Cloudflare Health Checks & Tunnels: Giám sát Origin và Kết nối An toàn Không cần IP Public
Sau khi đã thiết lập Load Balancing phân phối lưu lượng, bước tiếp theo là đảm bảo hệ thống luôn biết server nào đang hoạt động tốt — và làm thế nào để kết nối các server đó với Cloudflare một cách an toàn, kể cả khi chúng không có IP public. Đó chính là vai trò của Health Checks và Cloudflare Tunnels.
🩺 Health Checks là gì?
Standalone Health Checks là dịch vụ chạy trên mạng biên toàn cầu của Cloudflare, liên tục kiểm tra địa chỉ IP hoặc hostname của origin server và thông báo gần như tức thì khi phát hiện sự cố. Điểm đặc biệt: bạn có thể theo dõi trạng thái origin ngay cả khi chưa cần cân bằng tải — Health Check hoạt động độc lập hoàn toàn.
Health Check Analytics cho phép đánh giá thời gian hoạt động, độ trễ, nguyên nhân lỗi và nhật ký sự kiện chi tiết để debug các vấn đề phát sinh ở origin một cách có hệ thống.
Health Check hỗ trợ kiểm tra chi tiết mọi thông số của origin: mã phản hồi HTTP, loại giao thức, thời gian phản hồi, thậm chí có thể chỉ định một đường dẫn cụ thể nếu server phục vụ nhiều ứng dụng, hoặc kiểm tra một tập hợp response code cho môi trường staging.
📊 So sánh Health Checks theo gói Cloudflare
🔧 Hướng dẫn cấu hình Health Checks
Tạo Health Check
Đăng nhập vào Cloudflare dashboard → chọn tài khoản và miền → vào Traffic → Health Checks.
Bấm Create để mở form tạo Health Check mới. Điền các thông tin cần chú ý:
Sau khi điền đầy đủ, bấm Save and Deploy để kích hoạt ngay lập tức.
Quản lý Health Checks
Vào Traffic → Health Checks, tại bảng Manage Health Checks bạn sẽ thấy danh sách tất cả health check đã tạo, kèm cột Status (Healthy / Unhealthy / Suspended), tên, số lần lỗi trong 24h, và nút gạt bật/tắt.
Bấm Edit để chỉnh sửa Health Check, bao gồm thay đổi Origin IP, Port, Path, Expected codes và các header tùy chỉnh. Bấm Save để áp dụng.
Tạo cảnh báo thông báo (Notifications)
Health Check có thể gửi email cảnh báo khi trạng thái origin thay đổi. Có 2 cách thiết lập:
Cách 1 — Trực tiếp trong Health Checks
Vào Traffic → Health Checks → bấm Configure an alert → chọn Create a Health Check Status Alert → điền tên notification và email nhận → thêm health check muốn theo dõi → chọn trigger → bấm Create.
Cách 2 — Qua Notifications trung tâm
Truy cập trực tiếp link Notifications → chọn account → tìm sản phẩm Health Checks → bấm Select → điền tên, email → bấm Next.
💡 Khi có bất kỳ thay đổi trạng thái nào từ Health Check, Cloudflare sẽ tự động gửi email cảnh báo đến địa chỉ đã đăng ký.
Xem Health Check Analytics
Vào Traffic → Health Check Analytics để truy cập bảng phân tích chuyên sâu gồm 4 loại báo cáo:
📈 Health Checks By Uptime
Tỷ lệ phần trăm thời gian hoạt động của từng origin theo thời gian — biểu đồ đường trực quan.
⏱ Health Checks By Latency
Độ trễ trung bình (Round Trip Time) đo theo thời gian và vùng xuất phát.
❌ Health Checks By Failure Reason
Bảng phân tích lỗi theo nguyên nhân cụ thể, kèm link giải thích và đề xuất khắc phục từ Cloudflare.
📋 Event Log
Nhật ký sự kiện chi tiết: Round trip time, Failure Reason, Average Waterfall, Response status code.
🚇 Cloudflare Tunnels là gì?
Cloudflare Tunnel (trước đây gọi là Argo Tunnel) là cơ chế tạo kết nối đi an toàn từ hạ tầng của bạn ra mạng biên Cloudflare — mà không cần địa chỉ IP public tĩnh, không cần mở cổng trên firewall. Thay vì nhận kết nối từ ngoài vào, một tiến trình nhỏ tên cloudflared chạy trên server của bạn sẽ chủ động tạo các outbound tunnel ra Cloudflare.
🌐 Web Server HTTP/HTTPS
Expose website nội bộ ra internet an toàn qua Tunnel.
🖥️ Remote Desktop & SSH
Truy cập từ xa vào máy chủ nội bộ qua Tunnel mà không cần VPN truyền thống.
