Raspberry Pi Cloudflare Tunnel

Passende Hardware im Überblick

Boards – der Tunnel läuft auf jedem Pi, der Dienst dahinter entscheidet:
Raspberry Pi 5 mit 8GB RAM – die Empfehlung für den Heimserver (Link)*
Raspberry Pi 5 mit 16GB RAM für viele Dienste parallel (Link)*
Raspberry Pi 5 mit 4GB RAM – reicht für zwei bis drei Dienste (Link)*
Raspberry Pi 4 Starter-Set – wenn es günstig sein soll (Link)*
Raspberry Pi Zero 2 W – genügt als reiner Tunnel-Endpunkt (Link)*

Speicher – ein Dauerläufer gehört nicht auf eine Speicherkarte:
Geekworm X1001 M.2-HAT für den Pi 5 (Link)*
Intenso M.2 NVMe SSD 500GB (Link)*
Crucial P310 NVMe SSD 500GB – die schnellere Variante (Link)*
SanDisk Extreme Portable SSD 1TB am USB (Link)*
SanDisk Extreme A2 128GB – die bessere Speicherkarte (Link)*

Für den unterbrechungsfreien Betrieb:
Offizielles 27-W-Netzteil für den Pi 5 (Link)*
Geekworm X1200 USV – der Tunnel überlebt den Stromausfall (Link)*
Waveshare PoE-HAT für den Netzwerkschrank (Link)*
Passives Alu-Gehäuse als Kühlkörper (Link)*

Kurz gesagt: Wie kommt man ohne Portfreigabe an den Pi?

Die Kurzfassung:

• Das Prinzip: Der Raspberry Pi Cloudflare Tunnel baut eine ausgehende Verbindung zu Cloudflare auf. Besucher landen bei Cloudflare, nicht bei dir – dein Router bleibt dicht.
• Keine Portfreigabe, keine feste IP: Genau deshalb funktioniert der Weg auch hinter DS-Lite, CGNAT oder am LTE-Anschluss, wo eine Portfreigabe ins Leere läuft.
• Was du brauchst: Ein kostenloses Cloudflare-Konto, eine eigene Domain, deren Nameserver auf Cloudflare zeigen, und das Programm cloudflared auf dem Pi.
• Verschlüsselung inklusive: Das HTTPS-Zertifikat stellt Cloudflare aus und erneuert es automatisch. Kein Let's-Encrypt-Gefrickel, kein Zertifikatsfehler im Browser.
• Schutz davor: Ohne Cloudflare Access steht dein Dienst offen im Netz. Eine Access-Richtlinie mit E-Mail-Anmeldung ist Pflicht, nicht Kür.
• Die Grenze: Große Downloads und Videostreams sind heikel – Uploads über 100 MB scheitern im kostenlosen Tarif ohnehin am Fehler 413.

Was ein Cloudflare Tunnel auf dem Raspberry Pi wirklich macht

Der klassische Weg, einen Dienst von außen erreichbar zu machen, geht über eine Portfreigabe im Router plus DynDNS. Damit reißt man ein Loch in die Firewall und veröffentlicht die eigene IP-Adresse. Ein Raspberry Pi Cloudflare Tunnel dreht die Richtung um: Nicht das Internet klopft bei dir an, sondern dein Pi meldet sich bei Cloudflare an und hält diese Verbindung offen.

Technisch übernimmt das der kleine Dienst cloudflared. Er baut mehrere ausgehende Verbindungen zu Cloudflares Rechenzentren auf – Datenverkehr, den jeder Router ohnehin erlaubt. Ruft jemand deine Subdomain auf, nimmt Cloudflare die Anfrage entgegen, schiebt sie durch diese bestehende Verbindung zum Pi und liefert die Antwort zurück.

