彻底免备案！Cloudflare Tunnel + 阿里云分线路优选 IP 终极通关指南（三网延迟榨干到极限）

🌟 本方案的核心优势

• 完全免备案：流量第一落脚点在 Cloudflare 海外边缘节点，国内无需任何公网服务器。
• 延迟降到极限：移动（_{40ms）、联通（}70ms）、电信（~120ms），三网各自走最快的跨国专属绿洲。
• 高可用不失联：每个运营商自动分配 2 个 优选 IP，主备秒级切换，告别单 IP 暴毙导致的网站瘫痪。
• 全自动零维护：内网 Docker 每天凌晨自动测速，自动调用阿里 API 更新解析。

---

🛠️ 准备工作：神装盘点

1. 内网服务器一台：家里或办公室的 NAS、旧电脑、树莓派等（需安装好 Docker）。
2. 域名两个（都在阿里云购买）：

• 域名 A（跳板域名）：解析权必须修改托管到 Cloudflare（专门用来死守 Docker 隧道）。
• 域名 B（访问域名）：解析权留在阿里云（用来做分线路解析，用户最终访问它，如 www.域名B.com）。

3. 外币信用卡/PayPal：开通 Cloudflare for SaaS 时验证使用，全程 100% 免费。

---

🛑 第一阶段：域名 A 托管与内网 Tunnel 搭建

1. 托管域名 A 到 Cloudflare

登录 Cloudflare 控制台，点击“添加站点”，输入域名 A。按照提示，去阿里云域名控制台，将域名 A 的 DNS 服务器（NS 记录） 修改为 Cloudflare 分配给你的两个网址。

2. 在内网 Docker 跑通隧道

推荐直接在 Cloudflare Zero Trust 后台创建 Tunnel，并拿到 Token。在内网服务器运行以下 Docker 命令：

docker run -d \
  --name cloudflared \
  --restart always \
  cloudflare/cloudflared:latest \
  tunnel --no-autoupdate run --token 你的TunnelToken --protocol quic

💡 速度榨干细节：我们在结尾加上了 --protocol quic，强制隧道走基于 UDP 的 QUIC 协议，抗丢包能力极强！

在 Zero Trust 后台的 Public Hostname 里，将你的内网服务（如 http://192.168.1.100:80）绑定到子域名：tunnel.域名A.com。

---

🌐 第二阶段：Cloudflare for SaaS 桥接（左手倒右手）

这个阶段的目的是让托管在阿里的 域名 B，能合法借用 域名 A 的隧道。

1. 进入 CF 控制台 ➔ 点击 域名 A ➔ 左侧菜单 SSL/TLS ➔ 自定义主机名 (Custom Hostnames)。
2. 激活 Cloudflare for SaaS（绑定卡片验证，不会扣费）。
3. 找到 回源中心 (Fallback Origin)，输入你刚刚建好的隧道：tunnel.域名A.com，点击保存。状态变为绿色的 正常 (Active)。
4. 点击右侧 添加自定义主机名 (Add Custom Hostname)：

• 自定义主机名：填入你最终要访问的完整域名 www.域名B.com。
• 验证方法：选择 TXT 验证。

5. 复制网页上生成的两行 TXT 记录（主机名验证、证书验证）。

---

🛡️ 第三阶段：阿里云后台验证与初始化（域名 B）

1. 登录阿里云控制台 ➔ 进入 云解析 DNS ➔ 点击 域名 B。
2. 将刚才在 CF 复制的两条 TXT 记录添加进去，等待 2 分钟。
3. 添加一条临时 CNAME 记录：

• 主机记录：www
• 线路类型：默认
• 记录值：tunnel.域名A.com

4. 回到 Cloudflare 自定义主机名主页刷新。当看到 www.域名B.com 的 主机名状态 和 证书状态 都变成绿色的 正常 (Active) 后，立刻回阿里云把这条临时的 CNAME 记录删除或暂停。

---

🤖 第四阶段：本地 Docker 分线路全自动测速并同步

现在，桥梁已经全部搭好。我们需要在内网服务器里部署一个“不知疲倦的打字员”，每天凌晨帮我们测速并把 IP 写进阿里云。

1. 申请阿里云 API 钥匙

登录阿里云控制台，点击右上角头像 ➔ AccessKey 管理 ➔ 创建一对 AccessKey ID 和 AccessKey Secret。记录下来，一会儿要喂给 Docker。

2. 部署自动测速更新 Docker 容器

在内网服务器上运行以下终极命令：

docker run -d \
  --name cf-aliyun-updater \
  --restart always \
  -e DNS_PROVIDER="aliyun" \
  -e ACCESS_KEY_ID="填写你的阿里云AccessKey ID" \
  -e ACCESS_KEY_SECRET="填写你的阿里云AccessKey Secret" \
  -e DOMAIN="域名B.com" \
  -e SUB_DOMAIN="www" \
  -e CRON="0 4 * * *" \
  -e SEPARATE_PROVIDER="true" \
  -e SPEED_TEST_ARGS="-dn 2 -tl 150" \
  shanyuhai123/cloudflare-speedtest-updater

🔍 核心参数抄作业解析：

• -e SEPARATE_PROVIDER="true"：核心开关。开启后，脚本会自动分出电信、联通、移动三网的最佳名单。
• -e SPEED_TEST_ARGS="-dn 2 -tl 150"：精髓所在。-dn 2 代表每个运营商挑选前 2 名最快的 IP 写入阿里云，实现双 IP 备份高可用；-tl 150 代表过滤掉延迟高于 150ms 的节点。
• -e CRON="0 4 * * *"：每天凌晨 4 点雷打不动自动执行测速与解析更新。

---

📈 第五阶段：大功告成，成果检验

当 Docker 容器在凌晨运行完第一次，或者你手动重启触发一次后，登录阿里云 云解析 DNS 面板，你会看到极为震撼、优美的多线图景：

主机记录	记录类型	线路类型	记录值（示例）	作用
www	A	中国电信	104.16.x.x (电信第一名) 104.17.x.x (电信第二名)	电信用户访问，双 IP 负载均衡，防暴毙
www	A	中国联通	172.67.x.x (联通第一名) 104.20.x.x (联通第二名)	联通用户访问，走联通专属国际通道
www	A	中国移动	162.159.x.x (移动第一名) 162.160.x.x (移动第二名)	移动用户访问，直连香港/亚太，延迟极低
www	A	默认	1.0.0.1	国外或未知网络访问时的保底线路

🏁 终极访问测试

在外面用手机（移动网络）打开命令行或 Ping 工具：

ping www.域名B.com

你会发现延迟奇迹般地压到了 30ms - 50ms。换成电信宽带测试，延迟稳定在 120ms 左右且完全不丢包！

至此，这套融汇了 “免备案” + “Tunnel 内网穿透” + “阿里分线路智能精准导航” + “双 IP 备份高可用” 的终极网络优化方案完全落地。你可以彻底放手，尽情享受丝滑的私有网盘与内网服务了！