터널 토큰(Tunnel tokens)

원격 관리 터널을 실행하려면 토큰만 있으면 돼요. 토큰을 얻고, 주기적으로 회전(교체)하고, 토큰이 유출됐을 때 대처하는 방법을 알아봐요.

출처: 문서

본문

원격 관리(remotely-managed) 터널은 실행하는 데 토큰만 필요해요. 토큰을 가진 사람은 누구나 터널을 실행할 수 있어요.

토큰 얻기(Get the token)

원격 관리 터널의 토큰을 얻으려면:

1. Cloudflare 대시보드 ↗︎에서 Networking > Tunnels로 이동해요. Tunnels로 이동 ↗
2. 터널을 선택해요.
3. Add a replica를 선택해요.
4. cloudflared 설치 명령을 텍스트 편집기에 복사해요 (명령은 실행하지 마세요). 토큰은 eyJ... 문자열이에요.

Cloudflare Tunnel 토큰을 가져와요:

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/cfd_tunnel/$TUNNEL_ID/token" \
	--request GET \
	--header "Authorization: Bearer $CLOUD...OKEN"

토큰 회전하기(Rotate a token)

유출 위험을 줄이기 위해 토큰을 정기적으로 회전해요. 여러 레플리카가 있는 터널에서는 근무 시간 밖에 회전하고 레플리카를 일괄 업데이트해요.

1. Cloudflare 대시보드 ↗︎에서 Networking > Tunnels로 이동해요. Tunnels로 이동 ↗

2. 터널을 선택해요.

3. Rotate token을 선택해요. 토큰을 회전하면 cloudflared는 이전 토큰으로 새 연결을 설정할 수 없어요. 기존 커넥터는 재시작할 때까지 활성 상태로 유지돼요.

4. Add replica를 선택하고 새 cloudflared 설치 명령을 복사해요.

5. 각 레플리카에서 새 토큰으로 cloudflared 서비스를 다시 설치해요:

   sudo cloudflared service uninstall
   sudo cloudflared service install <NEW_TOKEN>
   

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/cfd_tunnel/$TUNNEL_ID/connections" \
	--request DELETE \
	--header "Authorization: Bearer $CLOUD...OKEN"

더 알아보기 (Learn more)

토큰을 가진 사람은 누구나 터널을 실행할 수 있으므로 보안에 유의해야 해요. 토큰은 주기적으로 회전하고, 유출이 의심되면 즉시 회전한 뒤 모든 연결을 정리하세요. 레플리카 운영과 고가용성 문서를 함께 보면 다중 커넥터 배포를 안전하게 관리할 수 있어요.