配置隧道

7. 在 Customer GRE endpoint（客户 GRE 端点） 中，输入您的路由器的公共 IP 地址。如果您使用物理或虚拟连接（例如 Cloudflare Network Interconnect），则不需要此值，因为 Cloudflare 会提供它。

8. 在 Cloudflare GRE endpoint（Cloudflare GRE 端点） 中，输入分配给您账户的其中一个任播地址。您可以在 Leased IPs ↗ 中找到它们。

9. （可选） 保留 TTL 和 MTU 的默认值，或根据您的网络进行自定义。

10. （可选） 配置健康检查设置。展开以下内容以了解有关每个选项的更多信息：

    健康检查选项

    • 隧道健康检查（Tunnel health checks）：默认启用。如果您禁用隧道健康检查，即使隧道工作正常，它们在您的隧道健康仪表板中也会显示为 100% 关闭（down）。Cloudflare 会继续通过该隧道路由流量，但无法检测隧道是否关闭。您必须建立自己的系统来检测关闭的隧道，因为 Cloudflare 无法就已关闭的隧道向您发出警告。有关更多信息，请参阅 隧道健康检查。
    • 健康检查频率（Health check rate）：如果保持启用隧道健康检查，请为您的隧道选择健康检查频率。可用选项包括 Low（低）、Medium（中）和 High（高）。
    • 健康检查类型（Health check type）：默认为 Reply 并创建 ICMP（互联网控制消息协议）回复。如果您的防火墙因认为该数据包是攻击而将其丢弃，请将此选项更改为 Request，这将创建一个 ICMP 请求。有关更多信息，请参阅 隧道健康检查。
    • 健康检查方向（Health check direction）：对于 Magic Transit，默认设置为 unidirectional。有关更多细节，请参阅双向与单向健康检查。
    • 健康检查目标（Health check target）：隧道的客户侧。此字段仅在 Health check direction（健康检查方向） 设置为 Unidirectional 时可见。

11. （可选） 我们建议在正式添加隧道之前对其进行测试。要测试隧道，请选择 Test tunnels（测试隧道）。

12. 要添加多个隧道，请为每个新隧道选择 Add GRE tunnel（添加 GRE 隧道）。

13. 在添加隧道信息后，选择 Add tunnels（添加隧道）。

14. （可选）如果您希望在您的网络与 Cloudflare 之间动态交换路由，请选择 Allow BGP (Border Gateway Protocol) peering（Beta）。此功能需要 Unified Routing（Beta）。
    对于路由频繁变化的环境或需要自动故障转移的情况，推荐使用 BGP。有关更多信息，请参阅 配置 BGP 路由。

7. （可选） 在 Customer endpoint（客户端点） 中，输入您的路由器的公共 IP 地址。仅在您的路由器使用 ID_IPV4_ADDR 类型的 IKE ID 时才需要此值。

8. 在 Cloudflare endpoint（Cloudflare 端点） 中，输入分配给您账户的其中一个任播地址。您可以在 Leased IPs ↗ 中找到它们。

9. （可选） 配置健康检查设置。展开以下内容以了解有关每个选项的更多信息：

   健康检查选项

   • 隧道健康检查（Tunnel health checks）：默认启用。如果您禁用隧道健康检查，即使隧道工作正常，它们在您的隧道健康仪表板中也会显示为 100% 关闭（down）。Cloudflare 会继续通过该隧道路由流量，但无法检测隧道是否关闭。您必须建立自己的系统来检测关闭的隧道，因为 Cloudflare 无法就已关闭的隧道向您发出警告。有关更多信息，请参阅 隧道健康检查。
   • 健康检查频率（Health check rate）：如果保持启用隧道健康检查，请为您的隧道选择健康检查频率。可用选项包括 Low（低）、Medium（中）和 High（高）。
   • 健康检查类型（Health check type）：默认为 Reply 并创建 ICMP（互联网控制消息协议）回复。如果您的防火墙因认为该数据包是攻击而将其丢弃，请将此选项更改为 Request，这将创建一个 ICMP 请求。有关更多信息，请参阅 隧道健康检查。
   • 健康检查方向（Health check direction）：对于 Magic Transit，默认设置为 unidirectional。有关更多细节，请参阅双向与单向健康检查。
   • 健康检查目标（Health check target）：隧道的客户侧。此字段仅在 Health check direction（健康检查方向） 设置为 Unidirectional 时可见。

