只走 HTTP/2 到边缘
TLS 复用 nginx 自己的 OpenSSL 与 ssl_* 配置，应用层与 cloudflared 逐帧对齐（HTTP/2 + Cap'n Proto RPC），不做 HTTP/1.1 回退。
这是什么
ngx_http_cfd_tunnel 是一个 nginx 动态模块（.so）。它在 nginx worker 进程内直接实现 Cloudflare Tunnel 的客户端侧协议：
text
Cloudflare 边缘 ──HTTP/2 + Cap'n Proto RPC──▶ nginx worker（本模块）
│ 造一条虚拟连接
▼
nginx 原生 HTTP 请求链
server_name / location / proxy_pass它解决的问题和 cloudflared 一样：把没有公网入口的源站通过 Cloudflare 暴露出去。区别在于 承载体是 nginx 进程本身 —— 少一个进程、少一份配置、少一条要自己看的 systemd 单元， 并且请求一进入就是 nginx 的普通请求，不需要再经一层反向代理转发到本机端口。
一页看懂版本能力
| 版本 | 加了什么 |
|---|---|
| 0.11.0 | 多隧道：cfd_tunnel {} 块，每条隧道一个注入目标端口 |
| 0.12.0 | 远程配置下发（remote_config）与 host_override |
| 0.12.1 | 混合模式下 http_status:NNN 压过本地端口 |
| 0.12.2 | 把「传输层丢弃 / 配置层拒绝」的边界写进文档（纯文档版本） |
| 0.13.0 | 注入连接的来源地址可配（inject_source_addr） |
| 0.14.0 | 控制台给的 token 可以直接用（cfd_tunnel_token / cfd_tunnel_token_file） |
完整的历史与取舍见 变更记录。
从哪读起
- 要装上跑通：从 安装 → 快速上手 走。
- 控制台只给了一串
eyJhIjoi…的 token：凭据：文件与 token。 - 想知道为什么这么设计、哪些地方与 cloudflared 不同：与 cloudflared 的差异。
- 要改代码：先读 不变量与安全边界 与 测试套件。