Cloudflare services for private origins is now generally available

The Cloudflare Blog

The Cloudflare Blog2026年10月30日

Cloudflare services for private origins is now generally available

6.9内容质量

TL;DR · AI 摘要

Cloudflare servicesÂ for private originsÂ is now generally available Cloudflare Blog post DNS Private Network Product Ne...

核心要点

主题聚焦：Cloudflare services for private origins is now g
来源：The Cloudflare Blog，建议结合原文判断细节。
AI 分析暂不可用，本条为保底评分与摘要。

#AI#编程#后端#云计算#产品

打开原文

Cloudflare 为私有源提供的服务现已正式上线 | Cloudflare 博客

post

DNS

私有网络

产品新闻

零信任

应用服务

Cloudflare One

Cloudflare Zero Trust

2026年10月30日

Cloudflare 为私有源提供的服务现已正式上线

Enrique Somoza

5分钟阅读

复制链接

今天，Cloudflare 为私有源提供的服务已正式上线。将代理的DNS记录指向私有IP，Cloudflare会通过现有的Cloudflare One连接访问源站。源站保持私有，同时Web应用防火墙（WAF）、缓存、机器人管理以及Workers的功能与处理公共源站时完全一致。

今年6月，我们通过封闭测试版推出了该功能，以解决客户反复提出的痛点：他们的内部API、AI代理后端、MCP服务器和运维工具并未设计为面向互联网，但这些服务仍需要通过互联网接受合作伙伴、客户或代理的请求。在测试版之前，要将Cloudflare部署到这些服务前，意味着需要暴露公网IP、开放防火墙端口，或在源站旁运行cloudflared。

这些要求常常导致私有应用无法获得与公共应用相同的安全防护和控制功能，包括WAF、机器人管理、速率限制、缓存、流量加速、重写规则和Workers。

今日正式上线的功能

在封闭测试阶段，符合条件的客户需通过账户团队申请访问权限。今天，我们已向更广泛的用户群体开放访问权限。

将代理的A记录或AAAA记录指向私有IP，Cloudflare的应用服务将如同处理公共源站一样正常运作：

WAF和托管规则
机器人管理
速率限制
缓存
转换和重写规则
Workers

部分限制仍然存在。Argo智能路由和专用CDN出站IP目前不支持，源站健康检查需要负载均衡功能。完整的当前限制列表请参阅开发者文档。

您的源站可继续使用私有IP，无需任何入站防火墙例外规则。通过Cloudflare WAN，源站无需安装任何连接软件。通过Cloudflare Mesh，连接器将在您的私有网络内部运行，并可为多个源站提供服务。

实现方式

创建一个指向源站的代理A记录或AAAA记录。对于支持的私有IP地址范围，私有网络路由将自动启用。如果源站使用仅能通过私有网络访问的公网IP，您可以手动启用该设置。

请求处理流程的其余部分保持不变：TLS终止、WAF、规则和缓存继续在Cloudflare网络上运行。

该设置会自动适用于RFC 1918私有IPv4地址、RFC 6598 CGNAT地址（100.64.0.0/10）和RFC 4193唯一本地IPv6地址（fc00::/7）。对于这些地址范围，无法通过API关闭该功能，尝试禁用时将返回错误。

API 的外观

对于通过API自动化部署的客户，私有路由只是标准DNS记录的一个附加属性。

code

POST /zones/{zone_id}/dns_records
{
"type": "A",
"name": "app.example.com",
"content": "10.0.0.50",
"ttl": 300,
"proxied": true,
"private_routing": true
}

在幕后，Cloudflare 的代理平台通过查询 Cloudflare 的 Origin API 来确定将 app.example.com 的流量发送到何处。响应中包含元数据，表明应通过私有网络路径到达目标：

code

{
"zone_name"
:
"example.com"
,
"ipv4_addresses"
: [
"10.0.0.50"
],
"private_routing"
:
true
}

private_routing 标志是关键信号。当我们的代理看到该标志时，不会尝试通过公共互联网直接连接到私有 IP 地址，而是将请求交给我们的私有网络层，后者通过客户现有的私有网络连接进行路由，无论该连接是 IPsec、GRE、Cloudflare Tunnel、CNI 还是 Cloudflare Mesh。

beta 文章详细介绍了路由层。

入门指南

开始之前，您需要：

账户上的 Private Origins 权限。请联系您的账户团队以启用该权限。

使用 IPsec、GRE、CNI、Cloudflare Tunnel 或 Cloudflare Mesh 的 Cloudflare One 连接。

账户上启用 Unified Routing（除非您通过 Cloudflare Tunnel 连接，Tunnel 不需要此功能）。新旧账户均可通过账户团队升级。

如果您通过 Cloudflare WAN 或 Cloudflare Mesh 连接，请为 Cloudflare 的源地址范围配置返回路由：IPv4 的 100.64.0.0/12 和 IPv6 的 2606:4700:cf1:5000::/64。然后，为私有 IP 创建代理 A 或 AAAA 记录，并确认已启用“使用私有网络路由”。您现有的 WAF、缓存和机器人管理配置将自动适用于该主机名，无需进一步更改。

然后，为私有 IP 创建代理 A 或 AAAA 记录，并确认“使用私有网络路由”已启用。您现有的 WAF、缓存和机器人管理配置将自动适用于该主机名，无需进一步更改。

来自 beta 的一个提示：如果请求超时且源端未收到任何数据，请首先检查返回路由。我们看到的最常见的设置失败是缺少 Cloudflare 源地址范围的路由。

启用后，请遵循我们的开发人员文档，其中逐步介绍了完整设置流程。

后续计划

今天的发布内容涵盖公共流量到达私有源。接下来，我们正在开发私有到私有的流量：通过 Cloudflare 的应用服务，私有网络上的用户、服务和 AI 代理可以访问其他私有网络上的应用。

工程工作正在进行中，我们计划在 2027 年初推出封闭 beta 版。如果您有兴趣参与，请联系您的账户团队。

目标是为私有应用提供与公共应用相同的保护和控制。例如，员工打开 wiki.company.internal 时，可以受益于 WAF、速率限制和机器人管理。云之间和服务之间的服务通信也可以使用这些控制，即使双方都不接触公共互联网。

目前，今天的发布将您用于公共应用的 WAF、缓存、机器人管理和 Workers 带到私有源，通过您已有的连接实现。

有问题或反馈？加入我们的社区论坛讨论，或联系您的账户团队。

目录列

讨论列