用 Cloudflare One 与 EasyTier 构建内外双路径的个人服务网络 • Seeridia's Home

自用的自托管服务越来越多，像是 grafana、n8n 等等各种的管理面板，那如何在保证安全性的同时，提高自己的使用体验？

这些服务通常只需要我本人访问，并不适合直接暴露在互联网上。但完全限制在家庭局域网或者 VPN 内，又会在临时设备、公司电脑或无法接入 VPN 的环境中带来不便。

所以我将需求确定：

在接入 VPN 后，访问流量直接通过虚拟内网到达服务器；
在未接入 VPN 时，经过一层登录鉴权后访问。如果可以，这边能较为自由的控制用户策略，比如临时给他人授权。

由此我也确定了采用了由 Easytier 和 Cloudflare 构成的混合方案：

连接 EasyTier 时，访问流量直接通过虚拟内网到达服务器，不经过 Cloudflare；
未连接 EasyTier 时，使用同一个域名访问，先经过 Cloudflare Access 登录鉴权，再通过 Tunnel 回源。

架构设计#

flowchart TD
    A["访问 grafana.seeridia.link"] --> B{"是否连接 EasyTier"}
    B -->|"是"| C["DNS 本地映射"]
    C --> D["10.126.0.1:443"]
    D --> E["1Panel / HTTPS"]
    E --> F["Grafana<br/>127.0.0.1:3011"]
    B -->|"否"| G["Cloudflare DNS"]
    G --> H["Cloudflare Access"]
    H --> I["身份认证与允许策略"]
    I --> J["Cloudflare Tunnel"]
    J --> K["Seeridia-Net 连接器"]
    K --> F

mermaid

使用者不需要关心当前走的是哪条路径，只需要始终打开：

https://grafana.seeridia.link

javascript

域名的解析结果决定了后续流量是通过 EasyTier 直达服务器，还是进入 Cloudflare 的身份认证流程。

用户端 - Easytier 侧#

EasyTier ↗ 负责建立设备和服务器之间的加密虚拟网络，类似于常见的 Tailscale 等 VPN，这些都可以的，其实都差不了太多，不过 Easytier 往往拥有更为激进的策略，这边不展开讲其相关配置。

其实有了 Easytier 我们就可以直接通过内网去访问相关的服务而无需打开相关端口的安全组等等，到这一步就能满足大多数人的需求了，不过我们的最终目标还需要比如访问 grafana.seeridia.link ↗ 能根据我们自身环境，后续流量是通过 EasyTier 直达服务器，还是进入 Cloudflare 的身份认证流程。

在用户侧，我们要解决的是对这个 seeridia.link ↗ 域名我们应进行 DNS 映射，相关域名直接解析到 EasyTier 地址，我们可以有多种方式去配置 DNS，比如 macOS 可以通过 /etc/resolver 实现“不同域名走不同 DNS”

bookmark ↗

不过我自己有 Surge，就也直接使用 Surge 了