Cloudflare on Joonlog

Cloudflare를 사용한 서버 SSH 접근

Mon, 20 Apr 2026 09:00:00 +0900

Cloudflare Tunnel을 사용해 SSH 접근하기 위한 설정

Cloudflare WARP를 사용해도 서버에 통신 가능하긴 하지만, 목적이 SSH라면 WARP는 좋은 방안이 되지 못한다.

WARP는 UDP 기반 VPN 서비스이기 때문에 통신이 계속 끊어지기 때문

SSH용 Routing + cloudflared를 사용해서 서버에 접속한다.

0. 사전준비

Cloudflare Connectors 설정
- https://joonlog.github.io/p/cloudflare-tunnel을-사용한-홈서버-promox-pve-콘솔-접근-설정/#1-cloudflared-설치-및-연동

1. Cloudflared Routes 설정

연동한 tunnel을 통해서 연결할 도메인 경로 및 라우팅 경로 설정
- Hostname: 보유 도메인 기입
- Type: SSH
- URL: localhost:22
여기까지 설정 완료 시 기입한 서브도메인으로 SSH 접근 가능

2. Cloudflare Access 설정

서브도메인에 대한 인증 설정

Routes에 설정한 도메인 입력

Self-hosted 설명에 나와 있듯이 Policy 생성
- PVE 접속 도메인 접근 시 Email 인증하도록 Policy 설정

설정한 Policy 할당

3. Cloudflared 설치

windows

1

winget install Cloudflare.cloudflared

Rocky 8.10
1

dnf install -y cloudflared

4. SSH 접근

Cloudflared 로그인
1

cloudflared access login <SSH 접근 도메인>
- 이메일 인증 요구하는 화면 출력됨

SSH 접근

이메일 인증 완료 후 SSH 접근

1

cloudflared access ssh --hostname <SSH 접근 도메인>

접근 성공!

SSH alias

ssh 명령어로 접근하기 위한 alias
Windows
- C:\Users`<계정명>`.ssh\config
Linux
- ~/.ssh/config

1
2
3
4


Host pve
 HostName <SSH 접근 도메인>
 User root
 ProxyCommand cloudflared access ssh --hostname %h

접근 성공!

Cloudflare WARP를 사용한 Tunnel 접근

Tue, 24 Mar 2026 09:00:00 +0900

Cloudflare용 UDP VPN

Cloudflare WARP를 사용하면 Tunnel 내부 네트워크로 직접 접근이 가능하다.

다만 WARP는 UDP 통신이기 때문에 연결이 간헐적으로 끊어질 수 있다.

사전 준비

Cloudflare Tunnel 활성화

Cloudflare WARP

Cloudflare에서 제공하는 클라이언트 기반 WireGuard VPN 에이전트
디바이스에서 발생하는 트래픽을 Cloudflare 네트워크로 전달하여 보안 정책을 적용하거나 내부 네트워크에 접근할 수 있게 한다

1
2
3
4


클라이언트
→ WARP Client
→ Cloudflare Edge
→ 인터넷

일반적인 WARP는 이렇지만, Zero Trust WARP 환경에서는 다음과 같이 동작한다.

1
2
3
4
5
6


클라이언트
→ WARP Client
→ Cloudflare Edge
→ Cloudflare Zero Trust 정책(보안 인증)
→ Cloudflare Tunnel
→ Private Network

따라서 Cloudflare Tunnel을 뚫어서 Zero Trust를 사전에 구성한 경우에는 WARP로 Tunnel 내부망에 접근이 가능하다.

1. Private Network Route 등록

WARP가 접근할 내부망 CIDR을 등록

1
2
3
4


Zero Trust
→ Networks
→ Routes
→ Add route

설정

이 설정을 통해 Cloudflare는 다음 경로를 인식

1
2
3
4


WARP Client
→ Cloudflare Edge
→ Tunnel Connector
→ 192.168.100.0/24

2. WARP 클라이언트 설치

WARP 클라이언트를 설치하고 Zero Trust에 연결되면 자동으로 device가 등록된다.

Zero Trust WARP 접근 시
- 팀 이름 입력 후 사전 설정했던 인증 절차에 따라 연결 완료

확인 경로

1
2
3


Zero Trust
→ Team & Resources
→ Devices

3. Device Profile 설정

WARP 트래픽 정책은 Device profile에서 관리된다.
Split Tunnels 설정
- 현재 목적이 외부 장치에서 홈서버인 PVE 하위에 있는 노드로의 직접 접근이기 때문에, 192.168.100.x/24로의 라우팅만 설정
- Include IPs and domains
  - Manage
    - Type: Address
    - Value: 192.168.100.0/24
      - 해당 대역으로의 트래픽 전송 시에만 WARP를 사용하도록 설정

5. 정상 동작 확인

설정 적용 후 WARP 클라이언트를 설치한 장치에서 확인
- cmd에서: route print
- 정상이라면 다음 경로가 생성
  1 2 3 4 5
  
  인터페이스 목록 Cloudflare WARP Interface IPv4 테이블 192.168.100.0 255.255.255.0
이후 내부 노드 통신 가능

정리

Cloudflare Tunnel만으로는 내부망 접근이 되지 않는다.

