这类工具最值得先看的不是功能列表而是能不能在普通环境里稳定跑起来以及从本地到外网访问的链路能不能走通。n8n 作为一个开源的工作流自动化平台很多人想把它部署在本地服务器或家用电脑上但问题往往出在最后一步——如何让外网安全地访问到它。直接暴露端口风险太高用传统的云服务器做跳转又需要额外成本。Cloudflare Tunnel 提供了一种免费、相对安全的内网穿透方案正好能解决这个痛点。我建议先从最小样例开始。整个流程可以拆成三步在本地把 n8n 用 Docker Compose 跑起来、配置 Cloudflare Zero Trust 账号并创建隧道、最后把隧道指向本地的 n8n 服务。这里最容易忽略的是路径和权限尤其是 Docker 容器网络、Cloudflare 的令牌权限以及本地防火墙设置。下面按实际落地顺序拆一遍重点讲清楚每个环节的判断标准和常见坑点。1. 先理清本地部署 n8n 的核心依赖和前置条件在考虑内网穿透之前必须确保 n8n 在本地环境能独立、稳定地运行。很多人一上来就折腾隧道配置结果发现本地服务都没起来排查方向就错了。1.1 环境准备Docker 与 Docker Compose 的版本确认n8n 官方推荐使用 Docker 部署这是为了隔离环境依赖避免和系统已有的 Node.js 或数据库冲突。你需要的是 Docker Engine 和 Docker Compose 插件或独立的 docker-compose 工具。首先别急着拉镜像先确认基础环境# 检查 Docker 服务状态和版本 docker --version sudo systemctl status docker # 对于 Linux 系统确保服务是 active (running) # 检查 Docker Compose 可用性 docker compose version # 如果上述命令报错尝试旧版命令 docker-compose --version关键点在于docker compose version这个命令。在较新的 Docker 安装中compose是作为一个插件Plugin存在的命令是docker compose中间有空格。如果你看到docker: ‘compose‘ is not a docker command.这类错误说明可能需要单独安装docker-compose这个二进制文件或者你的 Docker 版本太旧。对于 Ubuntu/Debian 系统可以通过apt install docker-compose-plugin来安装插件。版本号建议在 v2.0 以上。1.2 编写最小化的 docker-compose.yml 文件不要直接使用过于复杂的生产配置。先用一个最简配置把服务拉起来验证核心功能。下面是一个专注于“能跑通”的配置version: ‘3.8‘ services: n8n: image: n8nio/n8n:latest container_name: n8n_app restart: unless-stopped ports: - 5678:5678 # n8n 默认的 Web 界面和 API 端口 environment: - N8N_PROTOCOLhttp - N8N_HOSTlocalhost - N8N_PORT5678 - N8N_EDITOR_BASE_URLhttp://localhost:5678/ - WEBHOOK_URLhttp://localhost:5678/ - GENERIC_TIMEZONEAsia/Shanghai # 数据库配置先使用内置的 SQLite简化初次部署 - DB_TYPEsqlite - DB_SQLITE_DATABASE/home/node/.n8n/database.sqlite volumes: - n8n_data:/home/node/.n8n networks: - n8n_network volumes: n8n_data: networks: n8n_network: driver: bridge这个配置做了几件事端口映射将容器内的 5678 端口映射到宿主机的 5678 端口。这意味着你在本地浏览器访问http://localhost:5678就能看到 n8n 界面。数据持久化通过命名卷n8n_data将 n8n 的工作流、凭证等数据保存在 Docker 管理的数据卷中即使容器删除数据也不会丢失。使用 SQLite对于初次部署和测试内置 SQLite 数据库完全足够避免了额外部署 PostgreSQL 或 MySQL 的复杂度。生产环境再考虑迁移。设置时区GENERIC_TIMEZONE环境变量让 n8n 内部任务调度使用东八区时间。把上面的内容保存为docker-compose.yml然后在同一目录下执行docker compose up -d命令中的-d是让容器在后台运行。如果一切正常你会看到类似[] Running 2/2的提示并且容器状态为Up。1.3 验证本地服务状态与常见启动问题启动后不要假设它一定成功了。按顺序做下面几个检查检查容器状态docker compose ps应该看到n8n_app服务的状态是Up。如果状态是Exit或Restarting就需要查看日志。查看启动日志docker compose logs n8n重点关注日志末尾。成功的启动日志会包含Server is running on http://0.0.0.0:5678这样的信息。常见的启动失败原因有端口冲突宿主机 5678 端口已被其他程序占用。