Dùng Cloudflare Tunnel bảo mật OpenClaw và Hermes Agent được thực hiện bằng cách cài đặt dịch vụ cloudflared trên máy chủ để tạo đường hầm kết nối một chiều ra mạng lưới Cloudflare, kết hợp cùng lớp xác thực danh tính Cloudflare Access. Giải pháp kỹ thuật trên giúp bạn truy cập giao diện điều khiển và API của cả hai hệ thống từ xa qua tên miền riêng có sẵn chứng chỉ HTTPS mà không cần mở bất kỳ cổng (port) nào trên tường lửa hay để lộ địa chỉ IP gốc của VPS. Bài viết dưới đây hướng dẫn từng bước chi tiết.
Tại sao cần dùng Cloudflare Tunnel bảo mật OpenClaw và Hermes?
Triển khai Cloudflare Tunnel giúp loại bỏ hoàn toàn rủi ro bị quét cổng tự động (port scanning) và tấn công vét cạn (brute-force) vào các dịch vụ tự vận hành trên máy chủ. Khi bạn triển khai OpenClaw hoặc Hermes Agent trên VPS, các ứng dụng này thường sở hữu quyền can thiệp sâu vào hệ thống tệp tin, cơ sở dữ liệu và chứa nhiều khóa kết nối (API Key) quan trọng.
Nếu mở trực tiếp cổng mạng ra Internet theo cách truyền thống hoặc chỉ cấu hình Reverse Proxy thông thường, bất kỳ ai biết địa chỉ IP và cổng kết nối đều có thể tiếp cận trang đăng nhập hoặc khai thác lỗ hổng bảo mật chưa vá của ứng dụng. Cloudflare Tunnel giải quyết triệt để bài toán này thông qua cơ chế Outbound-only connection (chỉ tạo kết nối đi ra từ máy chủ).
Giải pháp này mang lại ba lớp bảo vệ:
- Không có port lắng nghe công khai: Công cụ quét như Shodan không tìm thấy giao diện OpenClaw hay Hermes trên IP của VPS.
- Ẩn IP gốc: Bản ghi DNS trỏ về Cloudflare, không phải về máy chủ.
- Xác thực trước khi chạm vào ứng dụng: Khi kết hợp Cloudflare Access, người truy cập phải đăng nhập (ví dụ bằng mã OTP gửi qua email) ở phía Cloudflare. Người lạ không bao giờ tới được trang đăng nhập của agent.
Lưu ý: Tunnel chỉ giải quyết chuyện mở port. Nếu tạo tunnel mà không bật Access, bất kỳ ai biết tên miền vẫn vào được giao diện agent. Lớp Access mới là phần chặn người lạ.
Cần chuẩn bị gì trước khi cấu hình Cloudflare Tunnel?
Trước khi thực hiện, bạn cần chuẩn bị:
- Một VPS Ubuntu đã cài đặt OpenClaw hoặc Hermes Agent.
- Tài khoản Cloudflare và tên miền đang sử dụng DNS Cloudflare.
- Quyền SSH vào VPS bằng Xshell, PuTTY hoặc Terminal.
- Tài khoản email dùng để xác thực với Cloudflare Access.
- Kết nối Internet hoạt động bình thường trên VPS.
Ví dụ, bạn có thể sử dụng hai tên miền phụ:
Dịch vụ Tên miền minh họa OpenClaw openclaw.example.com Hermes Agent hermes.example.com
Các tên miền trên chỉ là ví dụ. Bạn cần thay bằng tên miền thực tế đang quản lý tại Cloudflare.
Nếu hai ứng dụng chạy trên cùng VPS, bạn có thể dùng một Tunnel với hai địa chỉ truy cập riêng. Nếu chạy trên hai VPS khác nhau, cách đơn giản là tạo một Tunnel trên mỗi VPS.
Hướng dẫn cấu hình Cloudflare Tunnel cho OpenClaw và Hermes Agent
Quy trình dưới đây sử dụng Remotely-managed Tunnel, tức là quản lý Tunnel trực tiếp qua giao diện Cloudflare. Đây cũng là phương pháp được Cloudflare khuyến nghị cho phần lớn trường hợp triển khai.
Bước 1. Kiểm tra dịch vụ AI Agent trên VPS
Đầu tiên, kết nối SSH vào VPS đang chạy OpenClaw hoặc Hermes Agent.
Trên VPS Ubuntu, nhập lệnh:
sudo ss -lntpLệnh này hiển thị các cổng TCP đang được sử dụng.
