Cloudflare 私有源站服务正式可用：私网 IP 可接入 WAF、缓存与 Workers

Cloudflare 于 2026 年 10 月 30 日发布消息，宣布面向私有源站的应用服务正式可用。企业可将启用代理的 DNS 记录指向私有 IP，由 Cloudflare 通过既有的 Cloudflare One 连接访问源站，并提供 WAF、缓存、机器人管理和 Workers 等能力。对运营跨境 API、合作伙伴接口及远程协作工具的团队而言，核心变化是：源站可保持私网地址，不必为了接入应用防护而暴露公网 IP。

从封闭测试到正式可用，改变了哪些接入条件

来源显示，这项能力在 6 月进入封闭测试，主要回应内部 API、AI 智能体后端、MCP 服务器和运营工具的对外服务需求。这些系统往往并非按直接暴露互联网的方式设计，却需要接收合作伙伴、客户或智能体发来的互联网请求。

此前，将 Cloudflare 放在这类服务前端，通常意味着提供公网 IP、开放防火墙端口，或在源站旁运行 cloudflared。额外的部署要求，使部分私有应用未能使用与公网应用相同的防护和流量控制。此次正式可用将访问范围扩大到原封闭测试客户群之外，但来源摘要未明确所有套餐的适用条件，实际开通仍需核对账户权限与产品文档。

• 接入方式：将启用代理的 A 或 AAAA 记录指向私有 IP，并利用既有 Cloudflare One 连接回源。
• 应用能力：支持 WAF 与托管规则、机器人管理、速率限制、缓存、转换与重写规则，以及 Workers。
• 源站部署：无需为回源额外设置入站防火墙例外；采用 Cloudflare WAN 时，无需在源站安装连接器软件。
• 现存限制：暂不支持 Argo Smart Routing 和 Dedicated CDN Egress IPs；源站健康检查需要 Load Balancing。

跨境业务影响：减少源站暴露，不等于省去身份验证

对提供海外客户接口、渠道查询或内部运营入口的团队，这项能力将公网请求入口与私网源站进一步分离。企业可以在 Cloudflare 一侧执行应用层规则，再通过已有连接访问后端，减少为业务接入单独暴露源站的需求。变化重点是服务端的接入与防护架构，而不是用户所在地或账号归属。

如果私有后端承载登录、订单查询或支付状态接口，WAF、机器人管理和速率限制可作为外围控制手段，但不代表接口自动具备完整安全性。团队仍需维护身份验证、权限校验及敏感数据处理机制；缓存与重写规则也应按接口性质配置，不能把账户数据或交易响应一概当作公共内容缓存。

远程办公与 AI 后端：上线前应核对边界

对于需要向外部协作者或智能体开放的内部工具，这种方式提供了不直接公开源站地址的路径。不过，私有源站不等于应用只能被内部人员访问，最终访问范围仍取决于入口和鉴权策略。它也不是面向个人用户的通用 VPN，不能据此推断海外平台账号、支付通道或地区访问限制会发生变化。

准备部署的跨境团队，应先确认现有 Cloudflare One 连接、DNS 代理设置及回源路径，再验证登录、接口调用和交易相关请求。来源没有提供跨境延迟、可用性或成本数据，因此不宜承诺提速效果。对依赖健康检查或特定出口 IP 的业务，现有功能限制尤其值得在迁移前逐项核对。