Cloudflare Tunnel funktioniert nicht mit aktivierter Firewall - trotz entsprechender Regeln

Christopher87R

Wenn ich die Firewall aktiviere (siehe Screenshot), dann erhalte ich beim Aufbau des Cloudflare Tunnels folgenden Fehler:

Code

ERR Failed to dial a quic connection error="failed to dial to edge with quic: timeout: no recent network activity" connIndex=0 event=0 ip=198.41.192.227
WRN If this log occurs persistently, and cloudflared is unable to connect to Cloudflare Network with `quic` protocol, then most likely your machine/network is getting its egress UDP to port 7844 (or others) blocked or dropped. Make sure to allow egress connectivity as per https://developers.cloudflare.com/cloudflare-one/connections/connect-apps/configuration/ports-and-ips/

Screenshot 2026-05-19 at 21.19.23.png

Laut cloudflare Supprt Seite https://developers.cloudflare.com/tunnel/troubleshooting/ genügt ausgehender UDP Traffic auf dem Port 7844 - das sollte durch das Regelwerk abgedeckt sein.

Deaktiviere ich die Firewall, dann läuft alles.

Auch über ufw ist der Port nicht explizit freigegeben und ufw ist immer aktiv --> es hängt an eurer Firewall

Code

Status: active
Logging: on (low)
Default: deny (incoming), allow (outgoing), deny (routed)
New profiles: skip

To                         Action      From
--                         ------      ----
22/tcp                     ALLOW IN    Anywhere                  
11422/tcp                  ALLOW IN    Anywhere                  
22/tcp (v6)                ALLOW IN    Anywhere (v6)             
11422/tcp (v6)             ALLOW IN    Anywhere (v6)

Alles anzeigen

Könnte ihr das Problem bitte beheben und mir ggf. einen Workaround (außer das Deaktivieren) nennen?

Herzlichen Dank und viele Grüße,

Christopher

[gelöschtes Individuum]

Du musst fuer cloudflared eingehend den Port 7844 UDP erlauben damit der cloudflared Tunnel die QUIC Pakete zu dir zurueck senden kann. Also zum mindest in der NC Firewall, in UFW ist das nicht noetig.

Das hatte letztens mein Problem mit dem cloudflared Tunnel geloest.

Screenshot 2026-05-19 213503.png

terence

Der Grund dafür steht in der Hilfe:

Zitat

Die Firewall ist stateful. Das bedeutet, dass sie sich Verbindungen merkt, die von deinem Server ausgehen, und den Rückverkehr automatisch annimmt. Dies gilt jedoch nur für TCP-Traffic. Um UDP-Traffic auf die Whitelist zu setzen, musst du sowohl eine INGRESS- als auch eine EGRESS-Regel in deiner Policy anlegen

Christopher87R

Zitat von sudoNoSleep

Du musst fuer cloudflared eingehend den Port 7844 UDP erlauben damit der cloudflared Tunnel die QUIC Pakete zu dir zurueck senden kann. Also zum mindest in der NC Firewall, in UFW ist das nicht noetig.
Das hatte letztens mein Problem mit dem cloudflared Tunnel geloest.
Screenshot 2026-05-19 213503.png

Danke!

Ich muss nun ebenfalls alle eingehenden UDP Ports öffnen - finde das nicht optimal.

Kann man die Firewall nicht auf stateless umstellen?

NaN

Die TCP-Firewall ist stateful. Die UDP-Firewall ist stateless. Das ist nicht änderbar. Wenn du den Source Port auf deinem Server festlegen oder eingrenzen kannst (z.B. per NAT), musst du den Traffic nicht für alle UDP-Ports reinlassen. Sonst reicht es wahrscheinlich, wenn du den Traffic nur für die Ephemeral Port Range auf deinem System freigibst. Wenn du die IP-Adressen von Cloudflare für den Dienst kennst, kannst du den Traffic auch darauf einschränken. Ansonsten eben wie in der ersten Antwort, dann geht es, aber ein Angreifer kann dann durch Wahl des Source Ports auf alle deine UDP-Ports zugreifen.