Cloudflare Tunnel：如何安全地暴露你的本地服务 – wiki基地

作者： /

Cloudflare Tunnel：如何安全地暴露你的本地服务

在当今互联互通的世界里，将本地运行的服务（例如个人网站、开发中的Web应用、家中的NAS、甚至远程访问的SSH服务）暴露到互联网上，让外部用户能够访问，是一个常见的需求。然而，传统的解决方案往往伴随着复杂的配置和潜在的安全风险。设置端口转发、配置防火墙规则、处理动态IP地址、搭建反向代理服务器——这些步骤不仅繁琐，而且一旦配置不当，就可能在你的网络中打开一个不安全的“洞”，让恶意攻击有机可乘。

想象一下，你想要从公司访问家里的文件服务器，或者展示你本地搭建的Web应用给朋友看。传统的做法是：
1. 路由器端口转发（Port Forwarding）: 在路由器上设置一个规则，将外部某个端口的流量转发到内部某个设备的特定端口。
2. 动态DNS (DDNS): 如果你的家庭网络没有静态IP地址，需要使用DDNS服务将域名动态地映射到你不断变化的公网IP上。
3. 防火墙配置: 确保本地设备的防火墙允许来自路由器的流量。
4. 反向代理: 对于Web服务，可能还需要设置Nginx或Apache等反向代理，以便在同一个IP地址上托管多个服务，或处理SSL证书。

这种方法存在诸多问题：
* 安全风险高: 直接暴露服务端口到公网，极易成为扫描和攻击的目标。DDoS攻击、端口扫描、服务漏洞都可能被直接利用。
* 配置复杂: 需要理解NAT、端口、防火墙、DNS等概念，对于非专业人士来说门槛较高。
* 依赖公网IP和DDNS: 需要有公网IP（有时运营商会限制或回收），并且依赖DDNS服务的稳定性和更新速度。
* 缺乏高级安全特性: 仅仅端口转发无法提供Web应用防火墙 (WAF)、DDoS保护、智能限速等高级安全功能。
* SSL证书管理: 需要自己获取和管理SSL证书，并配置到本地服务或反向代理上。

那么，有没有一种更简单、更安全的方式来解决这个问题呢？

答案就是：Cloudflare Tunnel (之前称为 Argo Tunnel)。

什么是 Cloudflare Tunnel？

Cloudflare Tunnel 是 Cloudflare 提供的一项服务，它允许你通过一个出站（outbound）连接，将本地服务安全、快速地连接到 Cloudflare 的全球网络中，并通过与你域名关联的子域名暴露给互联网。最核心的一点是：你不需要在路由器或防火墙上打开任何入站（inbound）端口。

它的工作原理与传统方式截然不同。传统方式是等待外部流量“进入”你的网络，而 Cloudflare Tunnel 是主动从你的网络“建立连接出去”，并在 Cloudflare 的边缘网络和你的本地服务之间构建一个安全的、加密的隧道。外部用户访问的是你的域名，流量首先到达 Cloudflare 的全球边缘网络，然后通过这个隧道安全地转发到你本地运行的服务。

这个出站连接是通过一个名为 cloudflared 的轻量级守护进程实现的。你将 cloudflared 安装在你的本地服务器上（可以是物理机、虚拟机、Docker容器，甚至树莓派），它负责与 Cloudflare 的边缘建立并维护一个或多个加密隧道。

Cloudflare Tunnel 的核心工作原理

为了更深入地理解，我们来分解一下 Cloudflare Tunnel 的主要组件和流程：

  1. cloudflared 守护进程: 这是运行在你本地环境的客户端软件。它是Cloudflare Tunnel 的核心驱动力。cloudflared 的主要任务是：

    • 在你的本地网络和 Cloudflare 的边缘网络之间建立并维护持久的、加密的出站连接。
    • 监听来自 Cloudflare 边缘网络的请求，并将这些请求转发给你配置的本地服务（例如 localhost:8000 或内部网络的 192.168.1.10:22）。
    • 接收本地服务的响应，并通过隧道将其发送回 Cloudflare 边缘网络。
    • 处理隧道认证、配置更新等任务。

  2. Cloudflare 边缘网络 (Edge Network): 这是 Cloudflare 遍布全球的数据中心网络。当外部用户访问你的域名（该域名已托管在 Cloudflare 上）时，流量首先抵达距离用户最近的 Cloudflare 边缘节点。

