Сегодня службы Cloudflare для приватных источников стали общедоступными. Укажите проксируемую DNS-запись на приватный IP-адрес, и Cloudflare обратится к источнику через ваше существующее подключение Cloudflare One. Ваш источник останется приватным, а брандмауэр веб-приложений (WAF), caching, управление ботами и Workers будут работать точно так же, как и для публичных источников.
В июне мы запустили эту функцию в режиме закрытого бета-тестирования, чтобы решить проблему, о которой нам постоянно говорили клиенты: их внутренние API, бэкенды ИИ-агентов, MCP-серверы и операционные инструменты не были рассчитаны на работу в Интернете, но этим службам по-прежнему необходимо принимать запросы от партнеров, клиентов или агентов через Интернет. До бета-тестирования размещение Cloudflare перед этими службами означало необходимость предоставления публичного IP-адреса, открытия порта брандмауэра или запуска cloudflared рядом с источником.
Эти требования часто оставляли приватные приложения без тех же средств защиты и контроля, которые использовались для публичных приложений, включая WAF, управление ботами, ограничение частоты запросов, кэширование, ускорение трафика, перезапись и Workers.
Что доступно сегодня
Во время закрытого бета-тестирования подходящие клиенты запрашивали доступ через свою команду сопровождения. Сегодня мы открываем доступ за пределами этой бета-группы.
Укажите проксируемую A- или AAAA-запись для приватного IP-адреса, и прикладные службы Cloudflare заработают так же, как для публичных источников:
- WAF и управляемые правила
- Управление ботами
- Ограничение частоты запросов
- Кэширование
- Правила трансформации и перезаписи
- Workers
Некоторые ограничения остаются в силе. Argo Smart Routing и Aegis не поддерживаются, а для проверки работоспособности источников требуется балансировка нагрузки. Полный список текущих ограничений см. в документации для разработчиков.
Ваш источник сохраняет свой приватный IP-адрес, при этом открытие входящих портов в брандмауэре не требуется. С Cloudflare WAN или Cloudflare Mesh на самом источнике также не нужно запускать какое-либо дополнительное программное обеспечение.
Как это работает
Создайте проксируемую A- или AAAA-запись, указывающую на ваш источник. Для поддерживаемых диапазонов приватных IP-адресов параметр Use private network routing включается автоматически. Если ваш источник использует публичный IP-адрес, доступный только через вашу приватную сеть, вы можете включить этот параметр вручную.
Остальная часть потока запросов остается прежней: завершение TLS, WAF, правила и кэширование продолжают работать в сети Cloudflare.
Параметр включается автоматически для частных IPv4-адресов по стандарту RFC 1918, адресов CGNAT по стандарту RFC 6598 (100.64.0.0/10) и уникальных локальных IPv6-адресов по стандарту RFC 4193 (fc00::/7). Его нельзя отключить для этих диапазонов; попытки отключить его через API приведут к возврату ошибки.
Как выглядит API
Для клиентов, автоматизирующих развертывание с помощью API, приватная маршрутизация — это просто дополнительный атрибут стандартной DNS-записи.
За кулисами платформа проксирования Cloudflare определяет, куда направлять трафик для app.example.com, отправляя запрос к API источников Cloudflare. Ответ содержит метаданные, указывающие на то, что пункт назначения должен достигаться через путь в приватной сети:
Флаг private_routing является ключевым сигналом. Когда наше прокси видит его, вместо того чтобы пытаться подключиться напрямую к приватному IP-адресу через публичный Интернет, он передает запрос на уровень приватных сетей, который затем маршрутизирует соединение через существующую сеть приватного подключения клиента, будь то IPsec, GRE, Cloudflare Tunnel, CNI или Cloudflare Mesh.
В публикации о бета-тестировании уровень маршрутизации описан более подробно.
Начало работы
Прежде чем начать, вам потребуется:
- Право на использование функции Private Origins в вашей учетной записи. Попросите вашу команду сопровождения включить его.
- Подключение Cloudflare One с использованием IPsec, GRE, CNI, Cloudflare Tunnel или Cloudflare Mesh.
- Включенная единая маршрутизация (Unified Routing) в вашей учетной записи. Новые и существующие учетные записи могут обновить настройки через свою команду сопровождения.
- Если вы подключаетесь через Cloudflare WAN или Cloudflare Mesh, в вашей учетной записи должна быть включена единая маршрутизация и настроен обратный маршрут для диапазонов источников Cloudflare (100.64.0.0/12 для IPv4 и 2606:4700:cf1:5000::/64 для IPv6). Новые и существующие учетные записи могут обновить настройки до единой маршрутизации через свою команду сопровождения.
Затем создайте проксируемую A- или AAAA-запись для приватного IP-адреса и убедитесь, что включен параметр Use private network routing. Ваши существующие конфигурации WAF, кэша и управления ботами будут применяться к этому хост-имени без каких-либо дополнительных изменений.
Одно примечание из бета-тестирования: если запросы завершаются по тайм-ауту и до источника ничего не доходит, сначала проверьте обратный маршрут. Отсутствие маршрута для диапазона источников Cloudflare было самой частой ошибкой при настройке, с которой мы столкнулись.
После включения следуйте нашей документации для разработчиков, в которой подробно описан весь процесс настройки.
Что будет дальше
В сегодняшнем релизе рассматривается публичный трафик, достигающий приватных источников. Далее мы работаем над трафиком между приватными ресурсами: пользователи, службы и ИИ-агенты в приватных сетях смогут обращаться к приложениям в других приватных сетях через прикладные службы Cloudflare.
Инженерные работы уже ведутся, и мы планируем запуск закрытого бета-тестирования в начале 2027 года. Если вы хотите принять участие, обратитесь к своей команде сопровождения.
Цель состоит в том, чтобы предоставить приватным приложениям те же средства защиты и контроля, что и публичным. Например, сотрудник, открывающий wiki.company.internal, сможет использовать преимущества WAF, ограничения частоты запросов и управления ботами. Межсервисный трафик между облаками и центрами обработки данных также сможет использовать эти средства управления, даже если ни одна из сторон не соприкасается с публичным Интернетом.
Пока же сегодняшний релиз переносит WAF, кэширование, управление ботами и Workers, используемые вами для публичных приложений, на приватные источники через уже работающие у вас сетевые подключения.
Есть вопросы или отзывы? Присоединяйтесь к обсуждению на наших форумах сообщества или обратитесь в свою команду сопровождения.