Der zweite Gewinn ist der Anschluss selbst. Wer DS-Lite oder CGNAT hat, teilt sich seine öffentliche IPv4-Adresse mit vielen anderen Kunden – eingehende Verbindungen sind dort nicht möglich. Kostenlose DynDNS-Dienste helfen nicht weiter, weil das Problem nicht der Name ist, sondern die fehlende Erreichbarkeit. Der Tunnel löst genau das – auch am Mobilfunkanschluss im Ferienhaus.

Dazu kommt ein Nebeneffekt: Deine Heimadresse taucht nirgends mehr auf. Scans und Angriffsversuche treffen Cloudflare, nicht deinen Anschluss.

Raspberry Pi Cloudflare Tunnel einrichten – Schritt für Schritt

Es gibt zwei Wege: den über das Dashboard verwalteten Tunnel und den lokal verwalteten mit einer config.yml auf dem Pi. Für den Hausgebrauch ist der erste klar im Vorteil, weil sich Ziele später im Browser ändern lassen.

1. Domain zu Cloudflare bringen: Domain im Dashboard hinzufügen und beim Registrar die beiden genannten Nameserver eintragen. Bis die Umstellung greift, können Stunden vergehen.
2. Zero Trust öffnen: Im Dashboard unter Zero Trust das Team-Konto anlegen und den kostenlosen Tarif wählen. Eine Zahlungsmethode wird abgefragt, belastet wird sie im Free-Tarif nicht.
3. Tunnel anlegen: Unter Networks → Tunnels einen Tunnel vom Typ Cloudflared erstellen und ihm einen sprechenden Namen geben, etwa heimserver.
4. Connector installieren: Cloudflare zeigt für Debian/arm64 einen fertigen Befehl der Form sudo cloudflared service install <TOKEN>. Diesen auf dem Pi ausführen – er installiert das Paket und richtet den systemd-Dienst gleich mit ein. Alternativ per Paketquelle: curl -L https://pkg.cloudflare.com/cloudflare-main.gpg | sudo tee /usr/share/keyrings/cloudflare-main.gpg >/dev/null, dann die Zeile deb [signed-by=/usr/share/keyrings/cloudflare-main.gpg] https://pkg.cloudflare.com/cloudflared any main nach /etc/apt/sources.list.d/cloudflared.list schreiben und sudo apt update && sudo apt install cloudflared ausführen.
5. Verbindung prüfen: Nach wenigen Sekunden steht der Connector im Dashboard auf Healthy. Auf dem Pi zeigt sudo systemctl status cloudflared denselben Zustand.
6. Public Hostname anlegen: Im Reiter Published application routes Subdomain und Domain wählen, als Typ HTTP und als URL das lokale Ziel eintragen – für Home Assistant etwa localhost:8123, für einen Webserver localhost:80. Den passenden DNS-Eintrag legt Cloudflare selbst an.
7. Testen und absichern: Die Adresse im Browser aufrufen – sie sollte sofort mit gültigem Zertifikat antworten. Danach gehört umgehend eine Access-Richtlinie davor.

Für einen schnellen Test ohne Domain und ohne Konto gibt es den Wegwerf-Tunnel: cloudflared tunnel --url http://localhost:8123 liefert eine zufällige Adresse unter trycloudflare.com. Sie ist ungeschützt und verschwindet beim Beenden des Befehls – gut zum Vorführen, nichts für den Dauerbetrieb.

Zugriffsschutz mit Cloudflare Access richtig setzen

Ein veröffentlichter Hostname ist zunächst für die ganze Welt erreichbar. Wer nur die Anmeldemaske seines Dienstes davor hat, verlässt sich auf ein einziges Passwort – zu wenig für eine Adresse, die früher oder später automatisiert abgeklopft wird. Genau dafür gibt es Cloudflare Access: eine Anmeldeschranke, die schon im Cloudflare-Netz greift, bevor eine Anfrage den Pi erreicht.