    • 边缘网络根据你的 Cloudflare Tunnel 配置（在 Cloudflare Dashboard 或通过 cloudflared CLI 配置），识别出哪些请求应该通过哪个隧道转发到你的本地服务。
    • 边缘网络执行 Cloudflare 的各种安全和性能服务，例如 DDoS防护、WAF、缓存、SSL解密/加密等，然后再将请求通过隧道发送。

  3. 安全隧道 (Secure Tunnel): cloudflared 和 Cloudflare 边缘网络之间建立的是基于 QUIC 或 TCP 的加密隧道。所有通过隧道传输的数据都是加密的，确保了数据的机密性和完整性。这个隧道是出站建立的，这意味着你的本地防火墙只需要允许出站连接即可，无需打开入站端口。

请求流程示意图 (概念性):

+--------------+ +-----------------+ +-------------------+ +-----------------+
| End User | --> | Cloudflare Edge | --> | Secure Tunnel (Outbound Connection) | --> | Your Local Server |
| (Browser/SSH)| | (Global Network)| | | | (`cloudflared` + Local Service) |
+--------------+ +-----------------+ +-------------------+ +-----------------+
| ^ | |
| | | |
+---------------------+-----------------------+---------------------------+
(Request Flow)

当用户访问 your-service.your-domain.com 时：
1. 用户的DNS查询将域名解析到 Cloudflare 的IP地址。
2. 用户的请求发送到距离其最近的 Cloudflare 边缘节点。
3. Cloudflare 边缘节点接收到请求，并根据你的 Tunnel 配置，识别出 your-service.your-domain.com 应该通过某个特定的 Tunnel 转发。
4. Cloudflare 边缘通过之前由你本地 cloudflared 建立的持久化隧道连接，将请求安全地发送给你的 cloudflared 实例。
5. cloudflared 接收到请求，并根据 Tunnel 配置，将请求转发到你在本地指定的端口和地址（例如 localhost:8000）。
6. 你的本地服务处理请求并生成响应。
7. cloudflared 接收到本地服务的响应。
8. cloudflared 通过隧道将响应发送回 Cloudflare 边缘节点。
9. Cloudflare 边缘节点接收到响应，可能应用缓存、压缩等优化，然后将响应发送回最终用户。

整个过程中，你的本地网络对外没有任何端口是直接暴露的。所有流量都像通过一根秘密的管道，从你的本地服务器主动伸向 Cloudflare 的安全堡垒，再由 Cloudflare 的堡垒接收外部请求并回传。

Cloudflare Tunnel 的主要特性与优势

了解了工作原理，Cloudflare Tunnel 的强大优势就显而易见了：

  1. 极高的安全性:

    • 无开放端口: 这是最显著的安全优势。攻击者无法扫描你的IP地址来寻找开放的服务端口进行攻击，大大减少了暴露面。
    • 端到端加密: 隧道本身是加密的，保护了传输中的数据。你可以选择配置强制HTTPS访问，Cloudflare 处理SSL证书的生成、续期和配置。
    • 集成Cloudflare安全特性: 享受 Cloudflare 全球网络带来的所有安全能力，包括：
      • DDoS防护: Cloudflare 在边缘网络就能过滤掉大量的恶意流量。
      • Web应用防火墙 (WAF): 保护你的Web服务免受常见的Web攻击（如SQL注入、XSS等）。
      • 机器人管理: 识别并拦截恶意机器人流量。
      • 速率限制: 防止暴力破解和服务滥用。
    • Cloudflare Access 集成 (零信任): 这是 Cloudflare Tunnel 最强大的安全配套之一。你可以通过 Cloudflare Access 为通过 Tunnel 暴露的服务添加身份认证和授权层。这意味着即使服务本身没有内置认证，你也可以要求用户必须通过 Google、GitHub、Azure AD 等身份提供商进行身份验证，并满足特定策略（如来自特定IP、拥有特定邮件地址等）才能访问。这对于暴露内部工具、仪表板、SSH等非公共服务至关重要，实现了真正的零信任访问。

  2. 部署和管理极其简单:

