Cloudflare ha reso generalmente disponibili i propri servizi per le origini private, consentendo ai clienti di indirizzare il traffico pubblico verso indirizzi IP privati senza esporre l’origine a Internet pubblico. Il traffico raggiunge l’origine attraverso una connessione Cloudflare One esistente, mentre i servizi applicativi Cloudflare continuano a operare come per le origini pubbliche.
L’offerta è progettata per API interne, backend di agenti AI, server MCP e strumenti operativi che non sono stati creati per essere esposti direttamente a Internet, ma che devono comunque ricevere richieste da partner, clienti o agenti. In precedenza, collocare Cloudflare davanti a questi servizi poteva richiedere un IP pubblico, una porta del firewall aperta o cloudflared in esecuzione insieme all’origine.
I clienti possono indirizzare un record A o AAAA sottoposto a proxy verso un IP privato e utilizzare le protezioni Web Application Firewall, le regole gestite, la gestione dei bot, la limitazione della frequenza, il caching, le regole di trasformazione e riscrittura e Workers. Cloudflare afferma che l’origine mantiene il proprio IP privato e non richiede un’eccezione in ingresso nel firewall.
Il routing privato viene abilitato automaticamente per gli indirizzi IPv4 privati RFC 1918, gli indirizzi CGNAT RFC 6598 nell’intervallo 100.64.0.0/10 e gli indirizzi IPv6 locali univoci RFC 4193 nell’intervallo fc00::/7. La funzionalità può essere abilitata anche manualmente quando un IP pubblico è raggiungibile soltanto attraverso una rete privata.
La connettività può essere fornita tramite IPsec, GRE, CNI, Cloudflare Tunnel o Cloudflare Mesh. Con Cloudflare WAN non è richiesto alcun software connettore sull’origine, mentre Cloudflare Mesh utilizza un connettore all’interno della rete privata che può servire più origini.
Restano alcune limitazioni. Argo Smart Routing e Dedicated CDN Egress IPs non sono supportati, e i controlli dello stato dell’origine richiedono Load Balancing. I clienti hanno inoltre bisogno dell’abilitazione Private Origins, della connettività Cloudflare One e, nella maggior parte dei casi, di Unified Routing. Le implementazioni che utilizzano Cloudflare WAN o Cloudflare Mesh devono configurare le route di ritorno per gli intervalli di origine di Cloudflare.
Cloudflare afferma che il problema di configurazione più comune individuato durante la beta chiusa era l’assenza di una route di ritorno, che può far scadere le richieste senza che raggiungano l’origine. La documentazione per sviluppatori dell’azienda fornisce la procedura completa di configurazione.
La versione attuale supporta il traffico pubblico diretto verso origini private. Cloudflare sta inoltre lavorando sul traffico da privato a privato, consentendo a utenti, servizi e agenti AI sulle reti private di raggiungere applicazioni su altre reti private attraverso i propri servizi applicativi. Una beta chiusa per questa funzionalità è prevista per l’inizio del 2027.
Fonti: Cloudflare Blog.