Cloudflare 内网穿透与 OpenClaw 部署方案
2026-02-13 2026年02月 Cloudflare内网穿透与OpenClaw部署方案.md

Cloudflare 内网穿透与 OpenClaw 部署方案

整理时间： 2026-02-13 08:42
来源： 群聊技术分享
整理人： AI助手

摘要

本文档详细讨论了当 OpenClaw 部署在内网环境（如家用 NAS、个人电脑）时，如何与 Cloudflare Workers 配合实现邮件自动化处理。介绍了三种解决方案：Cloudflare Tunnel 内网穿透、KV 缓存中转模式、以及 Outlook 应用密码方案。

核心问题

问题本质： Cloudflare Workers 的 Webhook 推送需要 OpenClaw 能从公网访问。

Cloudflare 的服务器在云端，必须有一个可以抵达的”地址”才能把数据发给 OpenClaw。如果 OpenClaw 部署在内网（无公网 IP），Cloudflare 无法直接推送数据。

解决方案对比

情况 A：有公网 IP 或云服务器

最简单的方案

配置项 说明
Worker fetch 地址 直接指向服务器公网 IP 或域名
安全建议 在 OpenClaw 前加 Token 验证，防止恶意数据

情况 B：内网部署（无公网 IP）

方案一：Cloudflare Tunnel ⭐最推荐

原理：
在内网服务器上运行 cloudflared 客户端，主动向 Cloudflare 建立加密隧道。给内网 OpenClaw 分配公网域名（如 oc.yourdomain.com），Worker 直接推送数据到该域名。

[Cloudflare Worker] → [Cloudflare 隧道] → [内网 cloudflared] → [OpenClaw]

优势：
| 特性 | 说明 |
|------|------|
| 零配置 | 无需路由器端口转发 |
| 高安全 | 可设置只允许 Worker IP 访问 |
| 低延迟 | 加密隧道，延迟极低 |
| 免费 | Cloudflare 官方提供，完全免费 |

操作步骤：
1. 在内网安装 cloudflared 客户端
2. 配置隧道，绑定域名
3. Worker 中设置推送地址为隧道域名
4. 可选：配置 Cloudflare Access 增加验证层

参考文档： Cloudflare Tunnel 官方文档

方案二：KV 缓存中转（”留言板”模式）

原理：
Worker 收到邮件后不直接推送，而是存入 Cloudflare Workers KV 数据库（在线留言板）。内网 OpenClaw 定时轮询 KV API，把新发票”取”回来。

[Cloudflare Worker] → [写入 Workers KV] 
                                           ↓
[内网 OpenClaw] ← [定时读取 KV API] ← [Cloudflare KV]

工作流程：
1. Worker 存入：收到发票后写入 KV，Key 为时间戳，Value 为发票数据
2. 内网读取：OpenClaw 每小时查询 KV API 获取新数据
3. 数据清理：读取后删除或标记已处理

优势：
| 特性 | 说明 |
|------|------|
| 100% 封闭 | 内网无任何暴露端口 |
| 安全性最高 | 外网没有任何入口 |
| 异步处理 | 不依赖实时连接 |

适用场景：
- 对安全性要求极高的环境
- 不想暴露任何内网服务的场景

方案三：Outlook 应用专用密码（回归原始）

原理：
如果懒得配置隧道或 KV，可以直接在内网 OpenClaw 中使用 Outlook IMAP 主动抓取。

为什么可行？
- 应用专用密码是微软给第三方客户端的专用凭证
- 只要内网能访问外网，脚本就能主动连接 Outlook
- 不需要公网 IP，也不会被拦截

配置要点：
1. 注册 Outlook 邮箱
2. 开启 2FA，生成应用专用密码
3. OpenClaw 配置 IMAP 轮询（建议 15-30 分钟一次）

三种方案对比总结

维度 Cloudflare Tunnel KV 缓存中转 Outlook IMAP
实时性 ⭐⭐⭐ 实时 ⭐⭐ 准实时（轮询延迟） ⭐⭐ 准实时（轮询延迟）
安全性 ⭐⭐⭐ 高（可配 Access） ⭐⭐⭐ 最高（内网完全封闭） ⭐⭐ 中（需要密码）
配置复杂度 ⭐⭐ 中等 ⭐⭐⭐ 较复杂 ⭐ 最简单
成本 免费 免费 免费
推荐场景 追求实时性的极客 安全至上的环境 快速验证/懒得折腾

决策建议

选择 Cloudflare Tunnel 如果：

  • 你希望邮件到达时实时处理
  • 你已经使用 Cloudflare 生态（域名、Workers）
  • 你希望保持 Webhook 推送的简洁架构

选择 KV 缓存中转 如果：

  • 你的内网环境不能暴露任何端口
  • 你对延迟有一定容忍度（小时级）
  • 你希望最大化安全性

选择 Outlook IMAP 如果：

  • 你希望最简配置，快速跑通
  • 你对实时性要求不高
  • 你不想折腾域名、隧道等基础设施

实施路径推荐

阶段一（MVP）：
→ 选择 Outlook IMAP 快速验证整个流程

阶段二（优化）：
→ 迁移到 Cloudflare Tunnel，获得实时推送能力

阶段三（极致安全）：
→ 如需完全封闭内网，改用 KV 缓存中转

相关链接

要点提炼

  1. 核心矛盾：Cloudflare Workers 需要公网可访问的端点，但内网部署无公网 IP
  2. Cloudflare Tunnel 是官方内网穿透方案，零配置、高安全、低延迟
  3. KV 中转 是最安全的异步方案，内网 100% 封闭
  4. Outlook IMAP 是最简单的 fallback 方案，无需额外基础设施
  5. 渐进路径：先用 Outlook 验证 → 再用 Tunnel 优化 → 最后用 KV 追求极致安全

标签

Cloudflare 内网穿透 Webhook OpenClaw Tunnel Workers KV 邮件自动化 内网部署