1. Anwendung anlegen: In Zero Trust unter Access → Applications eine Anwendung vom Typ Self-hosted erstellen und ihr die eben angelegte Subdomain zuweisen.
2. Richtlinie definieren: Aktion Allow, Regel Emails mit den erlaubten Adressen. Wer mag, erlaubt stattdessen eine ganze Domain oder koppelt Google, GitHub oder Microsoft als Anmeldedienst an.
3. Anmeldeverfahren wählen: Ohne eigenen Identitätsanbieter genügt der One-time PIN – Cloudflare schickt einen Einmalcode per E-Mail.
4. Sitzungsdauer festlegen: 24 Stunden sind ein brauchbarer Kompromiss zwischen Bequemlichkeit und Sicherheit.
5. Ausnahmen für Apps: Mobile Apps und Webhooks können sich nicht per Browser anmelden. Für sie legt man ein Service Token an oder gibt gezielt einzelne Pfade frei.

Der kostenlose Zero-Trust-Tarif deckt bis zu 50 Benutzer ab – für Familie und Freundeskreis reicht das mehr als aus. Wichtig: Access ersetzt nicht die Grundabsicherung des Pi. Updates, ein starkes Passwort im Dienst selbst und Anmeldung per SSH-Schlüssel bleiben Pflicht.

Welche Dienste sich über den Tunnel lohnen – und welche nicht

Der Tunnel ist auf HTTP und HTTPS zugeschnitten. Alles, was im Browser bedient wird, passt hervorragend. Alles, was große Datenmengen schaufelt, gerät an Grenzen – teils technische, teils vertragliche.

Die Faustregel lautet: Steuern und Nachsehen ja, Mediathek und Datengrab nein. Wer die eigene Filmsammlung unterwegs sehen will, ist mit einem VPN in die Wohnung besser bedient.

Cloudflare Tunnel, Tailscale oder WireGuard im Vergleich

Die Auswahl hängt an einer einzigen Frage: Soll jemand ohne eigene Software zugreifen können? Wenn ja – etwa weil ein Familienmitglied nur einen Link anklicken soll –, führt kaum ein Weg am Tunnel vorbei. Geht es dagegen nur um die eigenen Geräte, ist Tailscale die schnellere und datensparsamere Lösung, weil der Verkehr meist direkt fließt. Wer volle Kontrolle möchte und einen Anschluss mit eigener IPv4-Adresse hat, bleibt bei WireGuard. Die drei schließen sich nicht aus: Eine in der Community verbreitete Aufteilung veröffentlicht per Tunnel nur die eine Weboberfläche, die auch andere nutzen sollen, und überlässt den administrativen Zugriff dem VPN.

Fehler und Stolpersteine bei cloudflared

• Fehler 1033 nach dem Anlegen: Der DNS-Eintrag zeigt auf einen Tunnel, der gerade nicht verbunden ist. Meist läuft cloudflared nicht oder der Dienst wurde nach einer Änderung nicht neu gestartet: sudo systemctl restart cloudflared.
• Fehler 502 trotz laufendem Tunnel: Das Ziel ist falsch angegeben. Lauscht der Dienst nur auf 127.0.0.1, funktioniert localhost; läuft er in einem Docker-Container, muss die Container-Adresse oder der veröffentlichte Port stehen.
• Zertifikatsfehler beim eigenen HTTPS-Dienst: Zeigt der Tunnel auf ein Ziel mit selbst signiertem Zertifikat, muss in den Einstellungen der Anwendung No TLS Verify gesetzt werden – sonst bricht die Verbindung intern ab.
• Die Home-Assistant-App meldet sich nicht an: Access blockiert sie, weil sie kein Browserfenster öffnen kann. Abhilfe schafft ein Service Token; zusätzlich erwartet Home Assistant einen Eintrag für vertrauenswürdige Proxys.
• Token im Klartext: Der Installationsbefehl enthält ein langlebiges Geheimnis und landet in der Verlaufsdatei der Shell. Wer den Befehl aus der Zwischenablage einfügt, sollte anschließend history -c ausführen.
• Zwei Connectoren, ein Tunnel: Steckt derselbe Token auf zwei Geräten, verteilt Cloudflare die Anfragen zufällig auf beide – die Folge sind scheinbar sporadische Ausfälle.
• Nach dem Neustart nichts mehr da: Ein von Hand gestarteter Tunnel überlebt keinen Neustart. Der systemd-Dienst gehört aktiviert: sudo systemctl enable --now cloudflared.

