Cloudflare私有源站服务正式可用
内容提要
Cloudflare宣布“私有源站服务”正式可用：用户可将代理DNS记录指向私有IP，Cloudflare通过现有Cloudflare One连接访问源站，源站无需公网IP或开放防火墙端口，同时仍可使用WAF、缓存、机器人管理和Workers等功能。该功能对RFC 1918等私有地址自动启用，API新增private_routing字段。目前Argo Smart Routing和Aegis尚不支持，源站健康检查需配合负载均衡。下一步将支持私有网络间流量，计划2027年初封闭测试。
延伸解读
私有源站如何接入现有网络
文章说明，用户只需将代理DNS记录指向私有IP，Cloudflare便会通过现有的Cloudflare One连接（如IPsec、GRE、Cloudflare Tunnel或Cloudflare Mesh）访问源站，无需在源站上运行连接器软件或开放防火墙端口。对于RFC 1918等私有地址，私有路由会自动启用且无法关闭，API调用会返回错误。这降低了将内部服务暴露到公网的风险。
功能覆盖与当前限制
正式版支持WAF、缓存、机器人管理、速率限制、转换规则和Workers等应用服务，与公共源站体验一致。但Argo Smart Routing和Aegis暂不支持，源站健康检查需配合负载均衡使用。读者需注意这些限制可能影响性能优化和健康监测的现有配置，部署前应查阅开发者文档确认完整限制列表。
配置要点与常见故障
启用前需确保账户拥有Private Origins权限、已配置Cloudflare One连接并开启Unified Routing。若使用Cloudflare WAN或Mesh，还需为Cloudflare源地址范围（100.64.0.0/12和2606:4700:cf1:5000::/64）配置返回路由。文章特别指出，测试期间最常见的设置失败是缺少返回路由，导致请求超时且源站收不到流量，排查时应优先检查此项。
未来方向：私有网络间流量
当前版本仅覆盖公网流量访问私有源站。Cloudflare计划下一步支持私有网络之间的流量，使员工、服务或AI代理能从私有网络访问其他私有网络中的应用，并同样享受WAF、速率限制和机器人管理。该功能目标在2027年初开启封闭测试，感兴趣的用户可通过账户团队申请参与。
Q&A
Cloudflare私有源站服务现在正式可用了吗？
是的，Cloudflare宣布私有源站服务已正式可用（GA）。用户可以将代理DNS记录指向私有IP，Cloudflare通过现有的Cloudflare One连接访问源站，源站无需公网IP或开放防火墙端口。
使用Cloudflare私有源站服务需要满足哪些前提条件？
需要：1）账户拥有Private Origins权限（需向客户团队申请开通）；2）已配置Cloudflare One连接（IPsec、GRE、CNI、Cloudflare Tunnel或Cloudflare Mesh）；3）账户启用Unified Routing（新老账户均可通过客户团队升级）。若通过Cloudflare WAN或Mesh连接，还需为Cloudflare源地址范围（IPv4: 100.64.0.0/12，IPv6: 2606:4700:cf1:5000::/64）配置返回路由。
私有源站服务支持哪些私有IP地址范围？可以手动关闭自动启用吗？
该功能对RFC 1918私有IPv4地址、RFC 6598 CGNAT地址（100.64.0.0/10）和RFC 4193唯一本地IPv6地址（fc00::/7）自动启用。对于这些范围，无法关闭私有网络路由；通过API尝试禁用会返回错误。若源站使用仅能通过私有网络访问的公网IP，可以手动启用该设置。
私有源站服务目前有哪些功能限制？
目前Argo Smart Routing和Aegis尚不支持，源站健康检查需要配合负载均衡（Load Balancing）使用。完整限制列表可查阅开发者文档。
通过API配置私有源站路由时，DNS记录需要添加什么字段？
在创建DNS记录的API请求中，添加"private_routing": true字段即可。例如：POST /zones/{zone_id}/dns_records 请求体包含"type": "A", "name": "app.example.com", "content": "10.0.0.50", "proxied": true, "private_routing": true。Cloudflare代理平台会查询Origin API，根据返回的private_routing标志将请求交给私有网络层处理。
配置后请求超时且源站收不到流量，最常见的原因是什么？
根据测试阶段的经验，最常见的问题是缺少Cloudflare源地址范围的返回路由。如果请求超时且源站没有收到任何流量，应首先检查返回路由配置。
私有源站服务下一步有什么计划？
下一步将支持私有网络之间的流量（private-to-private），即私有网络中的用户、服务和AI代理通过Cloudflare应用服务访问其他私有网络中的应用。工程工作正在进行中，计划于2027年初开启封闭测试。
