +short
ssh -v office-fedora
如果 Fedora 本机 ssh junxie@127.0.0.1 都不通，那问题在 SSH 服务。
如果 DNS 解析不了，那问题在 Cloudflare DNS 或 Tunnel route。
如果 Tunnel 通了但登录失败，那多半是用户名、密码或 SSH key 的问题。
这个方案的好处是没有直接暴露办公室 Fedora 的 22 端口。
但也不要因此觉得可以随便加入口。
我现在的原则是：
公开域名入口尽量少
先接办公室 Fedora
再从 Fedora 跳到内网机器
如果以后要从家里继续连单位内网服务器，可以用 ProxyJump：
Host unit-server
HostName 10.xx.xx.xx
User unit_user
ProxyJump office-fedora
这样家里仍然只需要：
实际路径是：
家里 Mac
↓
Cloudflare Tunnel
↓
办公室 Fedora
↓
单位内网服务器
不建议一开始就把单位服务器直接做成一个新的公网 hostname。边界会更复杂，也更容易踩单位网络安全规定。
这次最后完成的是：
1. 办公室 Fedora 的 sshd 已启动。
2. Fedora 本机 ssh junxie@127.0.0.1 测试成功。
3. Cloudflare Tunnel 增加了 ssh-office.seis-jun.xyz。
4. ssh-office.seis-jun.xyz 已指向 freshrss-office Tunnel。
5. 家里 Mac 已安装 cloudflared。
6. 家里 Mac 已配置 ~/.ssh/config。
7. 家里 Mac 可以通过 ssh office-fedora 连回办公室 Fedora。
最终日常使用命令就是：
FreshRSS 和 PaperHot 让我在外面能访问自己的服务。这个 SSH 入口则更进一步：让我在外面能回到那台真正干活的办公室 Fedora。
这比单独部署一个网页服务更像是把工作环境接回来了。
此内容由惯性聚合(RSS阅读器)自动聚合整理，仅供阅读参考。 原文来自 — 版权归原作者所有。