Cloudflare lança em GA serviços para origens privadas sem expor IP público
A Cloudflare anunciou a disponibilidade geral (GA) dos serviços para origens privadas. Basta apontar um registro DNS com proxy para um IP privado, e a Cloudflare alcança a origem pela conexão Cloudflare One já existente. A origem continua privada, e WAF, caching, bot management e Workers funcionam como em origens públicas.
A capacidade estreou em beta fechado em junho, para atender a um problema recorrente entre clientes: APIs internas, backends de agentes de IA, servidores MCP e ferramentas operacionais não foram concebidos para ficar expostos à Internet, mas precisam receber requisições de parceiros, clientes ou agentes. Antes, colocar a Cloudflare na frente desses serviços exigia expor um IP público, abrir uma porta no firewall ou executar o cloudflared junto à origem. Na prática, aplicações privadas muitas vezes ficavam sem as proteções e controles das públicas, como WAF, bot management, rate limiting, caching, aceleração de tráfego, rewrites e Workers.
No beta, clientes elegíveis pediam acesso por meio do account team; agora o acesso é aberto além desse grupo. A origem mantém o IP privado, sem exceção de firewall de entrada. Com Cloudflare WAN ou Cloudflare Mesh, também não há software conector a rodar na origem. O fluxo da requisição não muda: terminação TLS, WAF, regras e caching seguem na rede da Cloudflare.
O roteamento de rede privada é ativado automaticamente para IPv4 privados RFC 1918, endereços CGNAT RFC 6598 (100.64.0.0/10) e IPv6 unique local RFC 4193 (fc00::/7), e não pode ser desativado nessas faixas; tentativas via API retornam erro. Para origem com IP público acessível apenas pela rede privada, a configuração pode ser habilitada manualmente. Na API, o roteamento privado é um atributo adicional em um registro DNS padrão. Ao identificar o flag private_routing, o proxy encaminha a requisição à camada de rede privada, que usa a conectividade privada do cliente: IPsec, GRE, Cloudflare Tunnel, CNI ou Cloudflare Mesh.
Há limitações: Argo Smart Routing e Aegis não são suportados, e health checks de origem exigem Load Balancing. Entre os pré-requisitos estão o entitlement Private Origins na conta, conectividade Cloudflare One (IPsec, GRE, CNI, Cloudflare Tunnel ou Cloudflare Mesh) e Unified Routing habilitado. Com Cloudflare WAN ou Cloudflare Mesh, também é necessária uma rota de retorno para as faixas de origem da Cloudflare (100.64.0.0/12 para IPv4 e 2606:4700:cf1:5000::/64 para IPv6).
CEVIU TI··Leitura de 2 min