DeepSeek Harness Cloudflare 零信任接入插件

前言¶

DeepSeek Harness (DSH) 允许用户在本地部署模型。远程访问通常需要公网 IP 或开放入站端口。本插件通过 Cloudflare Zero Trust 提供认证与路由能力，无需公网 IP。

插件定位¶

sevoniva-labs/dsh-cloudflare-access 是为 DSH 提供的 Cloudflare Zero Trust 访问插件。它通过 Cloudflare Access 进行认证，通过 Cloudflare Tunnel 进行路由，无需公网 IP 或开放入站端口。插件管理 Access 应用、Tunnel 和 DNS 配置，登录由 Cloudflare 处理。

安装与启用¶

安装插件并启动 DSH：

dsh plugin --profile web add github:sevoniva-labs/dsh-cloudflare-access#v0.1.0-alpha.12
dsh --profile web --host 127.0.0.1

使用前提¶

需要官方 DSH 0.1.6-alpha.2，使用 Node.js 22.19.0 或更高版本。
需要已初始化 Cloudflare Zero Trust 账号和托管域名。
Harness 主机必须能够连接 Cloudflare，并在远程使用期间保持运行。

核心功能¶

Cloudflare Access 认证
Cloudflare Tunnel 配置
DNS 配置
无需公网 IP
文件目录浏览
模型配置管理
连接恢复

配置流程¶

打开 DSH 输出的本机启动链接，进入 设置 → Cloudflare 零信任接入。
安装 cloudflared，或指定已有官方可执行文件的路径。
填写 Cloudflare API Token，选择域名，填写访问子域名并选择登录方式。
填写允许访问的邮箱。需要可信设备限制时，填写已有的设备检查 ID。
点击“检查配置”，核对资源和访问权限，输入完整访问域名后点击“发布配置”。
等待隧道连接成功，再通过 HTTPS 域名登录。

API Token 仅用于配置操作，不持久保存。插件不会覆盖其他部署的 DNS、Access 应用或 Tunnel。设备检查必须预先在 Cloudflare Zero Trust 中配置。

本地配置覆盖示例（cordis.patch.yml）：

- id: dsh-cloudflare-access
  name: '@sevoniva/dsh-cloudflare-access'
  config:
    instance: web
    gatewayPort: 3082
    maxTokenAgeSeconds: 7200

适用场景与注意事项¶

权限模型：仅适用于主机所有者和可信管理员。所有获准用户共享同一个 Harness 的会话、文件和工具权限，不提供用户隔离。
兼容性：需要 DSH 0.1.6-alpha.2 和 Node.js 22.19.0+。Windows 暂不支持自动安装。
资源隔离：插件不修改官方文件，仅在本地网关层适配。升级 DSH 后需验证功能。
安全：API Token 仅用于配置操作，不持久保存。设备检查必须预先在 Cloudflare 中配置。

更新与卸载¶

更新时查看目标 Release 的兼容说明，将安装命令中的 #v0.1.0-alpha.12 替换为目标版本，安装后重启 DSH。

完全卸载时：
1. 在插件设置中停用入口。
2. 重新填写 API Token，输入当前子域名并删除配置。
3. 删除成功后卸载插件：dsh plugin --profile web remove @sevoniva/dsh-cloudflare-access。

直接卸载不会清理 Cloudflare 资源。

生态与许可¶

这是独立社区插件，非 DeepSeek 或 Cloudflare 官方产品，使用 MIT License。可通过 GitHub 获取源码。