WARP를 사용하려면 다음 설정이 필요하다.

1
2
3
4


1. Private Network Route 등록
2. WARP Device 등록
3. Device Profile 정책 적용
4. Split Tunnel에 내부망 CIDR 추가

특히 Split Tunnel 설정이 맞지 않으면 WARP routing이 정상 동작하지 않으므로 반드시 확인해야 한다.

Cloudflare Tunnel을 사용한 홈서버 Promox PVE 콘솔 접근 설정

Fri, 06 Feb 2026 09:00:00 +0900

목표

현재 외부에서 홈서버 Promox PVE 콘솔에 접근 시 공인 IP로 직접 접근하는 중
PVE 접속용 도메인 설정
외부에서 도메인 접근 시 Cloudflare 인증을 요구하도록 설정하고, 인증 성공 시에만 PVE 콘솔에 접근하도록 설정

0. 사전 준비

Cloudflare에 등록할 도메인 준비
도메인 네임서버를 Cloudflare로 설정
- Cloudflare 회원가입 및 로그인
- 로그인 시 나오는 네임서버 도메인 2개를 도메인 등록기관의 네임서버 설정에 등록
- 초록색 체크 표시 뜨면 OK!

1. Cloudflared 설치 및 연동

Networks - Connectors - Add a tunnel

Cloudflared 선택

tunnel 이름 기입

OS 확인 및 Cloudflared 설치

Promox는 Debian 리눅스 64bit
- cat /etc/os-release + uname -m 명령어로 확인 가능
root 사용자로 진행
- Promox는 sudo가 설치되어 있지 않음

1
2
3
4
5
6
7
8
9


# Add cloudflare gpg key
mkdir -p --mode=0755 /usr/share/keyrings
curl -fsSL https://pkg.cloudflare.com/cloudflare-public-v2.gpg | tee /usr/share/keyrings/cloudflare-public-v2.gpg >/dev/null

# Add this repo to your apt repositories
echo 'deb [signed-by=/usr/share/keyrings/cloudflare-public-v2.gpg] https://pkg.cloudflare.com/cloudflared any main' | tee /etc/apt/sources.list.d/cloudflared.list

# install cloudflared
apt-get update && apt-get install cloudflared

apt-get update 시 enterprise.proxmox.com 패키지 Unauthorized 오류가 나는 경우

Promox의 기본 패키지는 유료 구독형이기 때문에 비활성화 필요

1
2
3
4


cd /etc/apt/sources.list.d

mv -v pve-enterprise.sources pve-enterprise.sources.disabled
mv -v ceph.sources ceph.sources.disabled

일반 패키지 리포 추가

1
2
3
4
5
6
7


cat > /etc/apt/sources.list.d/pve-no-subscription.sources <<'EOF'
Types: deb
URIs: http://download.proxmox.com/debian/pve
Suites: trixie
Components: pve-no-subscription
Signed-By: /usr/share/keyrings/proxmox-archive-keyring.gpg
EOF

하단의 토큰 값 유출되지 않도록 유의
- 서버가 시작될때마다 Tunnel이 자동으로 기동되게 할 경우
  1
  
  cloudflared service install <토큰>
- 현재 터미널에서만 Tunnel 연결할 경우
  1
  
  cloudflared tunnel run --token <토큰>

2. Cloudflare Routes 설정

연동한 tunnel을 통해서 연결할 도메인 경로 및 라우팅 경로 설정
- Hostname: 보유 도메인 기입
- Type: HTTPS
- URL: localhost:8006
Promox 서버에서 https://localhost:8006로 접근 시 TLS 해제 필요
여기까지 설정 완료 시 기입한 서브도메인으로 PVE 접근 가능

3. Cloudflare Access 설정

서브도메인에 대한 인증 설정

Self-hosted 설명에 나와 있듯이 Policy 먼저 생성
- PVE 접속 도메인 접근 시 Email 인증하도록 Policy 설정

설정한 Policy 할당

PVE 접속 도메인 접근 시 이메일 인증 요구하는 화면 출력 확인
설정 완료!

3. Promox 인바운드 접근 차단

Cloudflare Tunnel이 뚫렸기 때문에, 기존에 anyopen되어 있던 Promox 공인 IP에 대한 접근을 전부 차단
Zero-Inbound 설정
PVE 콘솔 → Datacenter → Firewall → Options → Firewall 활성화
설정 즉시 공인 IP를 통한 PVE 콘솔 차단 완료!