    • 无需修改防火墙/NAT: 你只需要在本地设备上安装并运行 cloudflared，无需登录路由器进行复杂配置。
    • 无需静态IP或DDNS: cloudflared 通过域名与 Cloudflare 建立连接，不依赖于你本地网络的公网IP地址，动态IP环境下也能稳定工作。
    • 简单的配置: 配置 cloudflared 将特定域名映射到本地服务地址非常直观，可以通过命令行参数或配置文件完成，也可以通过 Cloudflare Dashboard 的图形界面进行创建和管理。
    • SSL管理自动化: Cloudflare 可以自动为你签发和续期免费的SSL证书，确保你的服务始终可以通过HTTPS安全访问。

  3. 优秀的性能和可靠性:

    • 利用Cloudflare全球网络: 用户的请求通过距离他们最近的 Cloudflare 数据中心访问，可以减少延迟。
    • 流量优化: Cloudflare 可以对通过隧道传输的流量进行优化，例如HTTP/2、QUIC，甚至缓存静态资源。
    • 高可用性: 你可以在多个服务器上运行 cloudflared 实例，它们会同时连接到 Cloudflare，实现负载均衡和故障转移。即使一台服务器宕机，其他服务器也能继续处理请求。Cloudflare 的全球网络本身就具备高可用性。

  4. 灵活支持多种协议:

    • Cloudflare Tunnel 不仅支持 HTTP/HTTPS，还支持暴露其他类型的服务，例如：
      • SSH: 安全地从外部通过你自己的域名SSH连接到本地服务器。
      • RDP: 远程桌面连接。
      • VNC: 远程桌面协议。
      • TCP: 暴露任意基于TCP的应用，如游戏服务器、数据库等。
      • SMB: 文件共享（尽管通常更推荐其他方式）。

  5. 成本效益:

    • Cloudflare Tunnel 的基础功能（单个隧道、有限流量、基本协议支持）在 Cloudflare 的免费计划下是免费的，这对于个人用户、开发者和小团队来说非常划算。
    • 更高级的功能（如多个隧道、更多并发连接、Cloudflare Access 等）包含在 Cloudflare One/Zero Trust 的付费计划中，但通常也比维护复杂网络基础设施更具成本优势。

Cloudflare Tunnel 与传统方法的对比

特性/方法 传统端口转发/DDNS/反代 Cloudflare Tunnel
安全性 低（暴露端口，易受攻击） 高（无开放端口，DDoS/WAF/Access保护）
配置复杂度 高（路由器、防火墙、反代） 低（安装运行cloudflared，简单配置）
公网IP依赖 需要静态或依赖DDNS 无需静态IP，不直接依赖DDNS（通过域名解析到Cloudflare）
防火墙配置 需要配置入站规则 只需允许出站连接
SSL证书管理 手动获取/续期/配置 Cloudflare自动管理
高级安全功能 基本没有 WAF, DDoS, Bot Mgmt, Rate Limiting, Access认证
协议支持 依赖反代配置，端口转发灵活 HTTP/S, SSH, RDP, TCP等多种协议原生支持
高可用性 需要复杂配置 内置支持多个cloudflared实例提供冗余和负载均衡
成本 硬件/电费/DDNS服务可能 免费计划提供基本功能，付费计划提供高级功能
管理界面 分散（路由器、服务器等） 集中在Cloudflare Dashboard

从对比可以看出，Cloudflare Tunnel 在安全性、易用性和功能性上具有显著优势，尤其适合那些希望安全、便捷地暴露本地服务，同时又不想深入研究复杂网络配置的用户。

