Cloudflare 面向私有源站的服务现已正式全面上线

Cloudflare 于 2026 年 10 月 30 日宣布，其私有源站服务现已正式全面上线。此次发布将 Cloudflare 的应用层保护扩展至托管在私有网络中的应用，使组织能够通过 Cloudflare 路由面向互联网的流量，而无需公开暴露源站。

在受支持的配置中，已代理的 DNS 记录指向私有 IP 地址，Cloudflare 则通过客户现有的 Cloudflare One 连接访问源站。据 Cloudflare 表示，应用可以使用与公共源站现有功能相同的 Web 应用防火墙、缓存、机器人管理、速率限制、转换与重写规则以及 Workers 功能。

目前已正式全面上线的内容

该功能此前以封闭测试形式推出。现在，该功能已向原测试群体之外的账户开放，但账户仍需具备 Private Origins 使用资格。Cloudflare 表示，必须通过客户团队启用此资格。

主要变化在于 Cloudflare 代理与源站之间的连接路径。Cloudflare 的代理平台不再通过公共互联网连接私有地址，而是识别目标需要使用私有网络路由，并将连接移交给 Cloudflare 的私有网络层，再通过客户已建立的连接传输流量。

据 Cloudflare 表示，受支持的连接方式包括 IPsec、GRE、Cloudflare Tunnel、CNI 和 Cloudflare Mesh。使用 Cloudflare WAN 时，源站无需安装连接器软件。Cloudflare Mesh 部署需要使用位于私有网络内部的连接器，该连接器可以服务多个源站。

适用场景

此次发布主要面向无法接受直接互联网流量，但仍需要为合作伙伴、客户或自动化代理程序提供服务的应用。Cloudflare 列出的示例包括内部 API、AI 智能体后端、MCP 服务器和运维工具。

在此功能推出之前，将 Cloudflare 部署在此类服务之前，通常需要公开 IP 地址、开放入站防火墙端口，或者在源站旁运行 cloudflared。这些部署方式可能导致私有应用无法使用公共工作负载所具备的应用层控制措施。

启用私有路由后，据 Cloudflare 表示，源站可以保留私有地址，无需设置入站防火墙例外规则。主机名现有的 WAF、缓存和机器人管理策略也会继续生效，无需单独更改配置。

私有路由的选择方式

管理员需要为源站创建已代理的 A 或 AAAA 记录。对于以下地址范围，私有网络路由会自动启用：

RFC 1918 私有 IPv4 地址；
RFC 6598 运营商级 NAT 地址，范围为 100.64.0.0/10；
RFC 4193 唯一本地 IPv6 地址，范围为 fc00::/7。

对于这些受支持的地址范围，该设置无法关闭。通过 API 尝试关闭时，系统会返回错误。如果源站使用公共 IP 地址，但只能通过客户的私有网络访问，则可以手动启用私有路由设置。

对于自动化部署，私有路由作为标准 DNS 记录的一个属性提供：

POST /zones/{zone_id}/dns_records
{
  "type": "A",
  "name": "app.example.com",
  "content": "10.0.0.50",
  "ttl": 300,
  "proxied": true,
  "private_routing": true
}

随后，Cloudflare 的代理平台会查询 Origin API，以确定请求应发送至何处。返回的元数据包含 private_routing 标志，该标志指示代理使用私有网络路径，而不是尝试直接通过公共互联网连接。

部署要求与常见故障点

除 Private Origins 使用资格外，账户还需要通过一种受支持的方式建立 Cloudflare One 连接。除使用 Cloudflare Tunnel 的连接外，还必须启用 Unified Routing；Cloudflare Tunnel 连接则无需启用。

使用 Cloudflare WAN 或 Cloudflare Mesh 的部署需要为 Cloudflare 的源地址范围配置返回路由。文档列出的 IPv4 地址范围为 100.64.0.0/12，IPv6 地址范围为 2606:4700:cf1:5000::/64。Cloudflare 报告称，在测试期间，请求超时且未能到达源站时，缺少返回路由是最常见的配置故障。

配置路由和 DNS 记录后，管理员应确认“使用私有网络路由”已启用。其余请求路径将遵循 Cloudflare 的标准处理流程，包括 TLS 终止、WAF 评估、规则处理和缓存。

当前限制

私有源站尚不支持 Argo Smart Routing 或 Dedicated CDN Egress IPs。源站健康检查需要使用 Cloudflare Load Balancing。这些限制意味着，此次正式全面上线不应被视为已具备公共源站可用的全部路由和流量管理选项。

计划中的私有网络到私有网络流量

Cloudflare 还在开发完全保留在私有网络内部的流量。其目标是使用户、服务和 AI 智能体能够通过 Cloudflare 的应用服务访问另一个私有网络中的应用。该公司表示，相关工程工作正在进行，并计划于 2027 年初启动封闭测试，因此这仍属于路线图规划，并非已正式全面上线的能力。

较长期的应用示例包括：员工通过 Cloudflare 的保护机制访问内部 wiki，以及对云与数据中心之间的服务间流量应用 WAF、速率限制或机器人管理。不过，对于当前版本，可用的场景仍是让公共流量通过客户已经运营的连接访问私有源站。

资料来源：Cloudflare services for private origins is now generally available（2026-10-30）。