传统端口映射需要让外部连接直接进入家庭网络。Cloudflare Tunnel 的方向相反：电脑主动向 Cloudflare 建立出站连接。
访问者打开域名时，先连接到 Cloudflare。Cloudflare 再通过已经建立的隧道，把请求转交给只监听 127.0.0.1 的网站程序。
这样做减少了直接暴露端口的风险，也隐藏了网站源站入口。不过，隧道并不等于绝对安全，网站程序、电脑系统和 Cloudflare 账号仍然需要保持更新并妥善保护。
对个人实验而言，这是一种很友好的方式：不用公网 IP，不必改变路由器配置，也能得到 HTTPS 和稳定的域名入口。