用途：用 Cloudflare One 的身份感知应用访问替代 VPN，在不开放入站端口的情况下通过 Cloudflare Tunnel 暴露自托管内部应用，为分布式员工提供 Web、SSH、RDP 的零信任访问，也适合限制承包商和第三方仅访问特定应用。资料明确不适用于需要持久 UDP 连接、要求气隙或纯本地访问控制、或法规禁止流量经过第三方云基础设施的环境。
主要能力：创建 cloudflared 持久隧道并配置 ingress 路由与 DNS；集成 Okta、Microsoft Entra ID、Google Workspace、GitHub 及任意 SAML/OIDC 身份提供方；创建 Access 应用与 Allow 等策略，支持会话时长、SSO 自动重定向；部署 WARP 客户端做设备注册与私有网络分流；集成 CrowdStrike 等设备态势（磁盘加密、系统版本）；通过 Logpush 将 Access 审计日志推送至 S3，并用 GraphQL Analytics API 查询。
必要用法：在 Ubuntu/Debian 安装 cloudflared 使用 curl -L https://github.com/cloudflare/cloudflared/releases/latest/download/cloudflared-linux-amd64.deb -o cloudflared.deb 与 sudo dpkg -i cloudflared.deb，随后执行 cloudflared tunnel login、cloudflared tunnel create internal-apps、cloudflared tunnel route dns，并以 sudo cloudflared service install 安装为 systemd 服务。身份提供方、Access 应用、策略、WARP 注册规则、设备态势和 Logpush 均通过 Cloudflare API（Bearer ${CF_API_TOKEN}）配置。
适用场景与限制：资料给出 200 人初创公司从零部署的示例流程。前提包括具备 Zero Trust 订阅的 Cloudflare 账户（不超过 50 用户可免费）、由 Cloudflare DNS 管理的域名、运行 cloudflared 的 Linux/Windows/macOS 服务器及身份提供方。注意事项：TLS 检查需在设备安装 Cloudflare 根证书，部分应用可能因 TLS 拦截中断；隧道故障转移需运行多个 cloudflared 实例或使用副本；策略应包含默认拒绝规则；WebSocket 应用可能需要特定隧道配置。资料未提供具体价格与更多版本细节。