Cloudflare Tunnel 的常见用例

Cloudflare Tunnel 的灵活性使其适用于多种场景：

  1. 暴露本地Web开发环境: 在本地机器上运行一个Web服务器（如Node.js应用、Python Flask/Django、PHP），通过Tunnel暴露一个子域名，方便外部访问进行测试或演示，无需部署到云服务器。
  2. 搭建个人或小型网站: 将Hexo、Jekyll等静态博客或Wordpress等动态网站直接运行在家里的低功耗设备（如树莓派）上，通过Tunnel暴露，享受Cloudflare的安全和加速。
  3. 远程安全访问NAS/家庭服务器: 通过Tunnel暴露NAS的管理界面或文件共享协议（如SMB，虽然出于安全考虑，更推荐通过Tunnel暴露WebDAV或FTP接口，或者结合Access使用），实现外网安全访问。
  4. 安全SSH访问: 配置Tunnel暴露SSH服务，通过 cloudflared access ssh <tunnel-hostname> 命令或配置SSH客户端，无需开放22端口即可安全地从外部SSH到你的服务器，结合Cloudflare Access还能要求身份认证。
  5. 远程桌面 (RDP/VNC): 暴露本地Windows机器的RDP服务或Linux机器的VNC服务，方便远程办公或维护。
  6. 暴露内部应用或管理界面: 公司内部的一些工具、仪表板、测试环境等，可以通过Tunnel结合Cloudflare Access暴露给特定用户，无需VPN即可实现安全的远程访问，遵循零信任原则。
  7. 游戏服务器: 暴露本地搭建的游戏服务器端口（如Minecraft、Factorio等），让朋友可以通过你的域名连接，而无需暴露你的IP地址。
  8. IoT设备管理界面: 许多智能家居设备或IoT网关有Web管理界面，可以通过Tunnel暴露，方便远程管理。

如何设置 Cloudflare Tunnel (概览)

设置 Cloudflare Tunnel 的基本流程通常包括以下几个步骤：

  1. 拥有一个域名并将DNS托管在 Cloudflare: 如果你还没有，需要在Cloudflare注册一个账户，并将其用作你的域名DNS提供商。
  2. 安装 cloudflared: 在你需要暴露服务的本地服务器上，下载并安装对应操作系统的 cloudflared 客户端程序。Cloudflare提供了各种平台的安装包和指南。
  3. 认证 cloudflared: 运行 cloudflared login 命令。这个命令会打开一个浏览器窗口，让你登录你的 Cloudflare 账户并选择要与 cloudflared 实例关联的域名。认证成功后，会在本地生成一个证书文件，允许 cloudflared 代表你的账户创建和管理隧道。
  4. 创建 Tunnel: 可以通过 Cloudflare Dashboard 的 Zero Trust -> Access -> Tunnels 界面创建，也可以通过 cloudflared tunnel create <tunnel-name> 命令创建。创建 Tunnel 会生成一个唯一的 Tunnel ID。
  5. 配置 Tunnel: 这是关键步骤。你需要告诉 Cloudflare 和 cloudflared 如何路由流量。配置方式有多种：
    • 在 Cloudflare Dashboard 中配置: 在 Zero Trust 界面选择你的 Tunnel，然后添加公共主机名（Public Hostnames）。指定一个子域名（例如 my-app.your-domain.com），选择协议（HTTP、SSH等），然后填写本地服务的地址和端口（例如 localhost:8000）。Dashboard 配置会自动帮你创建相应的DNS记录。
    • 使用配置文件 (config.yml): 创建一个 config.yml 文件，指定 Tunnel ID、本地服务地址和端口的映射关系。这种方式更灵活，尤其适合配置多个服务、高级选项或自动化部署。
    • 使用命令行参数 (仅适合临时测试): 可以直接在运行 cloudflared tunnel run 命令时带上参数指定映射关系，但不推荐用于长期运行的服务。
  6. 运行 Tunnel: 启动 cloudflared 守护进程，让它连接到 Cloudflare 边缘并维持隧道。命令通常是 cloudflared tunnel run <Tunnel ID 或 Tunnel Name>。如果你使用配置文件，可能需要指定配置文件的路径。为了让隧道在服务器重启后自动启动，你需要将 cloudflared 配置为系统服务（如 systemd, launchd, Windows Service等）。
  7. 创建 DNS 记录: 如果你在 Dashboard 中配置了公共主机名，DNS记录会自动创建。如果使用配置文件，你需要手动在 Cloudflare DNS 管理界面创建一个 CNAME 记录，将你的子域名指向 Tunnel 的专用地址（例如 <tunnel-id>.cfargotunnel.com）。

完成以上步骤后，外部用户访问你配置的子域名时，流量就会安全地通过 Cloudflare Tunnel 到达你的本地服务了。

深入理解 Cloudflare Access 的重要性

对于暴露非公共服务（如内部工具、SSH、RDP、管理界面）而言，仅仅使用 Cloudflare Tunnel 是不够的。虽然Tunnel隐藏了你的IP地址和开放端口，但如果服务本身没有认证或者认证薄弱，攻击者依然可能通过隧道访问到它。

