一句话理解#

Cloudflare Tunnel 是 Fedora 主动“拨出去”的加密连接，把一个 HTTPS 子域名转发到 Fedora 本机的服务。

1
Dify Cloud
2
  |
3
  | HTTPS + Bearer API Key
4
  v
5
https://embed.example.com
6
  |
7
  | Cloudflare 网络
8
  v
9
cloudflared（Fedora 上的 systemd 服务）
10
  |
11
  | http://127.0.0.1:8080
12
  v
13
TEI Podman 容器 -> NVIDIA GPU -> Embedding 模型

这里的对象各自负责不同事情：

必须先记住的边界#

你的 TEI 仍然应保持：

1
127.0.0.1:8080

不要把它改为 0.0.0.0:8080，也不需要在 Fedora 防火墙里放行 8080。Tunnel 走的是 Fedora 向外建立的连接；Cloudflare 官方说明它不要求入站端口或公网 IP。

1. 先确认 TEI 本机可用#

Tunnel 只能转发正常的本地服务，不能修复一个没有启动的 TEI。

1
sudo systemctl status --no-pager tei.service
2
sudo ss -ltnp | grep ':8080'

如果你还没有执行上一章的 Quadlet 自动启动配置，也可以用：

1
sudo podman ps

确认 tei 状态是 Up。

再用真实 Key 请求本机接口：

1
read -rsp 'TEI API Key: ' TEI_API_KEY
2
echo
3

4
curl http://127.0.0.1:8080/info \
5
  -H "Authorization: Bearer $TEI_API_KEY"
6

7
unset TEI_API_KEY

预期返回 JSON。若此处失败，先回到 Podman 与 TEI 教程，不要创建 Tunnel。

2. Cloudflare 侧必须具备的条件#

你需要：

1. 一个 Cloudflare 账户。
2. 一个已经添加到 Cloudflare 的域名，例如 example.com。
3. 该域名在 Dashboard 中状态为 Active，而不是等待修改 DNS Nameserver。

本章使用单层子域名：

1
embed.example.com

不要先使用 api.embed.example.com 这种多层子域名。Cloudflare 当前文档提示，多层子域名可能需要额外的 Advanced Certificate；单层 embed 不会引入这个变量。

3. 网络前提#

Fedora 必须能访问互联网。Tunnel 主要需要向 Cloudflare 发起出站连接；如果服务器在严格公司网络内，管理员应允许到 Cloudflare 的出站 7844 端口。不需要开放入站 8080。

一句话理解#

cloudflared 是 Fedora 上真正执行转发的客户端程序；Dashboard 里的 Tunnel 配置不会自己跑到你的机器上。

1. 添加 Cloudflare 官方 RPM 仓库#

以下写法先下载到临时文件再安装仓库文件，便于你检查每一步是否成功：

1
curl -fsSL https://pkg.cloudflare.com/cloudflared.repo \
2
  -o /tmp/cloudflared.repo
3

4
sudo install -m 0644 \
5
  /tmp/cloudflared.repo \
6
  /etc/yum.repos.d/cloudflared.repo

确认仓库文件存在：

1
sudo cat /etc/yum.repos.d/cloudflared.repo

2. 安装并验证版本#

1
sudo dnf makecache --refresh
2
sudo dnf install -y cloudflared
3
cloudflared --version

最后一条应输出版本号。

常见坑#

• dnf 找不到 cloudflared：先检查 /etc/yum.repos.d/cloudflared.repo 是否存在，再重新执行 sudo dnf makecache --refresh。
• 不要安装 cloudflare-warp 来替代 cloudflared。它们是不同程序；本章需要的是 Tunnel Connector。
• 不要使用网络文章里的旧 RPM 地址；本章以 Cloudflare 当前官方包仓库为准。

为什么选“远程管理”而不选本地配置文件#

Cloudflare 当前推荐远程管理 Tunnel：路由和配置保存在 Cloudflare Dashboard，可以从任何机器管理。你只需要让 Fedora 运行一个带 Tunnel Token 的 Connector。

本章不使用：

1
cloudflared tunnel create ...

