Cloudflare Private Origins 正式开放：通过现有私网连接为内部服务接入 WAF 和缓存

2026 年 10 月 30 日，Cloudflare 宣布其私有源站（private origins）服务全面可用（GA）。网站所有者把一条经代理的 DNS 记录指向私有 IP 地址，Cloudflare 就通过客户已有的 Cloudflare One 连接访问该源站。源站保持私有；Cloudflare 称，其 Web 应用防火墙（WAF）、缓存、机器人管理和 Workers 的工作方式与面向公共源站时相同。

Cloudflare 说，这项能力 6 月以封闭测试的形式推出，起因是客户提到：内部 API、AI 智能体后端、MCP 服务器和运维工具原本不是为面向互联网而建，却仍需接收来自合作伙伴、客户或智能体的请求。测试之前，要把 Cloudflare 放到这类服务前面，就得暴露公网 IP、打开防火墙端口，或在源站旁运行 cloudflared。这些做法常常让私有应用享受不到公共应用拥有的防护。测试期间，客户通过账号团队申请使用；文章说，今天 Cloudflare 把开放范围扩大到了测试组之外。全面可用之后，账号上仍然需要 Private Origins 权限（entitlement），文章让客户去请账号团队开通。

配置方式是一条经代理的 A 或 AAAA 记录。对 RFC 1918 私有 IPv4 地址、RFC 6598 CGNAT 地址（100.64.0.0/10）和 RFC 4193 唯一本地 IPv6 地址（fc00::/7），“使用私有网络路由”（Use private network routing）设置会自动开启，而且这些范围无法关闭；通过 API 尝试关闭会返回错误。如果源站使用的是只能经由客户私有网络到达的公网 IP，可以手动开启该设置。在 API 里，它只是标准 DNS 记录上多出的一个属性：private_routing 设为 true。Cloudflare 的代理从其 Origin API 得到这个标记后，不会经公网直接连接该地址，而是把请求交给私有网络层。这一层使用客户已有的连接：IPsec、GRE、Cloudflare Tunnel、CNI 或 Cloudflare Mesh。TLS 终止、WAF、规则和缓存仍在 Cloudflare 的网络上运行。源站不需要入站防火墙例外。使用 Cloudflare WAN 时，源站上不需要任何连接器软件；使用 Cloudflare Mesh 时，私有网络内的一个连接器可以服务多个源站。

开始之前，客户需要：Private Origins 权限；通过 IPsec、GRE、CNI、Cloudflare Tunnel 或 Cloudflare Mesh 建立的 Cloudflare One 连接；以及在账号上启用统一路由（Unified Routing），但使用 Cloudflare Tunnel 时不需要它。使用 Cloudflare WAN 或 Cloudflare Mesh 时，还必须为 Cloudflare 的源地址段配置回程路由：IPv4 为 100.64.0.0/12，IPv6 为 2606:4700:cf1:5000::/64。Cloudflare 根据测试期的经验建议：如果请求超时且没有任何请求到达源站，先检查回程路由，因为缺少这条路由是它见到的最常见的配置失败。也有不支持的功能：Argo Smart Routing 和专用 CDN 出口 IP（Dedicated CDN Egress IPs）不能用于私有源站，源站健康检查需要负载均衡（Load Balancing）。文章让读者去看开发者文档中的完整限制清单。我们阅读该文档页面时，它仍标注 5 月 7 日更新、封闭测试和仅限企业版，所以这篇博客和文档页面当时并不一致。

私有网络路由标记还有容易忽略的地址规则。对于 RFC 1918 私有 IPv4、RFC 6598 的 100.64.0.0/10 共享地址段和 RFC 4193 的 fc00::/7 本地 IPv6，经代理的记录会自动启用该标记，而且不能通过界面或 API 把它关掉。若源站使用形式上是公网、却只能经客户私网到达的地址，则需手动开启。Cloudflare 的代理读取 DNS 记录及 Origin API 中的 private_routing 属性，再决定把连接交给私网层，而不是向公网直接拨号；这一选择只改变到源站的传输路径，边缘上的 TLS 和安全产品仍照常执行。

不同私网连接形态还影响实际部署。使用 Cloudflare WAN 时，Cloudflare 说源站本机不需装连接器；Mesh 则可在私网放一个连接器服务多个源站。Tunnel 路径不要求 Unified Routing，WAN 和 Mesh 则需要设置指向 Cloudflare 源地址段的返回路由，否则请求可能根本到不了应用。把 WAF 放在内部接口前面并不等于把内部身份认证删掉：外部请求仍应遵循组织原有的身份与授权策略。Cloudflare 提到的私网到私网互通只是后续工程目标，计划在 2027 年初进行封闭测试，不能当作本次一般提供的一部分。

这种部署还存在功能边界：Argo Smart Routing 和 Dedicated CDN Egress IPs 在私有源站上不可用，源站健康检查要配合 Load Balancing。博客宣布一般提供，但抓取时开发文档的封闭测试与企业版字样尚未更新；实施前应以账户授权和最新限制为准。

Cloudflare 说，下一步是私有到私有的流量，也就是一个私有网络里的用户、服务和 AI 智能体，通过 Cloudflare 的应用服务访问另一个私有网络里的应用。相关工程工作已经开始，目标是 2027 年初进行封闭测试。对已经在用 IPsec、GRE、CNI、Tunnel 或 Mesh 的团队来说，这次发布提供了一种办法：不把内部服务暴露到互联网，就能在它们前面放上 WAF、速率限制和缓存，前提是权限和回程路由都已就位。