这时，Cloudflare Access 就发挥了至关重要的作用。Cloudflare Access 是 Cloudflare Zero Trust 平台的一部分，它允许你定义策略，控制哪些用户可以访问通过 Tunnel 暴露的应用程序。

Cloudflare Access 的工作方式:

当用户尝试访问通过 Tunnel 暴露并受 Access 保护的资源时，Cloudflare 边缘网络会拦截请求，并将用户重定向到一个统一的身份验证页面。用户需要在这里通过你配置的身份提供商（如 Google Workspace, Microsoft Azure AD, Okta, GitHub 等）进行登录。

认证成功后，Cloudflare Access 会根据你设置的策略来决定是否授权该用户访问。策略可以基于：
* 用户的身份（邮箱地址、用户组等）
* 设备的姿态（是否安装了客户端证书、是否满足公司安全要求等）
* IP地址、国家/地区
* 其他自定义规则

只有当用户成功认证且满足所有策略要求时，Cloudflare Access 才会允许流量通过 Tunnel 转发到你的本地服务。服务本身甚至不需要知道用户的身份，因为认证和授权发生在 Cloudflare 边缘。

集成 Cloudflare Access 的优势:

  • 强化安全: 在服务本身之前添加一道强大的身份验证和授权层，即使服务存在漏洞，也大幅提高了未授权访问的难度。
  • 零信任实现: 默认不信任任何访问请求，所有访问都必须先进行身份验证和授权，与传统基于网络的边界安全模型形成对比。
  • 简化服务侧认证: 对于许多内部工具，你甚至不需要在应用层面实现复杂的登录逻辑，Access 就能搞定。
  • 统一访问控制: 可以在 Cloudflare Dashboard 集中管理所有通过 Tunnel 暴露的内部应用的访问策略。
  • 无需VPN: 为远程工作或合作伙伴提供安全访问，无需部署和管理传统的VPN基础设施。

因此，如果你使用 Cloudflare Tunnel 暴露的是非公共服务，强烈建议结合使用 Cloudflare Access 来构建一个更加安全、现代的远程访问方案。

Cloudflare Tunnel 的配置方式：Dashboard vs. Configuration File

如前所述，Cloudflare Tunnel 的配置主要有两种方式：通过 Cloudflare Dashboard 的图形界面，或通过本地的配置文件 (config.yml)。

Dashboard 配置:

  • 优点:
    • 直观、易于理解，适合初学者或配置较少的场景。
    • 自动创建和管理DNS记录。
    • 可以在网页界面上进行创建、编辑和删除Tunnel及公共主机名。
  • 缺点:
    • 对于配置大量服务或复杂规则可能不够高效。
    • 不方便进行版本控制或自动化部署。
    • 一些高级选项（如TLS配置、负载均衡设置等）可能需要在配置文件中完成。

Configuration File (config.yml) 配置:

  • 优点:
    • 灵活，支持所有 Cloudflare Tunnel 的配置选项。
    • 适合配置多个本地服务到同一个Tunnel，支持路径路由、负载均衡等。
    • 易于进行版本控制、备份和自动化部署（例如通过Ansible, Docker Compose等）。
    • 可以在本地编辑，然后通过 cloudflared tunnel run --config config.yml <Tunnel ID> 命令运行。
  • 缺点:
    • 需要手动创建DNS记录（CNAME指向 <tunnel-id>.cfargotunnel.com）。
    • 需要了解配置文件的语法和选项。
    • 初次接触可能需要查阅文档。

典型的 config.yml 文件结构示例:

“`yaml
tunnel: <你的 Tunnel ID>
credentials-file: /root/.cloudflared/<你的 Tunnel ID>.json # 认证文件路径

ingress:
– hostname: my-web-app.your-domain.com # 暴露的域名
service: http://localhost:8000 # 本地服务地址和端口
– hostname: my-ssh.your-domain.com
service: ssh://localhost:22 # 暴露本地SSH服务
– hostname: my-nas.your-domain.com
service: http://192.168.1.100:5000 # 暴露内网设备的Web服务
– hostname: “*” # 通配符，可以用于捕获所有未匹配的流量
service: http://localhost:8080 # 可以作为默认服务或404页面
– service: http_status:404 # 未匹配任何规则时返回404错误

可选的高级配置

例如：负载均衡到多个本地服务

ingress:

