Cloudflare a rendu généralement disponibles ses services pour les origines privées, permettant à ses clients de diriger du trafic public vers des adresses IP privées sans exposer l’origine à l’Internet public. Le trafic atteint l’origine par l’intermédiaire d’une connexion Cloudflare One existante, tandis que les services applicatifs de Cloudflare continuent de fonctionner comme pour les origines publiques.
L’offre est conçue pour les API internes, les backends d’agents d’IA, les serveurs MCP et les outils opérationnels qui n’ont pas été conçus pour être exposés directement à Internet, mais qui doivent tout de même recevoir des requêtes de partenaires, de clients ou d’agents. Auparavant, placer Cloudflare devant ces services pouvait nécessiter une adresse IP publique, un port de pare-feu ouvert ou l’exécution de cloudflared aux côtés de l’origine.
Les clients peuvent faire pointer un enregistrement A ou AAAA proxifié vers une adresse IP privée et utiliser les protections du pare-feu applicatif (WAF), les règles gérées, la gestion des bots, la limitation du débit, la mise en cache, les règles de transformation et de réécriture, ainsi que Workers. Cloudflare indique que l’origine conserve son adresse IP privée et ne nécessite pas d’exception entrante dans le pare-feu.
Le routage privé est activé automatiquement pour les adresses IPv4 privées RFC 1918, les adresses CGNAT RFC 6598 de la plage 100.64.0.0/10 et les adresses IPv6 locales uniques RFC 4193 de la plage fc00::/7. La fonctionnalité peut également être activée manuellement lorsqu’une adresse IP publique n’est accessible que par l’intermédiaire d’un réseau privé.
La connectivité peut être fournie par IPsec, GRE, CNI, Cloudflare Tunnel ou Cloudflare Mesh. Avec Cloudflare WAN, aucun logiciel de connecteur n’est requis sur l’origine, tandis que Cloudflare Mesh utilise un connecteur au sein du réseau privé qui peut desservir plusieurs origines.
Certaines limitations subsistent. Argo Smart Routing et les adresses IP de sortie CDN dédiées ne sont pas pris en charge, et les contrôles d’état de l’origine nécessitent Load Balancing. Les clients ont également besoin de l’habilitation Private Origins, d’une connectivité Cloudflare One et, dans la plupart des cas, d’Unified Routing. Les déploiements utilisant Cloudflare WAN ou Cloudflare Mesh doivent configurer des routes de retour pour les plages sources de Cloudflare.
Cloudflare indique que le problème de configuration le plus courant identifié durant la bêta fermée était l’absence d’une route de retour, ce qui peut entraîner l’expiration des requêtes sans qu’elles atteignent l’origine. La documentation destinée aux développeurs de l’entreprise fournit la procédure complète de configuration.
La version actuelle prend en charge le trafic public atteignant des origines privées. Cloudflare travaille également sur le trafic privé à privé, qui permettra aux utilisateurs, aux services et aux agents d’IA présents sur des réseaux privés d’accéder à des applications situées sur d’autres réseaux privés par l’intermédiaire de ses services applicatifs. Une bêta fermée pour cette fonctionnalité est prévue pour le début de 2027.
Sources: Cloudflare Blog.