Cloudflare Private Origins 服務正式上線內部 API 可享同等安全與加速

今日，Cloudflare 私有來源服務已普遍可用。將代理的 DNS 記錄指向私有 IP，Cloudflare 會透過您現有的 Cloudflare One 連線連線到來源。您的來源保持私有，Web 應用程式防火牆 (WAF)、快取、機器人管理與 Workers 皆如同對公開來源般運作。

於六月，我們在封閉測試中推出了此功能以解決客戶不斷反映的問題：他們的內部 API、AI 代理後端、MCP 伺服器和運營工具並未設計為面對網際網路，但這些服務仍需接受來自合作夥伴、客戶或代理的網際網路請求。在測試前，將 Cloudflare 放在這些服務前端意味著要公開 IP、開放防火牆埠，或與原始伺服器一起執行 cloudflared 。

這些需求常使私有應用缺乏與公開應用相同的保護與控制，包括 WAF、機器人管理、速率限制、快取、流量加速、重寫以及 Workers。

今日已普遍可用的功能

在封閉測試期間，符合資格的客戶透過帳戶團隊申請存取。今天，我們將存取權開放至測試組之外的客戶。

將代理的 A 或 AAAA 記錄指向私有 IP，Cloudflare 的應用服務將如同對公開來源般運作：

WAF 與管理規則
機器人管理
速率限制
快取
轉換與重寫規則
Workers

仍存在一些限制。Argo Smart Routing 與 Aegis 不受支援，且來源健康檢查需要 Load Balancing。請參閱開發者檔案以瞭解完整的現行限制清單。

您的來源保留私有 IP，無需開放入站防火牆例外。使用 Cloudflare WAN 或 Cloudflare Mesh 時，來源也無需執行聯結器軟體。

工作原理

建立一個指向來源的代理 A 或 AAAA 記錄。對於支援的私有 IP 範圍，使用 private network routing 會自動啟用。若您的來源使用僅能透過私有網路到達的公共 IP，您可以手動啟用此設定。

其餘的請求流程保持不變：TLS 終止、WAF、規則與快取繼續在 Cloudflare 網路上執行。

此設定會自動為 RFC 1918 私有 IPv4 位址、RFC 6598 CGNAT 位址（100.64.0.0/10）以及 RFC 4193 唯一本地 IPv6 位址（fc00::/7）開啟。這些範圍無法關閉；透過 API 嘗試停用會回傳錯誤。

API 介面示例

對於透過 API 自動化部署的客戶，私有路由僅為標準 DNS 記錄額外的一個屬性。

POST /zones/{zone_id}/dns_records
{
 "type": "A",
 "name": "app.example.com",
 "content": "10.0.0.50",
 "ttl": 300,
 "proxied": true,
 "private_routing": true
}

在背後，Cloudflare 的代理平臺會透過查詢 Cloudflare Origin API 來決定將流量送往 app.example.com 的位置。回應包含指示目的地應透過私有網路路徑到達的元資料：

{
 "zone_name": "example.com",
 "ipv4_addresses": ["10.0.0.50"],
 "private_routing": true
}

private_routing 標記是關鍵訊號。當我們的代理看到它時，會改為將請求交給我們的私有網路層，而不是直接透過公網連線到私有 IP，私有網路層再將連線路由到客戶現有的私有網路連線，無論是 IPsec、GRE、Cloudflare Tunnel、CNI 或 Cloudflare Mesh。

The beta post 更詳細說明路由層。

開始使用

開始之前，您需要：

帳戶上的 Private Origins 許可權。請聯絡您的帳戶團隊開啟。
Cloudflare One connectivity 使用 IPsec、GRE、CNI、Cloudflare Tunnel 或 Cloudflare Mesh。
帳戶已啟用 Unified Routing。新帳戶與現有帳戶皆可透過帳戶團隊升級。
若您透過 Cloudflare WAN 或 Cloudflare Mesh 連線，需在帳戶啟用 Unified Routing 並為 Cloudflare 的來源範圍（IPv4 為 100.64.0.0/12，IPv6 為 2606:4700:cf1:5000::/64）設定回傳路由。新帳戶與現有帳戶皆可透過帳戶團隊升級至 Unified Routing。

接著，為私有 IP 建立代理 A 或 AAAA 記錄，並確認 使用私有網路路由 已啟用。您現有的 WAF、快取與機器人管理設定將直接套用於該主機名稱，無須進一步調整。

Beta 版的備註：若請求逾時且沒有到達原始伺服器，請先檢查回傳路由。缺少 Cloudflare 來源範圍的路由是我們觀察到的最常見設定失敗。

啟用後，請參照我們的開發者檔案，其中會說明完整設定流程。

接下來會發生什麼

本次發布涵蓋公開流量到達私有來源。接下來，我們將處理私有對私有流量：在私有網路上的使用者、服務與 AI 代理，透過 Cloudflare 的應用服務連結至其他私有網路的應用程式。

工程團隊正進行中，我們目標於 2027 年初推出封閉測試版。如您想參與，請洽您的帳戶團隊。

目標是讓私有應用程式享有與公開應用程式相同的保護與控制。例如，員工開啟 wiki.company.internal 時，可受益於 WAF、速率限制與機器人管理。即使雙方都未連線至公網，雲端與資料中心間的服務對服務流量亦可使用這些控制。

目前，本次發布將您已使用於公開應用程式的 WAF、快取、機器人管理與 Workers，帶至私有來源，透過您已運營的連線。

有問題或回饋？請於我們的社群論壇加入討論，或聯絡您的帳戶團隊。

Cloudflare Private Origins 服務正式上線 內部 API 可享同等安全與加速