A Cloudflare disponibilizou geralmente seus serviços para origens privadas, permitindo que os clientes direcionem tráfego público para endereços IP privados sem expor a origem à Internet pública. O tráfego chega à origem por meio de uma conexão existente da Cloudflare One, enquanto os serviços de aplicação da Cloudflare continuam operando da mesma forma que para origens públicas.
A oferta foi criada para APIs internas, backends de agentes de IA, servidores MCP e ferramentas operacionais que não foram desenvolvidos para exposição direta à Internet, mas ainda precisam receber solicitações de parceiros, clientes ou agentes. Anteriormente, colocar a Cloudflare na frente desses serviços poderia exigir um IP público, uma porta aberta no firewall ou o cloudflared executado junto à origem.
Os clientes podem apontar um registro A ou AAAA com proxy para um IP privado e usar proteções do Web Application Firewall, regras gerenciadas, gerenciamento de bots, limitação de taxa, cache, regras de transformação e reescrita, além de Workers. A Cloudflare afirma que a origem mantém seu IP privado e não exige uma exceção de entrada no firewall.
O roteamento privado é habilitado automaticamente para endereços IPv4 privados RFC 1918, endereços CGNAT RFC 6598 no intervalo 100.64.0.0/10 e endereços IPv6 locais exclusivos RFC 4193 em fc00::/7. O recurso também pode ser habilitado manualmente quando um IP público é acessível apenas por meio de uma rede privada.
A conectividade pode ser fornecida por IPsec, GRE, CNI, Cloudflare Tunnel ou Cloudflare Mesh. Com a Cloudflare WAN, nenhum software conector é necessário na origem, enquanto a Cloudflare Mesh usa um conector dentro da rede privada que pode atender a várias origens.
Algumas limitações permanecem. O Argo Smart Routing e os Dedicated CDN Egress IPs não são compatíveis, e as verificações de integridade da origem exigem o Load Balancing. Os clientes também precisam do direito de uso de Private Origins, da conectividade da Cloudflare One e, na maioria dos casos, do Unified Routing. Implantações que usam a Cloudflare WAN ou a Cloudflare Mesh devem configurar rotas de retorno para os intervalos de origem da Cloudflare.
A Cloudflare afirma que o problema de configuração mais comum identificado durante o beta fechado foi a ausência de uma rota de retorno, o que pode fazer com que as solicitações expirem sem chegar à origem. A documentação para desenvolvedores da empresa fornece o processo completo de configuração.
A versão atual oferece suporte ao tráfego público que chega a origens privadas. A Cloudflare também está trabalhando no tráfego privado para privado, permitindo que usuários, serviços e agentes de IA em redes privadas alcancem aplicações em outras redes privadas por meio de seus serviços de aplicação. Um beta fechado para esse recurso está previsto para o início de 2027.
Fontes: Cloudflare Blog.