– hostname: my-balanced-app.your-domain.com

originRequest:

connectTimeout: 10s

service: http://localhost:8001

– hostname: my-balanced-app.your-domain.com

originRequest:

connectTimeout: 10s

service: http://localhost:8002

– service: http_status:404

配置内部TLS证书（如果本地服务使用了自签名或内部CA签发的证书）

originRequest:

noTLSVerify: true # 禁用TLS证书验证（不推荐用于生产环境）

originServerName: my.internal.server.name # 指定发送给本地服务的SNI

其他通用配置

protocol: quic # 指定隧道协议，可选 tcp 或 quic

metrics: 0.0.0.0:8080 # 暴露cloudflared的监控指标

“`

在实际应用中，对于简单的单服务暴露，使用 Dashboard 配置非常便捷。对于需要暴露多个服务、进行复杂路由、或集成到自动化流程的场景，配置文件则更加强大和灵活。许多用户会选择结合使用：在 Dashboard 创建 Tunnel，然后下载证书文件，接着使用配置文件来定义详细的Ingress规则。

Cloudflare Tunnel 的局限性与注意事项

尽管 Cloudflare Tunnel 带来了诸多便利和优势，但也存在一些需要注意的地方：

  1. 依赖 Cloudflare: 你的服务的可用性在一定程度上依赖于 Cloudflare 网络的可用性。如果 Cloudflare 遇到全球性故障，你的服务可能会无法访问（尽管 Cloudflare 的可用性通常非常高）。
  2. 上传带宽限制: 隧道的性能受限于你本地网络的上传带宽。如果你的本地服务需要处理大量出站流量（例如提供大文件下载或视频流），而你的上传带宽不足，可能会成为瓶颈。
  3. 延迟考量: 虽然 Cloudflare 的全球网络可以减少用户到 Cloudflare 边缘的延迟，但从 Cloudflare 边缘通过隧道到你的本地服务，以及响应返回的延迟，取决于你的本地网络质量和与 Cloudflare 数据中心的物理距离。对于对实时性要求极高的应用（如某些在线游戏），可能需要仔细评估。
  4. 免费计划限制: 免费计划的 Tunnel 功能可能存在一些限制，例如 Tunnel 数量、连接带宽、并发请求数等。对于高流量或商业应用，可能需要升级到付费计划。
  5. 配置复杂度 (高级场景): 虽然基础配置简单，但如果需要实现复杂的路由规则、负载均衡、或与 Access 进行深度集成，仍然需要仔细阅读文档并理解相关概念。
  6. 非TCP/UDP协议支持有限: 主要支持TCP和QUIC（HTTP/3）。对于需要直接暴露UDP服务的场景，目前直接支持有限，虽然可以通过TCP隧道进行一些特定应用的封装，但不是所有UDP服务都能直接通过Tunnel暴露。Cloudflare Tunnel 主要聚焦于将 TCP 层应用通过其边缘网络代理。

总结

Cloudflare Tunnel 是一款极具创新性和实用性的服务，它彻底改变了我们安全地将本地服务暴露到互联网的方式。通过建立出站隧道，它成功地规避了传统端口转发带来的安全风险和配置复杂性。

凭借无开放端口的强大安全性、与 Cloudflare WAF、DDoS防护、Bot管理等安全能力的无缝集成，以及特别是与 Cloudflare Access 结合构建零信任访问的能力，Cloudflare Tunnel 为个人用户、开发者和企业提供了一个安全、简单、高效的服务暴露解决方案。

无论是托管个人博客、演示开发中的Web应用、远程访问家庭服务器、还是为内部工具构建安全的远程入口，Cloudflare Tunnel 都能提供强大的支持。它的免费层级让入门变得轻松，而付费计划则提供了更强大的功能和更好的性能，能够满足更广泛的需求。

如果你还在为如何安全地将本地服务上线而烦恼，或者对传统的网络配置感到头疼，那么 Cloudflare Tunnel 绝对值得你深入了解和尝试。它不仅能帮助你将服务呈现在世界面前，更能以一种前所未有的安全姿态来实现这一目标。立即前往 Cloudflare 官方网站，开始你的 Cloudflare Tunnel 之旅吧！

发表评论

您的邮箱地址不会被公开。 必填项已用 * 标注

滚动至顶部