Đối với bản cài đặt gốc, hai dịch vụ thường có cổng mặc định:
Ứng dụng Cổng mặc định OpenClaw Gateway 18789 Hermes Agent Web Dashboard 9119
Bạn cũng có thể kiểm tra trực tiếp bằng lệnh:
Đối với OpenClaw:
curl -I http://127.0.0.1:18789Đối với Hermes Agent:
curl -I http://127.0.0.1:9119Nếu nhận được phản hồi HTTP, dịch vụ đã có thể tiếp nhận kết nối tại địa chỉ kiểm tra. Mã phản hồi cụ thể phụ thuộc vào ứng dụng.
Nếu xuất hiện Connection refused, hãy kiểm tra tiến trình, cổng và địa chỉ đang lắng nghe.
Lưu ý: Những cổng phía trên là mặc định của phần mềm gốc, không phải thông số bắt buộc của mọi bản cài đặt. Nếu sử dụng Docker, Dashboard được tùy chỉnh hoặc VPS cài sẵn từ nhà cung cấp, hãy xác định cổng thực tế trước khi tiếp tục.
Bước 2. Tạo Cloudflare Tunnel
Truy cập Cloudflare Dashboard và đăng nhập tài khoản.
Sau đó thực hiện:
Mở mục Networking → Tunnels. Nhấn Create Tunnel.
Đặt tên Tunnel, ví dụ ai-agent-vps.
Nhấn Create Tunnel để xác nhận.
Trong phần Setup Environment, chọn hệ điều hành Linux phù hợp với VPS.
Cloudflare sẽ cung cấp hướng dẫn cài đặt và lệnh kết nối Tunnel bằng Token.
Ở bước tiếp theo, bạn sẽ thực hiện các lệnh này trên VPS.
Bước 3. Cài đặt cloudflared trên VPS
cloudflared là chương trình giúp VPS thiết lập và duy trì kết nối đến Cloudflare Tunnel. Trên Ubuntu hoặc Debian, cách cài đặt thông qua kho phần mềm chính thức như sau.
Cài đặt công cụ cần thiết:
sudo apt-get update
sudo apt-get install -y curl ca-certificates
Thêm khóa xác thực của Cloudflare:
sudo mkdir -p --mode=0755 /usr/share/keyrings
curl -fsSL https://pkg.cloudflare.com/cloudflare-main.gpg | sudo tee /usr/share/keyrings/cloudflare-main.gpg >/dev/nullThêm kho phần mềm Cloudflare:
echo “deb [signed-by=/usr/share/keyrings/cloudflare-main.gpg] https://pkg.cloudflare.com/cloudflared any main” | sudo tee /etc/apt/sources.list.d/cloudflared.list
Cài đặt cloudflared:
sudo apt-get update
sudo apt-get install -y cloudflaredKiểm tra phiên bản:
cloudflared --versionNếu xuất hiện thông tin phiên bản, quá trình cài đặt đã hoàn tất. Đây là phương pháp cài đặt từ kho APT chính thức của Cloudflare.
Tiếp theo, quay lại Cloudflare Dashboard, sao chép lệnh cài đặt dịch vụ được cung cấp cho Tunnel vừa tạo. Lệnh trên Linux có dạng:
sudo cloudflared service install YOUR_TUNNEL_TOKENThay YOUR_TUNNEL_TOKEN bằng Token thực tế được Cloudflare cung cấp (bạn chỉ cần nhấn nút Copy toàn bộ lệnh rồi dán vào là được).
Tiếp tục kiểm tra dịch vụ:
sudo systemctl status cloudflared --no-pagerNếu dịch vụ chưa chạy, sử dụng:
sudo systemctl enable --now cloudflaredSau đó quay lại Networking → Tunnels. Khi kết nối thành công, Tunnel sẽ hiển thị trạng thái Healthy.
Lưu ý: Không chia sẻ Tunnel Token vì người sở hữu Token có thể kết nối một tiến trình cloudflared vào Tunnel. Nếu VPS đã có dịch vụ cloudflared từ trước, cần kiểm tra cấu hình hiện tại thay vì cài thêm một dịch vụ trùng lặp.
Bước 4. Cấu hình tên miền kết nối AI Agent
Sau khi Tunnel hoạt động, bạn cần xác định tên miền sẽ chuyển tiếp đến OpenClaw hoặc Hermes Agent.
Để kết nối OpenClaw hoặc Hermes Agent với Cloudflare Tunnel, bạn cần tạo một Published application route liên kết tên miền phụ với cổng dịch vụ AI Agent trên VPS.
Ví dụ, chúng ta sử dụng hai địa chỉ:
AI Agent Tên miền truy cập OpenClaw openclaw.huynhdongtung.io.vnHermes Agent hermes.huynhdongtung.io.vn
Trong hướng dẫn này, OpenClaw được sử dụng làm ví dụ chính.