可以改用其他端口如- 5679:5678。权限问题Docker 守护进程没有权限创建或写入卷。在 Linux 上可能需要用sudo运行或者将当前用户加入docker用户组。镜像拉取失败网络问题导致无法拉取n8nio/n8n:latest镜像。可以尝试配置 Docker 镜像加速器。访问 Web 界面 在本地机器的浏览器中打开http://localhost:5678。你应该能看到 n8n 的注册/登录界面。如果能打开说明本地部署成功。注意如果本地都访问不了那么内网穿透配置得再完美也无济于事。务必先确保这一步是通的。2. 理解 Cloudflare Tunnel 的原理与账号准备本地服务通了接下来是打通内网到公网的通道。Cloudflare Tunnel以前叫 Argo Tunnel的原理是在你的本地网络和 Cloudflare 的边缘网络之间建立一个加密的、出站outbound-only的连接。因为连接是由本地发起的所以你不需要在路由器上设置端口转发也不需要公有 IP防火墙通常也不会阻挡。2.1 为什么选择 Cloudflare Tunnel 而不是其他工具对比一下常见的方案Ngrok非常方便但免费版有域名随机、连接时长和带宽限制。frp需要自己有一台有公网 IP 的 VPS 作为服务端配置稍复杂但可控性强。Cpolar国内类似 Ngrok 的服务免费版也有限制。Cloudflare Tunnel完全免费不限流量但有合理使用政策可以使用你自己的域名连接稳定且集成在 Cloudflare 的安全生态中Zero Trust。对于 n8n 这种可能需要长期运行、偶尔从外网访问的服务Cloudflare Tunnel 在免费、稳定和安全性上是一个不错的平衡点。它的核心组件是cloudflared这个守护进程运行在你的本地环境负责建立和维护隧道。2.2 注册 Cloudflare 并添加域名这是必要的前置条件访问 Cloudflare 官网注册一个免费账户。你需要拥有一个自己的域名例如yourdomain.com。在 Cloudflare 控制台添加这个域名并按照指引将其 DNS 服务器切换到 Cloudflare 提供的地址。这个过程可能需要几分钟到几小时生效。域名在 Cloudflare 上状态变为“有效”后进入Zero Trust面板以前叫 Teams。这是配置 Tunnel 的地方。注意Cloudflare 的 Zero Trust 功能有免费套餐足够个人和小团队使用。确保你的账号能访问 Zero Trust 面板。2.3 在 Zero Trust 中创建隧道并获取连接凭证在 Zero Trust 面板导航到Access-Tunnels。点击Create a tunnel。给隧道起个名字比如n8n-tunnel。选择连接器类型为Docker。页面上会显示一个 Docker 运行命令其中包含一个长长的令牌Token格式类似docker run cloudflare/cloudflared tunnel --no-autoupdate run --token eyJ...。这个令牌是关键它授权你的本地cloudflared实例连接到 Cloudflare 并归属到这个隧道。非常重要先不要关闭这个页面也不要急着运行命令。先把令牌复制并安全地保存下来例如保存在本地的credentials.txt文件。页面上的 Docker 运行命令是通用示例我们需要将它整合到我们的docker-compose.yml中而不是单独运行。3. 将 Cloudflare Tunnel 集成到 Docker Compose 环境我们的目标不是单独运行一个cloudflared容器而是让它和 n8n 容器在同一个 Docker 网络里并能将流量代理到 n8n 服务。这样更便于管理。3.1 修改 docker-compose.yml 以包含 cloudflared更新你的docker-compose.yml文件添加cloudflared服务version: ‘3.8‘ services: n8n: image: n8nio/n8n:latest container_name: n8n_app restart: unless-stopped # 注意我们不再需要将端口映射到宿主机因为外部访问将通过 Cloudflare Tunnel # ports: # - 5678:5678 environment: - N8N_PROTOCOLhttp - N8N_HOSTn8n_app # 改为容器名供 cloudflared 内部访问 - N8N_PORT5678 - N8N_EDITOR_BASE_URLhttps://n8n.yourdomain.com # 必须改为你的隧道公网地址 - WEBHOOK_URLhttps://n8n.yourdomain.com # 必须改为你的隧道公网地址 - GENERIC_TIMEZONEAsia/Shanghai - DB_TYPEsqlite - DB_SQLITE_DATABASE/home/node/.n8n/database.sqlite volumes: - n8n_data:/home/node/.n8n networks: - n8n_network cloudflared: image: cloudflare/cloudflared:latest container_name: n8n_tunnel restart: unless-stopped command: tunnel --no-autoupdate run --token ${CLOUDFLARED_TOKEN} # 从环境变量读取令牌 environment: - CLOUDFLARED_TOKEN${CLOUDFLARED_TOKEN} # 令牌通过外部环境文件传入更安全 networks: - n8n_network depends_on: - n8n volumes: n8n_data: networks: n8n_network: driver: bridge关键改动解析注释掉 n8n 的ports映射既然不走宿主机的端口映射我们可以移除它让服务完全在 Docker 内部网络运行更安全。