Cloudflare hat seine Dienste für private Ursprünge allgemein verfügbar gemacht. Kunden können dadurch öffentlichen Datenverkehr an private IP-Adressen weiterleiten, ohne den Ursprung dem öffentlichen Internet auszusetzen. Der Datenverkehr erreicht den Ursprung über eine bestehende Cloudflare-One-Verbindung, während die Cloudflare-Anwendungsdienste weiterhin wie bei öffentlichen Ursprüngen funktionieren.
Das Angebot ist für interne APIs, Backends für KI-Agenten, MCP-Server und operative Tools gedacht, die nicht für eine direkte Bereitstellung im Internet entwickelt wurden, aber dennoch Anfragen von Partnern, Kunden oder Agenten empfangen müssen. Zuvor konnte es erforderlich sein, Cloudflare vor diese Dienste zu schalten und dafür eine öffentliche IP-Adresse, einen geöffneten Firewall-Port oder einen gemeinsam mit dem Ursprung laufenden cloudflared-Prozess bereitzustellen.
Kunden können einen über einen Proxy laufenden A- oder AAAA-Eintrag auf eine private IP-Adresse verweisen und den Schutz der Web Application Firewall, verwaltete Regeln, Bot-Management, Ratenbegrenzung, Caching sowie Transformations- und Umschreiberegeln und Workers nutzen. Cloudflare zufolge behält der Ursprung seine private IP-Adresse und benötigt keine eingehende Ausnahme in der Firewall.
Das private Routing wird automatisch für private IPv4-Adressen nach RFC 1918, CGNAT-Adressen nach RFC 6598 im Bereich 100.64.0.0/10 und eindeutige lokale IPv6-Adressen nach RFC 4193 in fc00::/7 aktiviert. Die Funktion kann auch manuell aktiviert werden, wenn eine öffentliche IP-Adresse nur über ein privates Netzwerk erreichbar ist.
Die Konnektivität kann über IPsec, GRE, CNI, Cloudflare Tunnel oder Cloudflare Mesh bereitgestellt werden. Bei Cloudflare WAN ist auf dem Ursprung keine Connector-Software erforderlich, während Cloudflare Mesh einen Connector innerhalb des privaten Netzwerks verwendet, der mehrere Ursprünge bedienen kann.
Einige Einschränkungen bestehen weiterhin. Argo Smart Routing und Dedicated CDN Egress IPs werden nicht unterstützt, und Zustandsprüfungen der Ursprünge erfordern Load Balancing. Kunden benötigen außerdem die Berechtigung für Private Origins, Cloudflare-One-Konnektivität und in den meisten Fällen Unified Routing. Bereitstellungen mit Cloudflare WAN oder Cloudflare Mesh müssen Rückrouten für die Quellbereiche von Cloudflare konfigurieren.
Cloudflare zufolge war das häufigste während der geschlossenen Betaphase festgestellte Einrichtungsproblem eine fehlende Rückroute. Dadurch können Anfragen eine Zeitüberschreitung erreichen, ohne den Ursprung zu erreichen. Die Entwicklerdokumentation des Unternehmens beschreibt den vollständigen Konfigurationsprozess.
Die aktuelle Version unterstützt öffentlichen Datenverkehr, der private Ursprünge erreicht. Cloudflare arbeitet außerdem an Datenverkehr zwischen privaten Netzwerken. Dadurch sollen Benutzer, Dienste und KI-Agenten in privaten Netzwerken Anwendungen in anderen privaten Netzwerken über die Anwendungsdienste des Unternehmens erreichen können. Eine geschlossene Betaphase für diese Funktion ist für Anfang 2027 vorgesehen.
Quellen: Cloudflare Blog.