10. 如果您还没有预共享密钥：

    1. 选择 Add pre-shared key later（稍后添加预共享密钥）。
    2. （可选） 我们建议在正式添加隧道配置之前对其进行测试。要测试隧道，请选择 Test tunnels（测试隧道）。
    3. 选择 Add tunnels（添加隧道）。
    4. Cloudflare 仪表板将加载您已配置的隧道列表。您刚刚创建的 IPsec 隧道会显示一个警告三角形图标，表示它尚未起作用。选择 Edit（编辑）。
    5. 选择 Generate a new pre-shared key（生成新的预共享密钥） > Update and generate a pre-shared key（更新并生成预共享密钥）。将该密钥保存到安全的位置，然后选择 Done（完成）。

11. 如果您已经有了预共享密钥：

    1. 选择 Use my own pre-shared key（使用我自己的预共享密钥）。
    2. 将您的密钥粘贴到 Your pre-shared key（您的预共享密钥） 中。
    3. （可选） 我们建议在正式添加隧道之前对其进行测试。要测试隧道，请选择 Test tunnels（测试隧道）。
    4. 选择 Add tunnels（添加隧道）。

12. （可选） 如果您的设备不支持禁用防重放保护，请启用 Replay protection（重放保护）。有关更多信息，请参阅 防重放保护（Anti-replay protection）。

13. 要添加多个隧道，请为每个新隧道选择 Add IPsec tunnel（添加 IPsec 隧道）。

14. 在添加隧道信息后，选择 Add tunnels（添加隧道）。

15. （可选）如果您希望在您的网络与 Cloudflare 之间动态交换路由，请选择 Allow BGP (Border Gateway Protocol) peering（Beta）。此功能需要 Unified Routing（Beta）。
    对于路由频繁变化的环境或需要自动故障转移的情况，推荐使用 BGP。有关更多信息，请参阅 配置 BGP 路由。

通过 API 创建一个 POST 请求以创建 GRE 隧道。

curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/magic/gre_tunnels" \
	--request POST \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"name": "<TUNNEL_NAME>",
		"description": "<TUNNEL_DESCRIPTION>",
		"interface_address": "<INTERFACE_ADDRESS>",
		"cloudflare_gre_endpoint": "<CLOUDFLARE_ENDPOINT>",
		"customer_gre_endpoint": "<CUSTOMER_ENDPOINT>"
	}'

{
  "errors": [
    {
      "code": 1000,
      "message": "message"
    }
  ],
  "messages": [
    {
      "code": 1000,
      "message": "message"
    }
  ],
  "result": {
    "gre_tunnels": [
      {
        "cloudflare_gre_endpoint": "<IP_ADDRESS>",
        "customer_gre_endpoint": "<IP_ADDRESS>",
        "interface_address": "<INTERFACE_CIDR>",
        "name": "<TUNNEL_NAME>",
        "description": "<TUNNEL_DESCRIPTION>",
        "health_check": {
          "direction": "unidirectional",
          "enabled": true,
          "rate": "low",
          "type": "reply"
        },
        "mtu": 0,
        "ttl": 0
      }
    ]
  },
  "success": true
}

1. 通过 API 创建一个 POST 请求以创建 IPsec 隧道。

   请注意，在此示例中，防重放保护默认是禁用的。如果您使用的设备不支持禁用此功能，您可以通过在每个 IPsec 隧道中设置 "replay_protection": true 标志来启用它。如果您已经创建了 IPsec 隧道，请使用 PUT 请求 对其进行更新。有关此主题的更多信息，请参阅 防重放保护（Anti-replay protection）。

   Required API token permissions

   At least one of the following token permissions is required:

   • Magic WAN Write
   • Magic Transit Write

   curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/magic/ipsec_tunnels" \
   	--request POST \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
   	--json '{
   		"name": "<TUNNEL_NAME>",
   		"description": "<TUNNEL_DESCRIPTION>",
   		"interface_address": "<INTERFACE_ADDRESS>",
   		"cloudflare_endpoint": "<CLOUDFLARE_ENDPOINT>",
   		"customer_endpoint": "<CUSTOMER_ENDPOINT>"
   	}'