Mở cấu hình Cloudflare Tunnel
Truy cập Cloudflare Dashboard, sau đó:
Chọn Networking → Tunnels.
Nhấn vào Tunnel ai-agent-vps đã tạo.
Tại mục Routes, nhấn Add route
Chọn Published application.
Điền thông tin tên miền
Trong cửa sổ Add published application, nhập:
Trường Thông tin cần điền Subdomain openclawDomain huynhdongtung.io.vnFull hostname openclaw.huynhdongtung.io.vnPath Để trống Service URL Địa chỉ nội bộ của OpenClaw trên VPS
Cách xác định Service URL
Nếu OpenClaw sử dụng cổng mặc định 18789, Service URL có thể là:
http://127.0.0.1:18789Tuy nhiên, đối với VPS OpenClaw cài sẵn từ TinoHost, bạn cần kiểm tra trước khi điền.
Mở Xshell, kết nối đến VPS và chạy:
sudo ss -lntp | grep -E ':(18789|80|443)\b'Tiếp tục kiểm tra cổng OpenClaw:
curl -I http://127.0.0.1:18789Nếu nhận được phản hồi HTTP từ OpenClaw, bạn có thể sử dụng địa chỉ trên làm Service URL.
Nếu không có phản hồi, cần kiểm tra cấu hình thực tế. VPS cài sẵn có thể sử dụng reverse proxy như Nginx hoặc Caddy để tiếp nhận tên miền openclaw-hdt.tino.page rồi chuyển tiếp đến Gateway.
Lưu ý: Không cần trỏ bản ghi A của openclaw.huynhdongtung.io.vn về IP VPS. Cloudflare sẽ tự tạo bản ghi DNS cho Tunnel khi bạn lưu Published application route.
Bước 5. Thiết lập Cloudflare Access
Cloudflare Access là lớp xác thực giúp ngăn người chưa được cấp quyền truy cập giao diện quản trị, ngay cả khi đã biết tên miền.
Đăng ký Cloudflare Zero Trust (nếu chưa có)
Nếu sử dụng lần đầu, bạn cần truy cập Zero Trust → Overview → Get started để tạo tài khoản. Chọn gói Free và hoàn tất bước xác nhận thông tin thanh toán theo yêu cầu của Cloudflare (gói Free không thu phí đăng ký).
Tạo ứng dụng Cloudflare Access
Trong Cloudflare Dashboard, mở Zero Trust → Access controls → Applications.
Nhấn Create new application.
Chọn Self-hosted and private.
Chọn Add public hostname.
Nhập tên miền cần bảo vệ, ví dụ: openclaw.huynhdongtung.io.vn.
Thiết lập quyền truy cập
Tiếp theo, kéo xuống phần Access policies:
- Đặt tên chính sách mới
- Chọn hành động Allow.
- Tại quy tắc Include, chọn Emails.
- Nhập địa chỉ email được phép truy cập.
- Lưu chính sách.
Chọn phương thức đăng nhập
Tại phần Authentication, sử dụng Cloudflare làm nhà cung cấp danh tính nếu tài khoản đã hỗ trợ.
Từ tháng 6/2026, Cloudflare đã sử dụng Cloudflare Identity Provider làm phương thức đăng nhập mặc định cho các tài khoản Zero Trust mới. Nếu muốn xác thực bằng mã gửi đến email, bạn có thể bổ sung One-time PIN trong Zero Trust → Integrations → Identity providers.
Cuối cùng, nhấn Create để lưu ứng dụng Access.
Lưu ý: Sau khi hoàn tất, hãy mở tên miền bằng cửa sổ ẩn danh để kiểm tra Cloudflare Access có yêu cầu xác thực hay không. Đồng thời, cần bảo vệ các đường truy cập Dashboard cũ để tránh bỏ qua lớp xác thực Cloudflare.
Bước 6. Hoàn thiện cấu hình OpenClaw hoặc Hermes Agent
Sau khi hoàn tất Cloudflare Tunnel và Cloudflare Access, bạn cần kiểm tra khả năng truy cập Dashboard qua tên miền HTTPS mới. Tùy cách cài đặt AI Agent, một số thiết lập có thể cần điều chỉnh để hoạt động chính xác.
Trường hợp 1: Sử dụng OpenClaw
Đầu tiên, kiểm tra kết nối Dashboard. Mở trình duyệt và truy cập: https://openclaw.huynhdongtung.io.vn
Đăng nhập qua Cloudflare Access, sau đó kiểm tra giao diện OpenClaw và thử gửi một tin nhắn.
