Cloudflare 私有源站服务现已正式可用
今天，Cloudflare 面向私有源站的服务正式上线。只要让一条代理 DNS 记录指向私有 IP，Cloudflare 就会通过你现有的 Cloudflare One 连接访问源站。源站始终保持私有，同时 Web 应用防火墙（WAF）、缓存、Bot 管理和 Workers 等能力，与公有源站的用法完全一致。
今年 6 月，我们以封闭测试的形式推出了这项能力，用来解决客户反复提到的一个问题：他们的内部 API、AI 智能体后端、MCP 服务器和运维工具，本来就不是为面向公网而设计的，但这些服务又不得不接受合作伙伴、客户或智能体从互联网发来的请求。在测试版之前，要让 Cloudflare 挡在这些服务前面，就得暴露公网 IP、开放防火墙端口，或者在源站旁边运行 cloudflared。这些要求往往导致私有应用无法获得公有应用那套保护和控制手段，包括 WAF、Bot 管理、限流、缓存、流量加速、重写规则和 Workers。
今天正式可用的内容
封闭测试期间，符合资格的客户需要通过客户团队申请访问权限。今天，我们把访问权限开放到了测试群体之外。只要把代理的 A 或 AAAA 记录指向私有 IP，Cloudflare 的应用服务就能像对待公有源站一样工作：
- WAF 和托管规则
- Bot 管理
- 限流
- 缓存
- 转换与重写规则
- Workers
还有一些限制。目前不支持 Argo Smart Routing 和 Aegis，源站健康检查需要配合负载均衡（Load Balancing）使用。完整的最新限制清单请参阅开发者文档。
源站保留私有 IP 不变，无需在防火墙上开任何入站例外。如果使用 Cloudflare WAN 或 Cloudflare Mesh，源站上也不用运行连接器软件。
工作原理
创建一个指向源站的代理 A 或 AAAA 记录。对于支持的私有 IP 范围，系统会自动启用使用私有网络路由。如果源站使用的是只能通过私有网络访问的公网 IP，可以手动启用该设置。请求流程的其余部分保持不变：TLS 终止、WAF、规则和缓存仍在 Cloudflare 网络上运行。
该设置会对 RFC 1918 私有 IPv4 地址、RFC 6598 CGNAT 地址（100.64.0.0/10）以及 RFC 4193 唯一本地 IPv6 地址（fc00::/7）自动开启。这些范围无法关闭该设置；通过 API 尝试禁用会返回错误。
API 长什么样
对于通过 API 自动化部署的客户来说，私有路由只是标准 DNS 记录上的一个额外属性。
POST /zones/{zone_id}/dns_records
{
"type": "A",
"name": "app.example.com",
"content": "10.0.0.50",
"ttl": 300,
"proxied": true,
"private_routing": true
}
在后台，Cloudflare 的代理平台通过查询 Cloudflare 的 Origin API 来决定将 app.example.com 的流量发送到哪里。响应中包含元数据，指示目标应通过私有网络路径访问：
{
"zone_name": "example.com",
"ipv4_addresses": ["10.0.0.50"],
"private_routing": true
}
private_routing 标志是关键信号。当我们的代理看到它时，不会尝试通过公共互联网直接连接私有 IP 地址，而是将请求交给私有网络层，然后由该层通过客户现有的私有网络连接进行路由，无论是 IPsec、GRE、Cloudflare Tunnel、CNI 还是 Cloudflare Mesh。Beta 版文章更详细地介绍了路由层。
开始使用
开始之前，你需要：
- 账户上拥有 Private Origins 权限。请联系你的客户团队开启。
- 使用 IPsec、GRE、CNI、Cloudflare Tunnel 或 Cloudflare Mesh 的 Cloudflare One 连接。
- 账户上启用了统一路由（Unified Routing）。新账户和现有账户都可以通过客户团队升级。
如果你通过 Cloudflare WAN 或 Cloudflare Mesh 建立连接，需要在账户上启用统一路由（Unified Routing），并为 Cloudflare 的源地址段配置返回路由（IPv4 为 100.64.0.0/12，IPv6 为 2606:4700:cf1:5000::/64）。新老账户均可通过客户团队升级到统一路由。
接下来，为私有 IP 创建一条代理的 A 或 AAAA 记录，并确认已启用 Use private network routing（使用私有网络路由）。已有的 WAF、缓存和机器人管理配置会自动对该主机名生效，无需额外改动。
内测阶段有一条经验值得注意：如果请求超时，源站什么也没收到，请先检查返回路由。我们发现最常见的配置失败原因，就是缺少指向 Cloudflare 源地址段的路由。启用后，可参考我们的开发者文档，里面有完整的配置步骤。
后续计划
本次发布解决的是公网流量访问私有源站的问题。下一步，我们要做私有到私有的流量：让私有网络中的用户、服务和 AI 代理，通过 Cloudflare 的应用服务访问其他私有网络上的应用。相关工作已在推进，计划于 2027 年初开启封闭内测。如有兴趣参与，请联系你的客户团队。
目标是让私有应用获得与公网应用同等的防护和管控能力。比如员工打开 wiki.company.internal 时，也能享受 WAF、速率限制和机器人管理。云与数据中心之间的服务间流量同样可以使用这些管控，即使两端都不经过公网。
目前，本次发布已经能把你在公网应用上使用的 WAF、缓存、机器人管理和 Workers，通过你现有的连接能力延伸到私有源站。
有问题或反馈？欢迎到我们的社区论坛参与讨论，或联系你的客户团队。
现在，只要拥有 Cloudflare One 连接，所有客户都可以让公网流量访问私有源站，并使用 WAF、机器人管理、缓存和 Workers。