由源站主动拨出。

把源站藏在 CDN 后面,前提是源站还得拒绝所有不经 CDN 而来的人。那是一条必须永远保持正确的防火墙规则;而地址一旦泄露过一次 —— 一条旧 DNS 记录、一个邮件头、一条证书透明日志 —— 就永远泄露了。

隧道让这个问题消失。没有入站端口可保护,也就没有可写错的规则;即使地址泄露,访问到的也是一台不会应答的服务器。

• 在 NAT、CGNAT 之后都能用,也适用于没有固定地址的线路 —— 因为是它主动拨出。
• 一个连接器可以同时挂两个不同城市的落地点,某个城市失联不会导致站点下线。
• 回源走的地址只存在于我们网络内部,从互联网不可路由。

1. 在控制台打开 CDN → Link 并创建隧道:名称、落地城市,以及要转发到的本地地址 —— 通常是 http://127.0.0.1:8080。
2. 复制凭据。它只显示这一次,我们也无法再读回。
3. 把连接器放到运行站点的那台机器上,用控制台给出的命令运行它。
4. 把 Shield 站点指向这条隧道,而不是某个源站地址。

curl -fsSL https://dash.yunzheng.space/assets/orbit-link-linux-amd64 -o /usr/local/bin/orbit-link
chmod +x /usr/local/bin/orbit-link

orbit-link --token lnk_… --endpoint 203.0.113.4:7844 --fingerprint sha256:… --local http://127.0.0.1:8080

已发布的构建包括 Linux(x86-64、arm64 与 ARMv7)、macOS(Apple 芯片与 Intel)以及 Windows。控制台里都有链接。

[Unit]
Description=Orbit Link connector
After=network-online.target
Wants=network-online.target

[Service]
ExecStart=/usr/local/bin/orbit-link --token lnk_… --endpoint … --fingerprint … --local http://127.0.0.1:8080
Restart=always
RestartSec=5
DynamicUser=yes
StateDirectory=orbit-link

[Install]
WantedBy=multi-user.target

连接器以容器镜像形式发布,支持 Linux x86-64、arm64 与 ARMv7。镜像内是与下载版相同的已签名构建,以非 root 用户运行,可使用只读文件系统,不需要 shell。

# orbit-link.env  (chmod 600 orbit-link.env)
ORBIT_LINK_TOKEN=lnk_…
ORBIT_LINK_ENDPOINT=203.0.113.4:7844
ORBIT_LINK_FINGERPRINT=…
ORBIT_LINK_LOCAL=http://127.0.0.1:8080

docker run -d --name orbit-link --restart unless-stopped --env-file orbit-link.env --network host \
  --read-only --cap-drop ALL --security-opt no-new-privileges \
  cr.yunzheng.space/orbit-link:1.3.0

在容器内,127.0.0.1 指的是容器自身。--network host 让连接器访问主机上的服务;若要访问另一个容器,请改用它的名称。

services:
  app:
    image: your-app-image
  orbit-link:
    image: cr.yunzheng.space/orbit-link:1.3.0
    restart: unless-stopped
    env_file: orbit-link.env
    environment:
      ORBIT_LINK_LOCAL: http://app:8080
    read_only: true
    cap_drop: [ALL]
    security_opt: [no-new-privileges:true]
    depends_on: [app]

• 不要把凭据写进镜像或命令行:通过 env 文件传入,或以 secret 挂载并把 ORBIT_LINK_TOKEN_FILE 设为其路径。
• 镜像不会自行更新。标签有精确版本(1.3.0)、次版本线(1.3)与 latest;升级时更换标签即可。
• Docker 能看到连接器的健康状态:隧道连通时显示为 healthy。
• 执行 docker stop 时,连接器会先处理完正在进行的请求(最多 8 秒,ORBIT_LINK_DRAIN)再退出。

提供两个 Helm chart。orbit-link 以 Deployment 运行一条隧道的连接器。orbit-link-controller 发布 Ingress 与 Gateway API 路由:你在集群里声明的每个主机名都经 Orbit Link 对外提供,不需要入站端口,也不需要负载均衡器。

