Cloudflare 私有源站服务正式可用

Cloudflare 宣布面向私有源站的服务正式可用。用户只需把代理的 A 或 AAAA 记录指向私有 IP，Cloudflare 就会通过客户已有的 Cloudflare One 连接回源，源站保持私有，无需暴露公网 IP，也无需开放入站防火墙端口。该能力今年 6 月以封闭测试形式推出，当时主要面向内部 API、AI 智能体后端、MCP 服务器和运维工具这类不适合直接暴露在互联网、却需要接受外部请求的服务。 正式可用后，访问范围从测试阶段的账户团队申请扩展到更广客户。WAF 与托管规则、Bot 管理、速率限制、缓存、转换与重写规则以及 Workers 均可像对公网源站一样工作。仍存在限制：不支持 Argo Smart Routing 和 Dedicated CDN Egress IPs，源站健康检查需要配合 Load Balancing。 实现方式上，私有网络路由对 RFC 1918 私有 IPv4、RFC 6598 CGNAT 地址段 100.64.0.0/10 和 RFC 4193 唯一本地 IPv6 地址段 fc00::/7 自动开启且无法关闭，通过 API 关闭会返回错误。API 侧只是在标准 DNS 记录上增加 private_routing 属性；代理平台查询 Cloudflare 的 Origin API 后，依据该标志把请求交给私有网络层，经 IPsec、GRE、Cloudflare Tunnel、CNI 或 Cloudflare Mesh 路由到源站。使用 Cloudflare WAN 时源站无需安装连接器软件，使用 Cloudflare Mesh 时连接器部署在私有网络内并可服务多个源站。 启用前需要账户具备 Private Origins 权限，配置 IPsec、GRE、CNI、Cloudflare Tunnel 或 Cloudflare Mesh 之一的 Cloudflare One 连接，并开启 Unified Routing（经 Cloudflare Tunnel 接入除外）。若通过 Cloudflare WAN 或 Mesh 连接，需为 Cloudflare 源地址段 100.64.0.0/12（IPv4）和 2606:4700:cf1:5000::/64（IPv6）配置返回路由。测试期间最常见的配置失败就是缺少该返回路由，表现为请求超时且源站收不到流量。 Cloudflare 表示下一步将支持私有到私有流量，即私有网络中的用户、服务和 AI 智能体通过 Cloudflare 应用服务访问其他私有网络上的应用，工程开发已在进行，目标在 2027 年初进入封闭测试。