   {
   	"errors": [
   		{
   			"code": 1000,
   			"message": "message"
   		}
   	],
   	"messages": [
   		{
   			"code": 1000,
   			"message": "message"
   		}
   	],
   	"result": {
   		"ipsec_tunnels": [
   			{
   				"id": "<IPSEC_TUNNEL_ID>",
   				"interface_address": "<INTERFACE_CIDR>",
   				"name": "<TUNNEL_NAME>",
   				"cloudflare_endpoint": "<IP_ADDRESS>",
   				"customer_endpoint": "<IP_ADDRESS>",
   				"description": "<TUNNEL_DESCRIPTION>",
   				"health_check": {
   					"direction": "unidirectional",
   					"enabled": true,
   					"rate": "low",
   					"type": "reply"
   				},
   				"psk_metadata": {},
   				"replay_protection": false
   			}
   		]
   	},
   	"success": true
   }

   请注意隧道 id 的值。我们将使用它来生成预共享密钥 (PSK)。

2. 创建一个 POST 请求以生成 PSK。请使用您从上一个命令中获得的隧道 id 值。

   Required API token permissions

   At least one of the following token permissions is required:

   • Magic WAN Write
   • Magic Transit Write

   curl "https://api.cloudflare.com/client/v4/accounts/$ACCOUNT_ID/magic/ipsec_tunnels/$IPSEC_TUNNEL_ID/psk_generate" \
   	--request POST \
   	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN"

   {
   	"result": {
   		"ipsec_id": "<IPSEC_ID>",
   		"ipsec_tunnel_id": "<IPSEC_TUNNEL_ID>",
   		"psk": "<PSK_CODE>",
   		"psk_metadata": {
   			"last_generated_on": "2025-03-13T14:28:47.054317925Z"
   		}
   	},
   	"success": true,
   	"errors": [],
   	"messages": []
   }

   请记录您的 psk 值。

3. 创建一个 PUT 请求以使用 PSK 更新您的 IPsec 隧道。

   curl "https://api.cloudflare.com/client/v4/accounts/%7Baccount_id%7D/magic/ipsec_tunnels/%7Bipsec_tunnel_id%7D" \
   	--request PUT \
   	--json '{
   		"psk": "<PSK_VALUE>"
   	}'

{
  "result": {
    "modified": true,
    "modified_ipsec_tunnel": {
      "id": "<IPSEC_ID>",
      "interface_address": "<IPSEC_CIDR>",
      "created_on": "2025-03-13T14:28:21.139535Z",
      "modified_on": "2025-03-13T14:33:26.09683Z",
      "name": "<TUNNEL_NAME>",
      "cloudflare_endpoint": "<IP_ADDRESS>",
      "customer_endpoint": "<IP_ADDRESS>",
      "remote_identities": {
        "hex_id": "",
        "fqdn_id": "",
        "user_id": ""
      },
      "psk_metadata": {
        "last_generated_on": "2025-03-13T14:28:47.054318Z"
      },
      "description": "<TUNNEL_DESCRIPTION>",
      "health_check": {
        "enabled": true,
        "target": "",
        "type": "reply",
        "rate": "mid",
        "direction": "unidirectional"
      }
    }
  },
  "success": true,
  "errors": [],
  "messages": []
}

4. 使用第 3 步中的 psk 值在您的设备上配置 IPsec 隧道。

双向健康检查适用于 GRE 和 IPsec 隧道。For Magic Transit this option defaults to unidirectional。

您可以通过 API 使用 "bidirectional" 或 "unidirectional" 来更改此设置：

curl "https://api.cloudflare.com/client/v4/accounts/%7Baccount_id%7D/magic/ipsec_tunnels/%7Bipsec_tunnel_id%7D" \
	--request PUT \
	--json '{
		"health_check": {
				"direction": "bidirectional"
		}
	}'

{
  "result": {
    "modified": true,
    "modified_ipsec_tunnel": {
      "id": "<IPSEC_ID>",
      "interface_address": "<IPSEC_CIDR>",
      "created_on": "2025-03-13T14:28:21.139535Z",
      "modified_on": "2025-03-13T14:33:26.09683Z",
      "name": "<TUNNEL_NAME>",
      "cloudflare_endpoint": "<IP_ADDRESS>",
      "customer_endpoint": "<IP_ADDRESS>",
      "remote_identities": {
        "hex_id": "",
        "fqdn_id": "",
        "user_id": ""
      },
      "psk_metadata": {
        "last_generated_on": "2025-03-13T14:28:47.054318Z"
      },
      "description": "<TUNNEL_DESCRIPTION>",
      "health_check": {
        "enabled": true,
        "target": "",
        "type": "reply",
        "rate": "mid",
        "direction": "bidirectional"
      }
    }
  },
  "success": true,
  "errors": [],
  "messages": []
}