修改 n8n 的环境变量N8N_HOST: 从localhost改为n8n_appn8n 容器的服务名。这样在 Docker 网络内部cloudflared容器可以通过http://n8n_app:5678访问到 n8n 服务。N8N_EDITOR_BASE_URL和WEBHOOK_URL:这是至关重要的一步。必须将它们设置为你的隧道将要使用的公网 HTTPS 地址例如https://n8n.yourdomain.com。因为 n8n 生成工作流 URL 或 Webhook URL 时会基于这个变量。如果这里还是localhost那么从外网访问时链接会指向错误的地方。新增cloudflared服务使用官方镜像。command指定了运行隧道的命令并引用了环境变量CLOUDFLARED_TOKEN。depends_on: 确保cloudflared在n8n服务启动之后才启动。它们共享n8n_network使得容器间可以互相通信。3.2 安全地管理 Cloudflare Token把 Token 直接写在docker-compose.yml里是不安全的特别是如果你要把文件提交到 Git。标准的做法是使用环境变量文件。在docker-compose.yml同目录下创建一个名为.env的文件注意开头有个点。在.env文件中写入CLOUDFLARED_TOKENeyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...你的完整Token确保.env文件被添加到.gitignore中避免泄露。Docker Compose 会自动读取同目录下的.env文件并将其中的变量注入到服务环境中。3.3 配置隧道公网域名CNAME 记录回到 Cloudflare Zero Trust 的 Tunnels 页面找到你刚才创建的隧道n8n-tunnel。在隧道详情页点击Configure配置你的隧道。在Public Hostnames公共主机名标签页下点击Add a public hostname。进行如下配置Subdomain: 输入n8n或其他你喜欢的子域名Domain: 选择你在 Cloudflare 上托管的域名如yourdomain.comPath: 留空表示根路径Service: 选择HTTPURL: 输入http://n8n_app:5678注意这里填的是 Docker 内部地址和端口不是 localhost:5678点击Save hostname。配置完成后Cloudflare 会自动为你创建一条CNAME记录将n8n.yourdomain.com指向你的隧道地址形如xxxxx.trycloudflare.com。这个过程是瞬间完成的。4. 启动、验证与排错全流程所有配置完成后现在是启动和验证的时候了。4.1 启动复合服务栈在包含docker-compose.yml和.env文件的目录下运行docker compose up -d这次会启动两个服务n8n_app和n8n_tunnel。使用docker compose ps检查两者状态是否都为Up。4.2 验证隧道连接与公网访问查看隧道日志docker compose logs cloudflared关注日志输出。成功的连接会显示Registered tunnel connection、Connection X registered等信息并且没有持续的报错。如果看到ERR Failed to connect to edge或permission denied通常是 Token 无效或网络问题。验证公网访问 在任何能上互联网的设备上比如你的手机关闭 WiFi 用蜂窝数据打开浏览器访问https://n8n.yourdomain.com。成功你应该看到和本地localhost:5678一样的 n8n 登录界面。Cloudflare 会自动提供 HTTPS 证书地址栏会有锁标志。失败如果看到 Cloudflare 的502 Bad Gateway、1033 Error或隧道未连接等错误页面说明隧道没有正确代理到后端服务。4.3 系统性排错指南如果公网访问失败不要盲目重试。按照以下顺序排查第一步检查本地 n8n 服务是否健康在宿主机上执行docker compose exec n8n curl -s http://localhost:5678/healthz如果 n8n 有健康检查端点或者直接docker compose logs n8n查看 n8n 容器是否在正常运行并监听端口。确保 n8n 本身没问题。