Cloudflare ha puesto sus servicios para orígenes privados a disposición general, lo que permite a los clientes dirigir tráfico público a direcciones IP privadas sin exponer el origen a Internet pública. El tráfico llega al origen a través de una conexión existente de Cloudflare One, mientras los servicios de aplicaciones de Cloudflare siguen funcionando igual que con los orígenes públicos.
La oferta está diseñada para API internas, backends de agentes de IA, servidores MCP y herramientas operativas que no fueron creados para exponerse directamente a Internet, pero que aun así necesitan recibir solicitudes de socios, clientes o agentes. Anteriormente, colocar Cloudflare delante de estos servicios podía requerir una IP pública, un puerto abierto en el firewall o la ejecución de cloudflared junto al origen.
Los clientes pueden apuntar un registro A o AAAA protegido por proxy a una IP privada y utilizar las protecciones del Firewall de Aplicaciones Web, reglas administradas, gestión de bots, limitación de velocidad, almacenamiento en caché, reglas de transformación y reescritura, y Workers. Cloudflare afirma que el origen conserva su IP privada y no requiere una excepción de entrada en el firewall.
El enrutamiento privado se habilita automáticamente para direcciones IPv4 privadas RFC 1918, direcciones CGNAT RFC 6598 dentro del rango 100.64.0.0/10 y direcciones IPv6 locales únicas RFC 4193 dentro de fc00::/7. La función también puede habilitarse manualmente cuando una IP pública solo es accesible a través de una red privada.
La conectividad puede proporcionarse mediante IPsec, GRE, CNI, Cloudflare Tunnel o Cloudflare Mesh. Con Cloudflare WAN, no se requiere software conector en el origen, mientras que Cloudflare Mesh utiliza un conector dentro de la red privada que puede prestar servicio a varios orígenes.
Siguen existiendo algunas limitaciones. Argo Smart Routing y Dedicated CDN Egress IPs no son compatibles, y las comprobaciones de estado del origen requieren Load Balancing. Los clientes también necesitan la autorización de Private Origins, conectividad de Cloudflare One y, en la mayoría de los casos, Unified Routing. Las implementaciones que utilizan Cloudflare WAN o Cloudflare Mesh deben configurar rutas de retorno para los rangos de origen de Cloudflare.
Cloudflare afirma que el problema de configuración más común identificado durante la beta cerrada fue la ausencia de una ruta de retorno, lo que puede provocar que las solicitudes agoten el tiempo de espera sin llegar al origen. La documentación para desarrolladores de la compañía proporciona el proceso completo de configuración.
La versión actual permite que el tráfico público llegue a orígenes privados. Cloudflare también está trabajando en tráfico de privado a privado, lo que permitirá a usuarios, servicios y agentes de IA en redes privadas acceder a aplicaciones en otras redes privadas a través de sus servicios de aplicaciones. Está previsto que una beta cerrada para esa capacidad comience a principios de 2027.
Fuentes: Cloudflare Blog.