Podsumowując ( bo udało się to odpalić w końcu)
Po instalacji Immich'a tworzy się sieć "immich_default". I właśnie pod tą sieć trzeba podpiąć tunel cloudflare, co oczywiście wcześniej przeoczyłem.
docker run -d --network immich_default cloudflare/cloudflared:latest tunnel --no-autoupdate run --token XXX
To załatwiło sprawę. Wcześniej instalowałem tunel bez parametru network.