第二步检查 Docker 内部网络连通性进入cloudflared容器内部测试是否能访问到 n8n 服务docker compose exec cloudflared /bin/sh # 进入容器后执行 curl -v http://n8n_app:5678如果这里curl失败超时或连接拒绝说明 Docker 网络配置有问题或者 n8n 服务没有在5678端口监听。检查docker-compose.yml中的网络定义和服务名称。第三步检查 Cloudflare Tunnel 配置登录 Cloudflare Zero Trust 面板进入你的隧道检查Connectors状态应该有一个连接器在线显示为绿色。检查Public Hostnames配置确认 URL 字段确实是http://n8n_app:5678并且没有拼写错误。检查 Cloudflare 域名管理的DNS页面确认n8n.yourdomain.com的 CNAME 记录已正确创建并生效灰色云朵图标应为橙色表示流量经过代理。第四步检查环境变量与 Token确认.env文件中的CLOUDFLARED_TOKEN完整且正确没有多余空格或换行。可以运行docker compose exec cloudflared printenv CLOUDFLARED_TOKEN来验证容器内环境变量是否已正确设置。Token 过期或失效在 Zero Trust 面板的隧道设置中可以Rotate轮转Token生成一个新的然后更新你的.env文件并重启服务docker compose restart cloudflared。第五步检查防火墙与出站连接虽然 Cloudflare Tunnel 是出站连接但某些严格的网络环境如公司网络可能会限制出站连接到特定端口。cloudflared默认使用 7844 等端口与 Cloudflare 通信。确保你的本地网络允许这些出站连接。4.4 配置 n8n 的 Webhook 与外部触发这是部署 n8n 的最终目的。由于我们使用了隧道Webhook URL 必须是公网可访问的。在 n8n 中创建一个 Webhook 触发节点。生成的 Webhook URL 将会是https://n8n.yourdomain.com/webhook/xxxxx格式。这个 URL 可以被其他互联网服务如 GitHub、Slack、飞书机器人等调用。测试这个 Webhook你可以使用curl或 Postman 向这个 URL 发送一个 POST 请求看看 n8n 工作流是否能被触发。curl -X POST https://n8n.yourdomain.com/webhook/your-webhook-path -H “Content-Type: application/json“ -d ‘{“test“: “value“}‘5. 生产环境考量与长期维护建议把服务跑起来只是第一步。如果要长期、稳定地使用还需要考虑以下几个问题。5.1 数据持久化与备份我们使用了 Docker 卷n8n_data。你可以找到这个卷在宿主机上的实际位置进行备份# 查找卷的实际路径 docker volume inspect n8n_n8n_data | grep “Mountpoint“定期备份这个目录下的所有文件。更稳妥的做法是将数据库从 SQLite 迁移到 PostgreSQL并配置数据库的定期备份策略。5.2 安全性加固n8n 身份验证务必在 n8n 的设置中启用用户认证设置强密码不要使用默认凭证。Cloudflare Zero Trust 策略Cloudflare Access 可以让你在隧道入口设置额外的安全策略例如要求使用特定邮箱登录、要求来自特定国家 IP 等。这对于保护管理界面非常有用。限制公开访问如果 n8n 只是你自己管理可以考虑不设置 Public Hostname而是通过 Cloudflare WARP 客户端和 Zero Trust 规则只允许你自己的设备接入专用网络后访问实现真正的“零信任”内网访问。保持更新定期更新n8n和cloudflared的 Docker 镜像到最新版本以获取安全补丁。5.3 监控与日志日志收集使用docker compose logs -f n8n cloudflared可以实时查看日志。对于生产环境建议将容器日志导出到集中式日志系统如 Loki、ELK。健康检查可以在docker-compose.yml中为服务添加healthcheck配置让 Docker 能监控服务健康状态。资源监控使用docker stats或cAdvisor、Prometheus等工具监控容器 CPU、内存使用情况。5.4 性能与扩展资源限制在docker-compose.yml中为服务设置deploy.resources.limits防止单个容器占用过多资源影响宿主机。高可用考虑单点部署有风险。对于关键业务可以考虑在多个宿主机上部署 n8n 实例前面用负载均衡器或者探索 n8n 的企业版高可用方案。工作流优化复杂的、长时间运行的工作流可能会阻塞 n8n 实例。合理使用队列、定时触发和错误处理机制。我个人更建议先把单任务跑稳再考虑批量和接口。这个方案真正落地时最该盯住的不是功能列表而是输入格式、资源占用和失败重试。踩过几次之后我发现很多问题不是工具能力不够而是前置环境和输入材料没有处理干净。对于 n8n 加 Cloudflare Tunnel 这个组合成功的关键就在于三处配置n8n 容器内的BASE_URL、隧道配置中的Service URL以及 Docker 内部网络的连通性。把这三点对齐剩下的就是按部就班的启动和验证了。 
