前言
手上一台海外 VPS，搭建 ZBlog 个人博客，使用宝塔 BT 面板做服务器管理。 网站前台走 Cloudflare 普通 CDN 访问比较稳定，但是宝塔后台直接用 VPS 原始 IP 访问问题很多：国内访问握手超时、速度慢；直接暴露 VPS 真实 IP，有被扫描攻击的风险；而且 CF 普通 CDN 不支持宝塔这种非标准端口，没法直接代理面板。
这次采用 Cloudflare Zero Trust Tunnel（cloudflared 隧道），只做宝塔后台访问。
原理：服务器主动向外建立加密长连到 CF 边缘节点，不需要在服务器防火墙放行宝塔面板端口，不用暴露 VPS 真实公网 IP，免费方案就能用，解决跨境访问宝塔后台超时的问题。
✅ 方案优势
隐藏 VPS 真实源 IP，公网无法直接扫描你的服务器管理端口
不用在安全组 / 防火墙开放宝塔面板端口，减少攻击面
国内走 CF 节点，解决原 IP 跨境 TCP 握手超时，稳定访问 BT 后台
域名无需备案，适配海外 VPS 搭建 ZBlog 博客场景
一条隧道，仅承载宝塔后台访问，不额外配置 SSH 路由，更简洁
📋 前置条件
域名已经托管在 Cloudflare 做 DNS 解析
海外 VPS，系统 Ubuntu 22.04，已装好宝塔 BT 面板，记住宝塔的安全访问目录
ZBlog 博客前台依旧使用常规 CF CDN，和本次后台隧道相互独立，互不干扰
一、CF 后台新建 Zero Trust 隧道
登录 Cloudflare 后台，菜单找到【Networking】→【Tunnels】，点击
Create a tunnel连接器类型选择
Cloudflared，自定义隧道名称（例：blog-bt-admin），保存隧道选择操作系统：Ubuntu / AMD64，页面自动生成安装命令
SSH 登录 VPS，终端执行 cloudflared 服务安装命令
示例（Token 以你后台生成的为准，不要直接复制下面这串）
sudo cloudflared service install 【你的隧道TOKEN】
⚠️ 踩坑提示： 如果提示
cloudflared service is already installed，代表已经安装过服务，不要重复执行 install，直接检查运行状态。
服务器内查看隧道运行状态
systemctl status cloudflared
看到active (running)绿色字样，代表服务器和 CF 隧道连接成功。
回到 CF 隧道页面，隧道状态显示Healthy健康，通道连通正常。
二、添加路由：宝塔 BT 面板网页访问（仅这一条路由即可）
进入隧道详情页，切换【Routes】标签，点击Add route，选择【Published application 添加已发布应用程序】
完整主机名：
panel.你的域名.com（自定义子域名，专门用来访问宝塔后台）路径 (optional)：留空，不填写任何内容
服务 URL：
https://127.0.0.1:你的宝塔面板端口
填写服务器本地回环地址，不是 VPS 公网 IP
展开【其他应用程序设置】
TLS（源站 SSL 证书验证）：关闭 TLS 证书验证 Disable TLS certificate verification
核心关键点：宝塔面板是自签名证书，CF 默认校验证书，不关闭会直接 502 握手失败
HTTP 主机头选项：保留原始主机头 Preserve host header
Access 访问策略（调试阶段）：
Allow everyone，调试成功后建议改成 CF 账号登录验证，提升安全性。
保存路由，等待 1~3 分钟 CF 全网配置生效。
✅ 宝塔后台访问地址：https://panel.你的域名.com/宝塔安全目录
重点提醒：宝塔安全入口后缀不要填写在 CF 路由 Path 框内，只在浏览器地址栏手动输入。
三、踩坑记录（实操避坑）
❌ 错误：CF 路由 Path 填写宝塔安全目录 后果：面板静态资源、CSS 加载异常，页面错乱。✅ Path 保持空白，安全后缀写在浏览器地址栏。
❌ 错误：不关闭源站 TLS 证书校验 后果：CF 校验宝塔自签名证书失败，页面返回 502、握手超时。✅ 必须关闭 TLS 证书验证。
❌ 错误：重复执行 cloudflared service install 一台服务器只需要一次安装，一条隧道承载单条面板路由即可，重复安装会报错。
❌ 误区：ZBlog 前台网站走这条隧道 ZBlog 博客前台继续使用 CF 普通 CDN 解析，隧道只用于宝塔管理后台，前后台分离，性能互不影响。
四、安全加固建议（调试通后台之后，建议操作）
修改这条路由的 Access 策略，不要长期
Allow everyone，开启 CF Zero Trust 身份验证，访问宝塔后台必须登录 CF 账号。服务器防火墙、厂商安全组，可以直接封禁 VPS 公网 IP 的宝塔面板端口，公网无法直接尝试访问你的面板，只能通过 CF 隧道进入。
定期更新 cloudflared 版本，保证隧道客户端安全。
小结
这套方案只用 CF Zero Trust 隧道承载宝塔后台，不额外配置 SSH 路由，配置更简单。 解决海外 VPS 原 IP 国内访问 BT 后台超时问题，同时隐藏服务器真实 IP，提升管理后台安全性；博客网站前台维持原有 CDN 方案，互不干扰，非常适合 ZBlog 这类个人博客的运维场景。