# orbit-link-values.yaml  (chmod 600 orbit-link-values.yaml)
tunnel:
  token: lnk_…
  endpoint: "203.0.113.4:7844"
  fingerprint: "…"
  local: http://my-app.default.svc.cluster.local:8080

helm install orbit-link oci://cr.yunzheng.space/charts/orbit-link \
  --namespace orbit-link --create-namespace -f orbit-link-values.yaml

• 默认两个副本,分布在不同节点上,各自保持连接;同一网络地址后面的多个副本都能保持连接。
• 以非 root 用户、只读文件系统运行;凭据以文件挂载,不经环境变量传递。
• 就绪状态跟随隧道:连接建立后副本才就绪。滚动更新时,每个副本先处理完正在进行的请求再停止。

kubectl create namespace orbit-link
kubectl -n orbit-link create secret generic orbit-api --from-file=token=./orbit-api-token
helm install orbit-link oci://cr.yunzheng.space/charts/orbit-link-controller -n orbit-link \
  --set clusterName=my-cluster --set orbit.existingSecret=orbit-api

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: my-app
spec:
  ingressClassName: orbit-link
  rules:
    - host: app.example.com
      http:
        paths:
          - path: /
            pathType: Prefix
            backend:
              service:
                name: my-app
                port:
                  number: 80

• 发布的对象:类别为 orbit-link 的 Ingress,以及挂在 GatewayClass 为 orbit-link 的 Gateway 上的 HTTPRoute。支持按主机名与路径(Prefix 与 Exact)分发。
• Ingress 的 status(或 Gateway 的 addresses)会给出每个主机名的 CNAME 应指向的名称。kubectl describe 会显示每个主机名的事件:已发布、已被占用或超出套餐上限。
• 修改主机名或路径即时生效;删除 Ingress 或路由会从 Orbit 移除它的主机名。helm uninstall 会移除控制器创建的全部内容。
• TLS 在 Orbit 边缘终止,主机名的 CNAME 生效后由边缘签发证书。
• 多个控制器副本分工:其中一个负责变更,全部副本都承载流量。
• 控制器与两个 chart 以 Apache License 2.0 开源:github.com/yunzheng2006/orbit-link-controller。

当前连接器版本为 1.3.0(2026-09-28)。下载:Linux x86-64、Linux arm64、Linux ARMv7、macOS Apple 芯片、macOS Intel、Windows x86-64。orbit-link --version 会显示你手上的版本。

• 1.3.0(2026-09-28):同一网络地址后面可以为一个隧道运行多个连接器副本,例如 Kubernetes 中的多个副本。
• 1.2.0(2026-09-28):停止前先处理完正在进行的请求;可提供健康检查;可从文件读取凭据;新增 Linux ARMv7 构建。
• 1.1.2(2026-09-25):在屏蔽 UDP 的网络中,连接空闲一段时间后的请求不再失败。
• 1.1.1(2026-09-25):因 UDP 不通而改走备用连接后,UDP 恢复时会自动切回。
• 1.1.0(2026-09-25):修复在屏蔽 UDP 的网络中处理几次请求后停止工作的问题;可同时通过 IPv4 和 IPv6 连接;支持自动更新。
• 1.0.0:首个版本。

从 1.1.0 起连接器会自动保持最新:启动时和每隔几小时检查一次新版本,只安装用我们发布密钥签名的构建,切换前先试运行新构建,新构建连不上隧道时自动退回上一版本。在 systemd 下更新暂存在它的 StateDirectory 里;手动运行时,在有权限的情况下直接替换自身文件。

连接器拨的是一个地址而非主机名,因此没有名字可以让公共 CA 背书。取而代之的是对落地点公钥的钉定:命令行里的 fingerprint 是该公钥的 SHA-256,连接器拒绝与任何无法出示它的一方通信。

凭据的方向相反:落地点校验它并接受这条隧道。凭据错误与隧道不存在的拒绝是完全相同的 —— 二者的差别恰好是猜测者想要得到的信息。

连接器优先使用 UDP 7844 上的 QUIC,并在同一端口回退到 TCP。如果所在网络完全丢弃 UDP,加上 --tcp 直接走回退,不必等 QUIC 超时。

两种情况下都只需要出站连接。没有任何东西会主动连接你的服务器。