长河君 · 2026/8/24 12:54:30 · 阅读 1.2k 使用Cloudflare Tunnel实现n8n本地部署与安全外网访问
这类工具最值得先看的不是功能列表而是能不能在普通环境里稳定跑起来以及从本地到外网访问的链路能不能走通。n8n 作为一个开源的工作流自动化平台很多人想把它部署在本地服务器或家用电脑上但问题往往出在最后一步——如何让外网安全地访问到它。直接暴露端口风险太高用传统的云服务器做跳转又需要额外成本。Cloudflare Tunnel 提供了一种免费、相对安全的内网穿透方案正好能解决这个痛点。我建议先从最小样例开始。整个流程可以拆成三步在本地把 n8n 用 Docker Compose 跑起来、配置 Cloudflare Zero Trust 账号并创建隧道、最后把隧道指向本地的 n8n 服务。这里最容易忽略的是路径和权限尤其是 Docker 容器网络、Cloudflare 的令牌权限以及本地防火墙设置。下面按实际落地顺序拆一遍重点讲清楚每个环节的判断标准和常见坑点。1. 先理清本地部署 n8n 的核心依赖和前置条件在考虑内网穿透之前必须确保 n8n 在本地环境能独立、稳定地运行。很多人一上来就折腾隧道配置结果发现本地服务都没起来排查方向就错了。1.1 环境准备Docker 与 Docker Compose 的版本确认n8n 官方推荐使用 Docker 部署这是为了隔离环境依赖避免和系统已有的 Node.js 或数据库冲突。你需要的是 Docker Engine 和 Docker Compose 插件或独立的 docker-compose 工具。首先别急着拉镜像先确认基础环境# 检查 Docker 服务状态和版本 docker --version sudo systemctl status docker # 对于 Linux 系统确保服务是 active (running) # 检查 Docker Compose 可用性 docker compose version # 如果上述命令报错尝试旧版命令 docker-compose --version关键点在于docker compose version这个命令。在较新的 Docker 安装中compose是作为一个插件Plugin存在的命令是docker compose中间有空格。如果你看到docker: ‘compose‘ is not a docker command.这类错误说明可能需要单独安装docker-compose这个二进制文件或者你的 Docker 版本太旧。对于 Ubuntu/Debian 系统可以通过apt install docker-compose-plugin来安装插件。版本号建议在 v2.0 以上。1.2 编写最小化的 docker-compose.yml 文件不要直接使用过于复杂的生产配置。先用一个最简配置把服务拉起来验证核心功能。下面是一个专注于“能跑通”的配置version: ‘3.8‘ services: n8n: image: n8nio/n8n:latest container_name: n8n_app restart: unless-stopped ports: - 5678:5678 # n8n 默认的 Web 界面和 API 端口 environment: - N8N_PROTOCOLhttp - N8N_HOSTlocalhost - N8N_PORT5678 - N8N_EDITOR_BASE_URLhttp://localhost:5678/ - WEBHOOK_URLhttp://localhost:5678/ - GENERIC_TIMEZONEAsia/Shanghai # 数据库配置先使用内置的 SQLite简化初次部署 - DB_TYPEsqlite - DB_SQLITE_DATABASE/home/node/.n8n/database.sqlite volumes: - n8n_data:/home/node/.n8n networks: - n8n_network volumes: n8n_data: networks: n8n_network: driver: bridge这个配置做了几件事端口映射将容器内的 5678 端口映射到宿主机的 5678 端口。这意味着你在本地浏览器访问http://localhost:5678就能看到 n8n 界面。数据持久化通过命名卷n8n_data将 n8n 的工作流、凭证等数据保存在 Docker 管理的数据卷中即使容器删除数据也不会丢失。使用 SQLite对于初次部署和测试内置 SQLite 数据库完全足够避免了额外部署 PostgreSQL 或 MySQL 的复杂度。生产环境再考虑迁移。设置时区GENERIC_TIMEZONE环境变量让 n8n 内部任务调度使用东八区时间。把上面的内容保存为docker-compose.yml然后在同一目录下执行docker compose up -d命令中的-d是让容器在后台运行。如果一切正常你会看到类似[] Running 2/2的提示并且容器状态为Up。1.3 验证本地服务状态与常见启动问题启动后不要假设它一定成功了。按顺序做下面几个检查检查容器状态docker compose ps应该看到n8n_app服务的状态是Up。如果状态是Exit或Restarting就需要查看日志。查看启动日志docker compose logs n8n重点关注日志末尾。成功的启动日志会包含Server is running on http://0.0.0.0:5678这样的信息。