手把手教你用Cloudflare为R2S软路由下的NAS设置DDNS，实现免费外网访问（含URL转发隐藏端口）
零成本构建企业级远程访问：Cloudflare+OpenWrt实现NAS安全外网连接
当你的私人影音库、文档中心或代码仓库躺在家庭NAS中时，能否像使用公有云服务一样随时访问？这套方案将Cloudflare的企业级网络能力注入OpenWrt软路由，通过DDNS与URL转发技术组合，实现无公网IP记忆负担、无端口号暴露风险、无额外硬件成本的三无远程访问体验。我们以R2S这款名片大小的开源硬件为载体，展示如何用免费方案获得商业级远程连接体验。
1. 基础架构设计与安全预检
在开始配置前，需要确认网络拓扑满足"三层黄金法则"：光猫桥接模式、动态公网IP分配、域名自主管控。用网线连接R2S的WAN口与光猫，LAN口下接交换机或AP，形成标准的路由器部署结构。通过ifconfig eth0命令查看WAN口是否获取到公网IP（通常以100/10开头的为运营商内网地址）。
必须完成的四项验证：
- 登录ISP管理后台确认光猫工作模式
- 在OpenWrt控制台执行
curl ifconfig.me获取当前公网IP - 域名NS服务器已迁移至Cloudflare（通常72小时内生效）
- 防火墙放行测试端口（建议临时开启5000用于验证）
提示：部分运营商虽分配公网IP但实行端口封锁，可用
telnet yourdomain.com 80测试关键端口连通性
2. Cloudflare令牌精细化控制
传统DDNS方案需要暴露全局API密钥，而Cloudflare的令牌系统支持细粒度权限控制。登录Cloudflare控制台，在「API令牌」页面点击「创建令牌」，选择"编辑区域DNS"模板，然后进行自定义调整：
| 权限项 | 设置建议 | 安全等级 |
|---|---|---|
| 区域资源 | 限制到特定域名 | ★★★★ |
| DNS编辑权限 | 仅限记录编辑 | ★★★★☆ |
| IP过滤 | 绑定家庭公网IP段 | ★★★★★ |
| TTL设置 | 120秒自动过期 | ★★★☆ |
生成的令牌应保存在OpenWrt的/etc/config/ddns配置文件中，并通过chmod 600限制访问权限。建议每月轮换令牌并在Cloudflare开启操作日志审计。
3. OpenWrt动态DNS深度配置
在R2S的OpenWrt系统中，luci-app-ddns插件是连接Cloudflare的关键枢纽。通过SSH登录路由后台，执行opkg update && opkg install ddns-scripts-cloudflare安装最新驱动。配置文件中这几个参数决定稳定性：
config service 'cloudflare' option enabled '1' option service_name 'cloudflare.com-v4' option domain 'nas.yourdomain.com' option username 'api_token' option password 'YOUR_CF_API_TOKEN' option ip_source 'web' option ip_url 'https://checkip.amazonaws.com' option check_unit 'minutes' option force_unit 'minutes' option retry_unit 'seconds' option use_https '1' option cacert '/etc/ssl/certs/ca-certificates.crt'故障排查三要素：
- 使用
logread -e ddns查看实时日志 - 在Cloudflare面板检查DNS记录TTL值
- 通过
nslookup nas.yourdomain.com 1.1.1.1验证解析
4. 端口隐身与智能路由
暴露端口号不仅影响美观，还会增加被扫描的风险。Cloudflare的页面规则（Page Rules）可以实现URL重写与端口隐藏。进入「页面规则」界面，新建两条规则：
基础转发规则（优先级高）
- URL匹配模式：
nas.yourdomain.com/* - 转发设置：
http://nas.yourdomain.com:5000/$1 - 缓存级别：绕过
- URL匹配模式：
根路径优化（优先级低）
- URL匹配模式：
nas.yourdomain.com - 转发设置：
http://nas.yourdomain.com:5000 - 边缘缓存TTL：2小时
- URL匹配模式：
配合DNS设置中的CNAME记录，可以实现多级子域名转发。例如将movie.yourdomain.com指向NAS的Jellyfin服务端口8096，同时保持URL纯净。
5. 企业级安全加固方案
基础架构就绪后，这些措施将安全等级提升至商业标准：
防火墙策略矩阵：
| 策略类型 | 源地址 | 目标端口 | 动作 | 日志 |
|---|---|---|---|---|
| 入站默认 | ANY | ANY | DROP | 启用 |
| Cloudflare IP白名单 | 官方IP段列表 | 443 | ACCEPT | 禁用 |
| 内网回流 | 192.168.2.0/24 | 5000 | ACCEPT | 启用 |
在Cloudflare的「SSL/TLS」设置中：
- 加密模式选择"完全（严格）"
- 启用Always Use HTTPS
- 配置最小TLS版本为1.2
- 开启WAF的托管规则集
6. 性能调优与监控体系
面对突发流量，这些配置确保服务稳定：
QoS策略（通过
tc命令实现）：tc qdisc add dev eth0 root cake bandwidth 100Mbit besteffort \ dual-dsthost nat nowash监控看板搭建：
- 使用
vnstat -i eth0 -tr查看实时流量 - 配置Prometheus收集DDNS更新频率
- Grafana展示历史带宽图表
- 使用
故障转移方案：
#!/bin/sh if ! ping -c 3 1.1.1.1; then curl -X POST "https://api.cloudflare.com/client/v4/zones/YOUR_ZONE/dns_records" \ -H "Authorization: Bearer YOUR_API_KEY" \ -d '{"type":"A","name":"nas.yourdomain.com","content":"备份IP","ttl":120}' fi
这套系统在我的家庭实验室已稳定运行478天，经历过三次ISP IP变更和两次跨洲旅行访问测试。实际体验中，配合Argo Tunnel可以实现更低的延迟，但现有方案已经能满足4K视频串流和Git代码推送需求。最关键的是，所有组件都运行在这个功耗不足5瓦的R2S设备上。