Häufige Fragen zum Cloudflare Tunnel auf dem Raspberry Pi

Kostet ein Cloudflare Tunnel etwas?
Der Tunnel selbst und der Zero-Trust-Tarif für bis zu 50 Benutzer sind kostenlos. Bezahlen musst du nur die Domain – ohne eigene Domain bei Cloudflare geht es nur mit den zufälligen Wegwerf-Adressen unter trycloudflare.com.

Funktioniert das auch hinter DS-Lite oder CGNAT?
Ja, genau dafür ist der Weg gemacht. Weil der Pi die Verbindung nach außen aufbaut, spielt es keine Rolle, ob dein Anschluss von außen erreichbar ist oder eine öffentliche IPv4-Adresse besitzt.

Sieht Cloudflare meinen Datenverkehr?
Ja. Der Datenstrom wird bei Cloudflare entschlüsselt und neu verschlüsselt, sonst könnte das Netz keine Zertifikate ausstellen und keine Anmeldeschranke setzen. Wer das nicht möchte, nimmt ein VPN.

Kann ich mehrere Dienste über einen Tunnel veröffentlichen?
Ja. Ein Tunnel trägt beliebig viele öffentliche Hostnamen – jeder Subdomain wird ein anderes lokales Ziel zugeordnet.

Warum bricht der Upload großer Dateien ab?
Im kostenlosen Tarif begrenzt Cloudflare die Größe einer Anfrage auf 100 MB, darüber antwortet das Netz mit Fehler 413. Clients, die in Blöcken hochladen, umgehen das; sonst hilft nur ein zweiter Weg über VPN.

Ist SSH über den Tunnel möglich?
Ja, aber nicht mit einem gewöhnlichen SSH-Client allein. Entweder installierst du cloudflared auch auf dem Client und leitest die Verbindung darüber, oder du nutzt das Browser-Terminal in Zero Trust. Ein normales SSH auf Port 22 wandert nicht durch einen HTTP-Hostnamen.

Läuft cloudflared auf einem Raspberry Pi OS mit Trixie?
Ja. Die Paketquelle liefert unter der Sammelbezeichnung any passende arm64-Pakete, die auf Bookworm wie auf dem seit Herbst 2025 verfügbaren Trixie-Unterbau laufen.

Fazit

Ein Raspberry Pi Cloudflare Tunnel ist die eleganteste Antwort auf ein Problem, das viele Anschlüsse in Deutschland betrifft: kein offener Port, keine feste IP, trotzdem eine saubere HTTPS-Adresse für die eigene Weboberfläche. Unsere klare Empfehlung: Nimm den Tunnel für genau die ein bis zwei Dienste, die wirklich von außen erreichbar sein müssen – und leg von Anfang an eine Access-Richtlinie davor. Ein veröffentlichter Hostname ohne Anmeldeschranke ist keine Bequemlichkeit, sondern eine offene Tür. Für alles Weitere, vor allem für administrative Zugriffe und große Datenmengen, bleibt ein VPN wie WireGuard die richtige Wahl. Und weil der Pi damit zum Dauerläufer wird, gehört das System auf eine SSD statt auf eine Speicherkarte.

* = Affiliate Link (raspi-config.de ist Teilnehmer des Partnerprogramms von Amazon EU, das zur Bereitstellung eines Mediums für Websites konzipiert wurde, mittels dessen durch die Platzierung von Werbeanzeigen und Links zu Amazon.de Werbekostenerstattung verdient werden kann.)