常见的启动失败原因有端口冲突宿主机 5678 端口已被其他程序占用。可以改用其他端口如- 5679:5678。权限问题Docker 守护进程没有权限创建或写入卷。在 Linux 上可能需要用sudo运行或者将当前用户加入docker用户组。镜像拉取失败网络问题导致无法拉取n8nio/n8n:latest镜像。可以尝试配置 Docker 镜像加速器。访问 Web 界面 在本地机器的浏览器中打开http://localhost:5678。你应该能看到 n8n 的注册/登录界面。如果能打开说明本地部署成功。注意如果本地都访问不了那么内网穿透配置得再完美也无济于事。务必先确保这一步是通的。2. 理解 Cloudflare Tunnel 的原理与账号准备本地服务通了接下来是打通内网到公网的通道。Cloudflare Tunnel以前叫 Argo Tunnel的原理是在你的本地网络和 Cloudflare 的边缘网络之间建立一个加密的、出站outbound-only的连接。因为连接是由本地发起的所以你不需要在路由器上设置端口转发也不需要公有 IP防火墙通常也不会阻挡。2.1 为什么选择 Cloudflare Tunnel 而不是其他工具对比一下常见的方案Ngrok非常方便但免费版有域名随机、连接时长和带宽限制。frp需要自己有一台有公网 IP 的 VPS 作为服务端配置稍复杂但可控性强。Cpolar国内类似 Ngrok 的服务免费版也有限制。Cloudflare Tunnel完全免费不限流量但有合理使用政策可以使用你自己的域名连接稳定且集成在 Cloudflare 的安全生态中Zero Trust。对于 n8n 这种可能需要长期运行、偶尔从外网访问的服务Cloudflare Tunnel 在免费、稳定和安全性上是一个不错的平衡点。它的核心组件是cloudflared这个守护进程运行在你的本地环境负责建立和维护隧道。2.2 注册 Cloudflare 并添加域名这是必要的前置条件访问 Cloudflare 官网注册一个免费账户。你需要拥有一个自己的域名例如yourdomain.com。在 Cloudflare 控制台添加这个域名并按照指引将其 DNS 服务器切换到 Cloudflare 提供的地址。这个过程可能需要几分钟到几小时生效。域名在 Cloudflare 上状态变为“有效”后进入Zero Trust面板以前叫 Teams。这是配置 Tunnel 的地方。注意Cloudflare 的 Zero Trust 功能有免费套餐足够个人和小团队使用。确保你的账号能访问 Zero Trust 面板。2.3 在 Zero Trust 中创建隧道并获取连接凭证在 Zero Trust 面板导航到Access-Tunnels。点击Create a tunnel。给隧道起个名字比如n8n-tunnel。选择连接器类型为Docker。页面上会显示一个 Docker 运行命令其中包含一个长长的令牌Token格式类似docker run cloudflare/cloudflared tunnel --no-autoupdate run --token eyJ...。这个令牌是关键它授权你的本地cloudflared实例连接到 Cloudflare 并归属到这个隧道。非常重要先不要关闭这个页面也不要急着运行命令。先把令牌复制并安全地保存下来例如保存在本地的credentials.txt文件。页面上的 Docker 运行命令是通用示例我们需要将它整合到我们的docker-compose.yml中而不是单独运行。3. 将 Cloudflare Tunnel 集成到 Docker Compose 环境我们的目标不是单独运行一个cloudflared容器而是让它和 n8n 容器在同一个 Docker 网络里并能将流量代理到 n8n 服务。这样更便于管理。3.1 修改 docker-compose.yml 以包含 cloudflared更新你的docker-compose.yml文件添加cloudflared服务version: ‘3.8‘ services: n8n: image: n8nio/n8n:latest container_name: n8n_app restart: unless-stopped # 注意我们不再需要将端口映射到宿主机因为外部访问将通过 Cloudflare Tunnel # ports: # - 5678:5678 environment: - N8N_PROTOCOLhttp - N8N_HOSTn8n_app # 改为容器名供 cloudflared 内部访问 - N8N_PORT5678 - N8N_EDITOR_BASE_URLhttps://n8n.yourdomain.com # 必须改为你的隧道公网地址 - WEBHOOK_URLhttps://n8n.yourdomain.com # 必须改为你的隧道公网地址 - GENERIC_TIMEZONEAsia/Shanghai - DB_TYPEsqlite - DB_SQLITE_DATABASE/home/node/.n8n/database.sqlite volumes: - n8n_data:/home/node/.n8n networks: - n8n_network cloudflared: image: cloudflare/cloudflared:latest