🔌 Giao thức khác (TCP…)
Kết nối bất kỳ dịch vụ TCP nào một cách an toàn với Cloudflare.
⚙️ Hướng dẫn cấu hình Cloudflare Tunnels
Điều kiện tiên quyết — Tạo tổ chức Zero Trust
Cloudflare Tunnels chạy trong hệ sinh thái Zero Trust. Trước tiên bạn cần tạo tổ chức Zero Trust: vào Cloudflare dashboard → chọn biểu tượng Zero Trust trong menu tài khoản → đặt tên nhóm (team name) → chọn gói dịch vụ phù hợp.
Free
$0/user/tháng
Tối đa 50 users, phù hợp thử nghiệm
Standard
$7/user/tháng
Teams 50+ users, kiểm soát nâng cao
Enterprise
Liên hệ
Kiểm soát bảo mật toàn diện
Tạo Tunnel
Trong bảng điều khiển Zero Trust → vào Networks → Tunnels → bấm Add a tunnel.
Chọn Cloudflared → bấm Next → đặt tên tunnel phản ánh tài nguyên bạn kết nối (ví dụ: enterprise-VPC-01) → bấm Save Tunnel.
Cloudflared hỗ trợ Windows, Mac, Debian, Red Hat và Docker. Chọn hệ điều hành và kiến trúc phù hợp, chạy lệnh cài đặt — connector sẽ tự động xuất hiện trong Zero Trust dashboard.
Thêm Public Hostname để route traffic
Sau khi connector online, cấu hình Public Hostnames để ánh xạ subdomain ra internet:
- Subdomain: tên miền phụ ánh xạ dịch vụ ra internet
- Domain: tên miền và đường dẫn (nếu cần)
- Service Type: chọn HTTPS / HTTP / SSH / TCP tùy loại dịch vụ
- URL: địa chỉ dịch vụ nội bộ — ví dụ
localhost:5000 - Additional settings: cấu hình TLS, HTTP headers, Access policies bổ sung
Tích hợp Tunnel vào Load Balancing Pool
Sau khi tạo Tunnel, Cloudflare tự động gán một Tunnel ID (UUID) duy nhất và tạo subdomain dạng <UUID>.cfargotunnel.com. Bạn có thể dùng địa chỉ này làm Endpoint Address trong Load Balancing Pool thay cho IP thông thường.
Lưu ý về bảo mật Tunnel ID: Cloudflare gán UUID độc nhất cho mỗi tunnel. Không giống IP công cộng có thể bị thay đổi, subdomain .cfargotunnel.com chỉ proxy traffic cho nhóm cân bằng tải trong cùng tài khoản Cloudflare.
Ngay cả khi ai đó biết UUID của bạn, họ cũng không thể tạo DNS record từ tài khoản khác để proxy lưu lượng đến địa chỉ đó.
Tùy chọn: Cấu hình Cache Rules và WAF Rules
Sau khi Tunnel hoạt động, Cloudflare mặc định áp dụng cache rules và firewall policies cho hostname Load Balancing. Bạn có thể tùy chỉnh thêm trong Cloudflare dashboard nếu có yêu cầu bảo mật đặc thù cho từng hostname.
Ví dụ file cấu hình ingress rules cho cloudflared:
ingress:
# Route traffic to web service
- hostname: tunnel.example.com
service: http://web-service:80
# Debug connectivity
- hostname: hello.example.com
service: hello_world
# Catch-all rule — trả về 404
- service: http_status:404
💡 Tổng kết từ Next Step
- Health Checks nên bật ngay từ đầu khi triển khai Load Balancing — đây là công cụ chẩn đoán không thể thiếu để phát hiện origin có vấn đề trước khi người dùng chịu ảnh hưởng
- Chú ý cân bằng giữa tần suất kiểm tra và tải lên origin: Interval thấp + nhiều Check regions = độ chính xác cao hơn nhưng origin phải xử lý nhiều request kiểm tra hơn
- Cloudflare Tunnels là giải pháp lý tưởng khi server nội bộ không có IP public hoặc không muốn mở cổng firewall — đặc biệt phù hợp cho môi trường private cloud, on-premises
- Khi dùng Tunnel làm endpoint trong Load Balancing Pool, nhớ thêm header
Host: www.your-zone.comtrong Advanced health check settings để Health Check hoạt động đúng - Tunnel ID là duy nhất và được bảo vệ ở cấp tài khoản — không cần lo ngại ai đó lợi dụng UUID của bạn từ tài khoản khác
Cần hỗ trợ triển khai Health Checks hoặc Cloudflare Tunnels?
Đội ngũ Next Step sẵn sàng tư vấn và triển khai giám sát origin, thiết lập Tunnel kết nối an toàn phù hợp với hạ tầng của bạn — liên hệ (+84) 933 810 688 hoặc [email protected].