Cloudflare Tunnel を利用してローカルの HTTPS サービスへルーティングする場合、証明書の Subject Alternative Name (SAN) にサーバーのローカル IP アドレスが含まれていないと、TLS 検証が失敗し接続が拒否される（502 エラー）問題が発生します。

原因

Cloudflare でオリジン証明書を発行すると、仕様上 SAN に IP アドレスを含めることができません。
そのため、証明書にはドメイン名のみが記載され、実際に接続するサーバーのローカル IP アドレスが含まれない状態となります。
この不一致が原因で、TLS 検証時にエラーが発生し、502 エラーとして接続が拒否されます。

対処法

対策は主に2通りです。
Cloudflare Tunnel の設定画面から、対象のパブリックホスト名を選択し、以下のいずれかの設定を行ってください。

1. No TLS verify の有効化

画面下部の「その他のアプリケーション設定」→「TLS」→「TLS 検証なし」を ON に設定。
TLS の検証が無効化され、SAN の不一致によるエラーを回避できます。

2. Origin Server Name の指定

同じく「その他のアプリケーション設定」→「TLS」→「オリジンサーバー名」に、証明書でカバーされているサービスのドメイン名を指定。
これにより、TLS 検証時に指定されたドメイン名が使用され、SAN の不一致問題を解消できます。

これでCloudflare Tunnel 経由でローカルの HTTPS サービスに正常に接続できるようになる...はずです。

Cloudflare tunnelでの502エラー「cannot validate certificate for 192.168.x.x because it doesn't contain any IP SANs」への対処法