container_name: n8n_tunnel restart: unless-stopped command: tunnel --no-autoupdate run --token ${CLOUDFLARED_TOKEN} # 从环境变量读取令牌 environment: - CLOUDFLARED_TOKEN${CLOUDFLARED_TOKEN} # 令牌通过外部环境文件传入更安全 networks: - n8n_network depends_on: - n8n volumes: n8n_data: networks: n8n_network: driver: bridge关键改动解析注释掉 n8n 的ports映射既然不走宿主机的端口映射我们可以移除它让服务完全在 Docker 内部网络运行更安全。修改 n8n 的环境变量N8N_HOST: 从localhost改为n8n_appn8n 容器的服务名。这样在 Docker 网络内部cloudflared容器可以通过http://n8n_app:5678访问到 n8n 服务。N8N_EDITOR_BASE_URL和WEBHOOK_URL:这是至关重要的一步。必须将它们设置为你的隧道将要使用的公网 HTTPS 地址例如https://n8n.yourdomain.com。因为 n8n 生成工作流 URL 或 Webhook URL 时会基于这个变量。如果这里还是localhost那么从外网访问时链接会指向错误的地方。新增cloudflared服务使用官方镜像。command指定了运行隧道的命令并引用了环境变量CLOUDFLARED_TOKEN。depends_on: 确保cloudflared在n8n服务启动之后才启动。它们共享n8n_network使得容器间可以互相通信。3.2 安全地管理 Cloudflare Token把 Token 直接写在docker-compose.yml里是不安全的特别是如果你要把文件提交到 Git。标准的做法是使用环境变量文件。在docker-compose.yml同目录下创建一个名为.env的文件注意开头有个点。在.env文件中写入CLOUDFLARED_TOKENeyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...你的完整Token确保.env文件被添加到.gitignore中避免泄露。Docker Compose 会自动读取同目录下的.env文件并将其中的变量注入到服务环境中。3.3 配置隧道公网域名CNAME 记录回到 Cloudflare Zero Trust 的 Tunnels 页面找到你刚才创建的隧道n8n-tunnel。在隧道详情页点击Configure配置你的隧道。在Public Hostnames公共主机名标签页下点击Add a public hostname。进行如下配置Subdomain: 输入n8n或其他你喜欢的子域名Domain: 选择你在 Cloudflare 上托管的域名如yourdomain.comPath: 留空表示根路径Service: 选择HTTPURL: 输入http://n8n_app:5678注意这里填的是 Docker 内部地址和端口不是 localhost:5678点击Save hostname。配置完成后Cloudflare 会自动为你创建一条CNAME记录将n8n.yourdomain.com指向你的隧道地址形如xxxxx.trycloudflare.com。这个过程是瞬间完成的。4. 启动、验证与排错全流程所有配置完成后现在是启动和验证的时候了。4.1 启动复合服务栈在包含docker-compose.yml和.env文件的目录下运行docker compose up -d这次会启动两个服务n8n_app和n8n_tunnel。使用docker compose ps检查两者状态是否都为Up。4.2 验证隧道连接与公网访问查看隧道日志docker compose logs cloudflared关注日志输出。成功的连接会显示Registered tunnel connection、Connection X registered等信息并且没有持续的报错。如果看到ERR Failed to connect to edge或permission denied通常是 Token 无效或网络问题。验证公网访问 在任何能上互联网的设备上比如你的手机关闭 WiFi 用蜂窝数据打开浏览器访问https://n8n.yourdomain.com。成功你应该看到和本地localhost:5678一样的 n8n 登录界面。Cloudflare 会自动提供 HTTPS 证书地址栏会有锁标志。失败如果看到 Cloudflare 的502 Bad Gateway、1033 Error或隧道未连接等错误页面说明隧道没有正确代理到后端服务。4.3 系统性排错指南如果公网访问失败不要盲目重试。按照以下顺序排查第一步检查本地 n8n 服务是否健康在宿主机上执行docker compose exec n8n curl -s http://localhost:5678/healthz如果 n8n 有健康检查端点或者直接docker compose logs n8n查看 n8n 容器是否在正常运行并监听端口。确保 n8n 本身没问题。