CloudflareのPrivate Originsが一般提供に、既存の私設接続で内部サービスへプロキシ経由の要求を転送

2026年10月30日、Cloudflareはプライベートオリジン向けのサービスが一般提供（GA）になったと発表した。サイト所有者がプロキシ対象のDNSレコードをプライベートIPアドレスに向けると、Cloudflareは顧客がすでに持っているCloudflare One接続を通じてそのオリジンに到達する。オリジンは非公開のままで、Webアプリケーションファイアウォール（WAF）、キャッシュ、ボット管理、Workersはパブリックなオリジンと同じように動くとCloudflareは述べている。

Cloudflareによれば、この機能は6月にクローズドベータとして始まった。顧客から、内部API、AIエージェントのバックエンド、MCPサーバー、運用ツールは、インターネットに向けて作られていないのに、パートナー、顧客、エージェントからのリクエストを受ける必要があるという声があったためだ。ベータ以前は、こうしたサービスの前にCloudflareを置くには、パブリックIPを公開するか、ファイアウォールのポートを開けるか、オリジンの隣でcloudflaredを動かす必要があった。その結果、プライベートなアプリケーションが公開アプリケーションと同じ保護を受けられないことが多かった。ベータ中の利用はアカウントチーム経由で、投稿は、今日そのグループの外へ利用を広げると述べている。一般提供後も、アカウントにPrivate Originsの権限（entitlement）が必要で、投稿は顧客にアカウントチームへ有効化を頼むよう案内している。

設定はプロキシ対象のAまたはAAAAレコードで行う。「プライベートネットワークルーティングを使用」の設定（Use private network routing）は、RFC 1918のプライベートIPv4アドレス、RFC 6598のCGNATアドレス（100.64.0.0/10）、RFC 4193のユニークローカルIPv6アドレス（fc00::/7）では自動的にオンになり、これらの範囲ではオフにできない。APIで無効にしようとするとエラーが返る。オリジンが顧客のプライベートネットワーク経由でしか到達できないパブリックIPを使う場合は、手動でオンにできる。APIでは、標準的なDNSレコードにprivate_routingをtrueにする属性が一つ加わるだけである。Cloudflareのプロキシは、Origin APIからこのフラグを受け取ると、そのアドレスにパブリックなインターネット経由で接続せず、リクエストをプライベートネットワーク層に渡す。この層は顧客の既存の接続（IPsec、GRE、Cloudflare Tunnel、CNI、Cloudflare Mesh）を使う。TLS終端、WAF、ルール、キャッシュは引き続きCloudflareのネットワーク上で動く。オリジンにインバウンドのファイアウォール例外は要らない。Cloudflare WANならオリジン側にコネクターソフトウェアは不要で、Cloudflare Meshなら、プライベートネットワーク内の一つのコネクターが複数のオリジンを担当できる。

利用開始の前に、顧客にはPrivate Originsの権限、IPsec、GRE、CNI、Cloudflare Tunnel、Cloudflare MeshのいずれかによるCloudflare One接続、そしてアカウントでのUnified Routingの有効化が必要である。ただしCloudflare TunnelならUnified Routingは要らない。Cloudflare WANまたはCloudflare Meshを使う場合は、Cloudflareの送信元レンジ（IPv4は100.64.0.0/12、IPv6は2606:4700:cf1:5000::/64）への戻りルートも設定しなければならない。Cloudflareはベータでの経験から、リクエストがタイムアウトしてオリジンに何も届かないときは、まず戻りルートを確認するよう勧めている。このルートの欠落が、最もよく見た設定の失敗だったからだ。非対応の機能もある。Argo Smart RoutingとDedicated CDN Egress IPsはプライベートオリジンでは使えず、オリジンのヘルスチェックにはLoad Balancingが必要だ。完全な制限一覧は開発者ドキュメントを参照するよう案内されている。私たちがそのドキュメントのページを読んだ時点では、更新日は5月7日、表示はクローズドベータ、Enterprise限定のままで、ブログ記事とドキュメントページは一致していなかった。

Cloudflareは、次はプライベートからプライベートへの通信に取り組むと述べている。あるプライベートネットワーク上のユーザー、サービス、AIエージェントが、Cloudflareのアプリケーションサービスを介して別のプライベートネットワーク上のアプリケーションに到達する形である。エンジニアリングは進行中で、2027年初めのクローズドベータを目標にしている。すでにIPsec、GRE、CNI、Tunnel、Meshを運用しているチームにとって、今回のリリースは、内部サービスをインターネットに公開せずに、その前にWAF、レート制限、キャッシュを置く手段になる。ただし権限と戻りルートが整っていることが前提である。