결과

홈서버로서의 취약한 보안 조치 완료
- 홈 공인IP 숨기기
- 관리자용 페이지 접근 시 이메일 인증 적용

홈서버 접근 용도로 Cloudflare Tunnel을 쓰는 이유

Thu, 05 Feb 2026 09:00:00 +0900

외부에서 홈서버에 안전하게 접근하기 위한 설정

홈서버를 디폴트 상태로 외부에서 접근하기 위해선 IP와 Port로 접근이 필요하다.

클라우드라면 Security Group / ACL 등등으로 제어가 쉽기 때문에 상관이 없지만, 홈서버는 집에서 사용하는 공유기 공인 IP를 외부에 오픈해야하기 때문에 보안적으로 위험하다.

기본적으로 홈 IP는 AnyOpen되어 있고, 외부에서 접근한다는 것 자체가 Wifi든 모바일이든 매번 접근하는 IP가 가변적이기 때문에 IP로 접근을 차단하는 것에도 무리가 있다.

특히 Proxmox 관리 콘솔(PVE)은 관리자 권한 탈취될 시 홈 네트워크 전체에 대한 통제권을 넘길 수 있기 때문에 매우 위험하다.

따라서 Cloudflare Tunnel로 공인 IP를 숨기고, Cloudflare Access로 인증된 사용자만 접근할 수 있게 하려고 한다.

1. Cloudflare Tunnel

IP와 포트를 공개하지 않고도 외부에서 서버로 접속할 수 있게 하는 서비스
외부에서 Cloudflare를 거쳐서 서버에 접속
기존 인바운드+포트 포워딩 기반 접근과 다른 아웃바운드 기반 리버스 프록시 연결

Cloudflare Tunnel을 쓰는 이유

홈서버는 가정용 공유기에 부여된 공인 IP로 접근해야 하기 때문에 보안에 취약
기업에서 쓰는 서버들의 경우 WAF, IPS, F/W 등 방어 솔루션이 많지만, 홈서버는 사실상 방어 수단이 전무
Cloudflare를 거치면서 레이턴시가 늘어나더라도, 홈서버는 보안이 최우선
따라서 Zero-Inbound를 유지하고도 운영이 가능한 Cloudflare Tunnel 사용

기존 포트포워딩 방식

포트포워딩은 외부에서 들어오는 Inbound 연결을 서버가 직접 받아들이는 구조
1

외부 클라이언트 → 공유기(포트포워딩) → 홈서버
- 이 방식에서는 서버가 외부에서 접근 가능한 상태가 되며, 열려 있는 포트는 스캔이나 공격의 대상이 될 수 있어서 보안적으로 매우 취약

Cloudflare Tunnel 방식

Cloudflare Tunnel은 서버가 먼저 Cloudflare로 Outbound 연결을 생성
1 2

[항상 유지되는 연결] 홈서버(cloudflared) → Cloudflare
- cloudflared 데몬은 Cloudflare Edge와 여러 개의 TLS 연결을 지속적으로 유지
- 이 시점에는 외부 요청이 없어도 연결은 계속 생존
- 즉, 요청이 올 때마다 연결을 여는 구조가 아니다
외부 사용자가 서비스에 접근하면 요청은 먼저 Cloudflare에 도달
1

외부 클라이언트 → Cloudflare
이 단계에서 Cloudflare는 아래 접근 제어를 수행
- Cloudflare Access 기반 인증 (로그인, OTP, SSO, 서비스 토큰 등)
- IP, 국가, 정책 기반 접근 제어
- 인증 실패 시 요청 차단
- 인증과 접근 제어는 홈서버와 분리된 상태에서 Cloudflare가 전담
인증 이후 실 연결
1

Cloudflare → 기존 Tunnel → 홈서버
- 인증을 통과한 요청만 이미 열려 있는 터널 연결을 통해 홈서버로 전달됨

2. Cloudflare Access

Cloudflare tunnel만 사용한다면, 최초 목적 중 공인 IP 숨기기만 가능하다.

PVE 콘솔에 대한 접근 자체를 막기 위해선 Cloudflare Access를 사용한 인증 절차 도입이 필요하다.

Cloudflare Access 도입 후의 구조

위 Cloudflare Tunnel의 2번째 단계에서 Cloudflare Access 추가

1

외부 클라이언트 → Cloudflare Access → Cloudflare

정리

Cloudflare Tunnel은 요청을 역방향으로 전달하는 Outbound 기반 리버스 프록시 구조
홈서버 입장에서는 외부 클라이언트와 직접 통신하지 않는다
Cloudflare와 유지 중인 Outbound 연결만 사용하며, 외부에서 서버로 들어오는 Inbound 포트는 존재하지 않는다
따라서 Zero-Inbound로 외부에서 서비스 접근이 가능
내가 외부에서 접근해야 하지만 공개적으로 오픈하면 안 될 경우 Cloudflare Access 사용
실제 작업 과정은 다음 글 확인