第二步检查 Docker 内部网络连通性进入cloudflared容器内部测试是否能访问到 n8n 服务docker compose exec cloudflared /bin/sh # 进入容器后执行 curl -v http://n8n_app:5678如果这里curl失败超时或连接拒绝说明 Docker 网络配置有问题或者 n8n 服务没有在5678端口监听。检查docker-compose.yml中的网络定义和服务名称。第三步检查 Cloudflare Tunnel 配置登录 Cloudflare Zero Trust 面板进入你的隧道检查Connectors状态应该有一个连接器在线显示为绿色。检查Public Hostnames配置确认 URL 字段确实是http://n8n_app:5678并且没有拼写错误。检查 Cloudflare 域名管理的DNS页面确认n8n.yourdomain.com的 CNAME 记录已正确创建并生效灰色云朵图标应为橙色表示流量经过代理。第四步检查环境变量与 Token确认.env文件中的CLOUDFLARED_TOKEN完整且正确没有多余空格或换行。可以运行docker compose exec cloudflared printenv CLOUDFLARED_TOKEN来验证容器内环境变量是否已正确设置。Token 过期或失效在 Zero Trust 面板的隧道设置中可以Rotate轮转Token生成一个新的然后更新你的.env文件并重启服务docker compose restart cloudflared。第五步检查防火墙与出站连接虽然 Cloudflare Tunnel 是出站连接但某些严格的网络环境如公司网络可能会限制出站连接到特定端口。cloudflared默认使用 7844 等端口与 Cloudflare 通信。确保你的本地网络允许这些出站连接。4.4 配置 n8n 的 Webhook 与外部触发这是部署 n8n 的最终目的。由于我们使用了隧道Webhook URL 必须是公网可访问的。在 n8n 中创建一个 Webhook 触发节点。生成的 Webhook URL 将会是https://n8n.yourdomain.com/webhook/xxxxx格式。这个 URL 可以被其他互联网服务如 GitHub、Slack、飞书机器人等调用。测试这个 Webhook你可以使用curl或 Postman 向这个 URL 发送一个 POST 请求看看 n8n 工作流是否能被触发。curl -X POST https://n8n.yourdomain.com/webhook/your-webhook-path -H “Content-Type: application/json“ -d ‘{“test“: “value“}‘5. 生产环境考量与长期维护建议把服务跑起来只是第一步。如果要长期、稳定地使用还需要考虑以下几个问题。5.1 数据持久化与备份我们使用了 Docker 卷n8n_data。你可以找到这个卷在宿主机上的实际位置进行备份# 查找卷的实际路径 docker volume inspect n8n_n8n_data | grep “Mountpoint“定期备份这个目录下的所有文件。更稳妥的做法是将数据库从 SQLite 迁移到 PostgreSQL并配置数据库的定期备份策略。5.2 安全性加固n8n 身份验证务必在 n8n 的设置中启用用户认证设置强密码不要使用默认凭证。Cloudflare Zero Trust 策略Cloudflare Access 可以让你在隧道入口设置额外的安全策略例如要求使用特定邮箱登录、要求来自特定国家 IP 等。这对于保护管理界面非常有用。限制公开访问如果 n8n 只是你自己管理可以考虑不设置 Public Hostname而是通过 Cloudflare WARP 客户端和 Zero Trust 规则只允许你自己的设备接入专用网络后访问实现真正的“零信任”内网访问。保持更新定期更新n8n和cloudflared的 Docker 镜像到最新版本以获取安全补丁。5.3 监控与日志日志收集使用docker compose logs -f n8n cloudflared可以实时查看日志。对于生产环境建议将容器日志导出到集中式日志系统如 Loki、ELK。健康检查可以在docker-compose.yml中为服务添加healthcheck配置让 Docker 能监控服务健康状态。资源监控使用docker stats或cAdvisor、Prometheus等工具监控容器 CPU、内存使用情况。5.4 性能与扩展资源限制在docker-compose.yml中为服务设置deploy.resources.limits防止单个容器占用过多资源影响宿主机。高可用考虑单点部署有风险。对于关键业务可以考虑在多个宿主机上部署 n8n 实例前面用负载均衡器或者探索 n8n 的企业版高可用方案。工作流优化复杂的、长时间运行的工作流可能会阻塞 n8n 实例。合理使用队列、定时触发和错误处理机制。我个人更建议先把单任务跑稳再考虑批量和接口。这个方案真正落地时最该盯住的不是功能列表而是输入格式、资源占用和失败重试。踩过几次之后我发现很多问题不是工具能力不够而是前置环境和输入材料没有处理干净。对于 n8n 加 Cloudflare Tunnel 这个组合成功的关键就在于三处配置n8n 容器内的BASE_URL、隧道配置中的Service URL以及 Docker 内部网络的连通性。把这三点对齐剩下的就是按部就班的启动和验证了。