Nếu Dashboard hoạt động bình thường, bạn có thể giữ nguyên cấu hình hiện tại.
Lưu ý: Nếu không thể đăng nhập do chờ phê duyệt, bạn hãy thực hiện các bước sau:
- Truy cập Dashboard qua link cũ.
- Mở Settings → Devices.
- Phê duyệt trình duyệt đang chờ kết nối.
- Quay lại link mới để sử dụng.
Nếu đang sử dụng OpenClaw cài trực tiếp trên VPS, chưa có cấu hình Origin riêng và đã xác định cần thay đổi địa chỉ công khai, bạn có thể dùng:
openclaw config set gateway.publicOrigin https://openclaw.huynhdongtung.io.vnSau đó khởi động lại Gateway theo phương thức quản lý dịch vụ hiện tại. Với bản cài trực tiếp sử dụng Gateway CLI:
openclaw gateway restartĐồng thời, hãy giữ nguyên cơ chế xác thực Gateway Token hoặc mật khẩu của OpenClaw để bổ sung thêm lớp bảo vệ bên cạnh Cloudflare Access.
Trường hợp 2: Sử dụng Hermes Agent
Đối với Hermes Agent, trước tiên hãy kiểm tra Dashboard có hoạt động qua tên miền mới hay không, ví dụ: https://hermes.huynhdongtung.io.vn
Nếu sử dụng Hermes Agent bản gốc và cần cấu hình địa chỉ HTTPS công khai, bạn có thể thiết lập:
hermes config set dashboard.public_url https://hermes.huynhdongtung.io.vnTuy nhiên, Hermes Agent yêu cầu có phương thức xác thực Dashboard phù hợp khi sử dụng địa chỉ công khai. Nếu dùng Nous Portal OAuth, cần đăng ký đúng địa chỉ callback trước khi kích hoạt cấu hình.
Sau đó khởi động lại Dashboard theo phương thức quản lý dịch vụ hiện tại.
Lưu ý: Với VPS Hermes cài sẵn, cần kiểm tra cấu hình Dashboard và cơ chế đăng nhập trước khi thay đổi.
Sau khi hoàn tất, chuyển sang Bước 7 để kiểm tra khả năng truy cập và các lớp bảo mật.
Bước 7. Kiểm tra truy cập và bảo mật bằng trình duyệt ẩn danh
Sau khi hoàn tất, mở trình duyệt ẩn danh và truy cập:
- https://openclaw.example.com
- https://hermes.example.com
Kết quả mong đợi là trang xác thực Cloudflare Access xuất hiện trước khi người dùng được chuyển đến ứng dụng.
Sau khi đăng nhập bằng tài khoản được cấp quyền, giao diện AI Agent sẽ xuất hiện.
Bạn nên kiểm tra thêm:
Chỉ khi các bước trên thành công, bạn mới nên gỡ những quy tắc mở cổng quản trị cũ đã không còn cần thiết.
Không đóng cổng SSH 22 trước khi có phương thức quản trị VPS thay thế đã được kiểm tra thành công.
Các lỗi thường gặp khi sử dụng Cloudflare Tunnel
Trong quá trình cấu hình, một số lỗi có thể xuất hiện do Tunnel mất kết nối hoặc dịch vụ AI Agent chưa được thiết lập chính xác.
Lỗi Nguyên nhân và cách khắc phục Tunnel hiển thị Down hoặc Inactive Kiểm tra cloudflared, Token và kết nối mạng của VPS. Cloudflare Error 1033 Tunnel chưa kết nối được đến mạng Cloudflare. Kiểm tra trạng thái dịch vụ và nhật ký. 502 Bad Gateway Tunnel hoạt động nhưng không kết nối được dịch vụ nội bộ. Kiểm tra IP, cổng và tiến trình AI Agent. Access Denied Email đăng nhập không đáp ứng chính sách Cloudflare Access. Dashboard mở được nhưng Chat không kết nối Kiểm tra WebSocket, cấu hình xác thực Gateway và Origin. Hermes Agent không khởi động Dashboard Kiểm tra cấu hình dashboard.public_url và nhà cung cấp xác thực.
Khi cần kiểm tra nhật ký cloudflared, chạy lệnh trên VPS:
sudo journalctl -u cloudflared -n 50 –no-pager
Đối với lỗi 502, hãy thử kết nối trực tiếp đến Service URL từ VPS. Nếu dịch vụ nội bộ không phản hồi, cần xử lý ứng dụng trước khi thay đổi cấu hình Cloudflare.
