Cloudflare Tunnel 打通 NAS 的踩坑记录

给 NAS 上 docker 跑 cloudflared，要点记在这里，方便以后换机器重来一遍。

关键结论

• 隧道建好后，真正干活的入口是 token，控制台点连接会给你一段启动命令；
• 容器要用 tunnel --no-autoupdate run --token <token> 启动；
• 添加 Public Hostname 时，Cloudflare 会自动补 CNAME，不需要手动配 DNS；
• Access 的域名必须和隧道主机名逐字符一致，少一个点都保护不到。

后续要做

1. 等服务全部稳定后，开启 Access 邮件验证；
2. 把 NAS 系统面板和下载工具分开域名，好审计；
3. 写一篇完整教程放到「教程」区。