那是 locally-managed tunnel 的方式，适合本地开发、测试或旧配置；它要求你自己维护本地凭据和 YAML 配置，不适合你现在把 TEI 稳定交给 Dify 的目标。

Dashboard 操作#

1. 登录 Cloudflare Dashboard。

2. 进入 Networking -> Tunnels。

3. 点 Create a tunnel。

4. 选择 Cloudflared，名称填写：

   1
   tei-fedora
   

5. 创建后选择 Linux。

6. Dashboard 会显示一条形如下面的命令：

   1
   sudo cloudflared service install <TUNNEL_TOKEN>
   

7. 只复制 Dashboard 为这个 Tunnel 生成的完整命令，到 Fedora 执行。

Tunnel Token 是什么#

TUNNEL_TOKEN 是让 cloudflared 证明“这台 Fedora 机器有权连接这个特定 Tunnel”的凭据。

• 它不是 Dify 的 API Key。
• 它不是 TEI 的 API Key。
• 不要发到聊天记录、Git 仓库、截图或 Markdown 文件。
• 如果怀疑泄露，在 Cloudflare Dashboard 中轮换该 Tunnel 的 Token，然后在 Fedora 重新安装服务。

执行成功后检查：

1
sudo systemctl status --no-pager cloudflared

预期看到：

1
Active: active (running)

持续查看服务日志：

1
sudo journalctl -u cloudflared -f

回到 Dashboard，Tunnel 状态应显示 Healthy。Ctrl+C 只停止看日志，不会停止 Tunnel 服务。

已在另一台机器运行同一个 Tunnel 时#

不要让 macOS 和 Fedora 同时运行同一个专门指向 Fedora TEI 的 Tunnel。Cloudflare 可以把请求交给任一 Connector；如果请求刚好分到 macOS，但 macOS 的 127.0.0.1:8080 没有 TEI，就会出现间歇性 502。

最清楚的做法是：为 Fedora 创建独立的 tei-fedora Tunnel；旧 Mac Connector 如不再使用则停止它。

一句话理解#

Published application route 就是一条明确的转发表：

1
https://embed.example.com
2
        ->
3
http://127.0.0.1:8080

这里 TEI 本机是 HTTP，不是 HTTPS；HTTPS 由 Cloudflare 面向 Dify 提供。

Dashboard 操作#

1. 进入 Networking -> Tunnels，打开 tei-fedora。
2. 打开 Routes 标签。
3. 选择 Add route -> Published application。
4. 按下面填写：

5. 保存。

Cloudflare 会自动创建指向该 Tunnel 的 DNS 记录；不要再手动创建一条普通 A 记录指向 Fedora 的公网 IP。

端到端验证#

等 Tunnel 状态显示 Healthy、路由保存完成后，从任意联网终端执行：

1
read -rsp 'TEI API Key: ' TEI_API_KEY
2
echo
3

4
curl https://embed.你的域名/info \
5
  -H "Authorization: Bearer $TEI_API_KEY"
6

7
unset TEI_API_KEY

预期：返回和本机 http://127.0.0.1:8080/info 相同类型的 JSON。

这个结果证明下面整条链路都工作：

1
公网 HTTPS 域名 -> Cloudflare -> Tunnel -> Fedora cloudflared -> TEI

两个最常见错误#

一句话理解#

Dify 不直接知道你的 Fedora；它只把 https://embed.你的域名 当作一个需要 API Key 的远程 TEI 服务。

在 Dify Cloud 的 Settings / 设置 -> Model Provider / 模型供应商 -> Text Embedding Inference 中新增模型，填写：

不要把 Server URL 写成：

1
http://127.0.0.1:8080

这是 Dify Cloud 自己的 localhost，不是 Fedora。也不要自行加 /v1，先按 Dify 该 Provider 的 URL 字段校验结果为准。

保存后，在 Dify 创建或重新索引知识库时选择这个 Embedding 模型。成功生成索引，才说明 Dify 已实际调用 Fedora 上的 TEI。

心智模型#

你现在有两个自动恢复服务：

1
systemd
2
  |- tei.service          -> 启动 Podman 中的 TEI
3
  `- cloudflared.service  -> 连接 Cloudflare，并转发到 127.0.0.1:8080

Fedora 重启后，先让两个服务自己恢复，再检查：

1
sudo systemctl status --no-pager tei.service
2
sudo systemctl status --no-pager cloudflared

日常命令：

1
# Tunnel 状态与日志
2
sudo systemctl status cloudflared
3
sudo journalctl -u cloudflared -f
4

5
# 重启 Tunnel（修改 Cloudflare Dashboard 路由后通常不需要；本机网络异常时才用）
6
sudo systemctl restart cloudflared
7

8
# TEI 状态与日志
9
sudo systemctl status tei.service
10
sudo journalctl -u tei.service -f

不要使用 Quick Tunnel 作为 Dify 的长期入口#

1
cloudflared tunnel --url http://127.0.0.1:8080

这会生成随机 trycloudflare.com 地址，适合临时演示，不适合 Dify 的稳定 Provider 地址。Cloudflare 官方也将 Quick Tunnel 定位为开发测试用途，且有并发限制。