Cloudflare phân biệt rõ lỗi 1033 (Tunnel chưa kết nối) với lỗi 502 (Tunnel đã kết nối nhưng không truy cập được dịch vụ gốc).
Những lưu ý khi bảo mật AI Agent bằng Cloudflare Tunnel
Cloudflare Tunnel giúp giảm nguy cơ bị truy cập trực tiếp vào cổng quản trị, nhưng không thể thay thế toàn bộ những biện pháp bảo mật hệ thống.
Để bảo vệ OpenClaw và Hermes Agent hiệu quả hơn, bạn nên:
- Không công khai cổng Dashboard: Giữ cổng quản trị giới hạn ở localhost hoặc mạng nội bộ tin cậy.
- Giới hạn tài khoản truy cập: Chỉ cấp quyền Cloudflare Access cho những email thực sự cần sử dụng.
- Duy trì xác thực ứng dụng: Không tắt Token, mật khẩu hoặc OAuth của AI Agent chỉ vì đã bật Tunnel.
- Cập nhật phần mềm: Thường xuyên cập nhật cloudflared, OpenClaw, Hermes Agent và các thành phần liên quan.
- Bảo vệ Token và API Key: Không chia sẻ Tunnel Token, Gateway Token hay khóa API của nhà cung cấp AI.
- Kiểm soát quyền thực thi: Hạn chế quyền truy cập file, Terminal và các công cụ nhạy cảm của AI Agent.
- Kiểm tra dịch vụ khác: Nếu VPS còn mở SSH, website hoặc API công khai, cần bảo vệ các dịch vụ này riêng biệt.
Ngoài ra, cần lưu ý đến những tích hợp sử dụng Webhook.
Nếu một dịch vụ bên ngoài cần gửi yêu cầu trực tiếp đến OpenClaw hoặc Hermes Agent, chính sách Cloudflare Access dành cho người dùng có thể chặn yêu cầu tự động.
Trong trường hợp này, nên cấu hình một đường tiếp nhận Webhook riêng với cơ chế xác thực phù hợp, thay vì bỏ bảo vệ toàn bộ Dashboard.
Kết luận
Sử dụng Cloudflare Tunnel kết hợp Cloudflare Access là một phương pháp phù hợp để tăng cường bảo mật OpenClaw và Hermes Agent khi vận hành trên VPS. Giải pháp cho phép quản lý AI Agent qua tên miền HTTPS, hạn chế công khai cổng Dashboard và kiểm soát người được phép truy cập.
Khi triển khai, hãy ưu tiên giữ dịch vụ ở địa chỉ nội bộ, bảo vệ tên miền bằng Cloudflare Access và kiểm tra đầy đủ cơ chế xác thực của ứng dụng. Đồng thời, đừng quên cập nhật phần mềm và kiểm tra các cổng đang mở để duy trì môi trường vận hành an toàn.
Những câu hỏi thường gặp
Cloudflare Tunnel có miễn phí không?
Cloudflare cung cấp Cloudflare Tunnel cùng các khả năng cơ bản của Cloudflare Zero Trust trong gói miễn phí, có giới hạn tùy tính năng và chính sách sử dụng. Với nhu cầu truy cập Dashboard cá nhân, bạn có thể bắt đầu bằng gói miễn phí và kiểm tra điều kiện áp dụng trước khi triển khai.
Cloudflare Tunnel có thay thế được Tailscale không?
Có thể trong một số trường hợp. Cloudflare Tunnel kết hợp Access phù hợp khi cần truy cập Dashboard qua tên miền HTTPS bằng trình duyệt. Tailscale phù hợp hơn khi muốn tạo mạng riêng giữa nhiều thiết bị. Hai giải pháp có thể bổ sung cho nhau và có cách kiểm soát truy cập khác nhau.
Có thể sử dụng một Cloudflare Tunnel cho nhiều AI Agent không?
Có. Một Tunnel có thể chuyển tiếp nhiều tên miền phụ đến các dịch vụ nội bộ khác nhau. Ví dụ, openclaw.example.com trỏ đến cổng OpenClaw và hermes.example.com trỏ đến cổng Hermes Agent trên cùng VPS.
Có cần mở cổng 80 hoặc 443 trên VPS không?
Không cần mở cổng 80 hoặc 443 để Cloudflare Tunnel chuyển tiếp đến một dịch vụ HTTP chạy trên localhost. cloudflared chủ động tạo kết nối ra ngoài đến Cloudflare. Tuy nhiên, VPS vẫn cần cho phép lưu lượng kết nối ra ngoài phù hợp, bao gồm cổng 7844 theo yêu cầu kết nối Tunnel.
