Cloudflare открыл общий доступ к сервисам для частных источников

Cloudflare открыл общий доступ к сервисам для частных источников: проксированную DNS-запись теперь можно направить на приватный IP, и трафик дойдёт до сервера через уже существующее подключение Cloudflare One. Функция вышла из закрытой беты, запущенной в июне, и закрывает давнюю боль: внутренние API и бэкенды должны принимать запросы из интернета, но публиковать их напрямую не хочется.

Как это работает

Раньше, чтобы поставить Cloudflare перед приватным сервисом, приходилось раскрывать публичный IP, открывать порт в брандмауэре или держать cloudflared рядом с источником. В итоге внутренние API, бэкенды ИИ-агентов, серверы MCP и операционные инструменты оставались без тех средств защиты, что есть у публичных приложений.

Теперь достаточно создать проксированную запись A или AAAA, указывающую на частный адрес, — для поддерживаемых диапазонов маршрутизация по частной сети включается автоматически. Источник сохраняет приватный IP, исключения для входящего трафика в брандмауэре не нужны. WAF и управляемые правила, ограничение скорости, кэширование, управление ботами, переписывание адресов и обработчики событий работают так же, как для публичных источников.

Ограничения тоже остались. Не поддерживаются интеллектуальная маршрутизация Argo и выделенные IP исходящего трафика CDN, а проверка работоспособности источника требует балансировки нагрузки. При использовании Cloudflare WAN коннектор на сервере не нужен; при Cloudflare Mesh он работает внутри вашей сети и может обслуживать несколько источников.

Что это значит

Для команд, которые держат внутренние сервисы за Cloudflare, это способ получить корпоративный уровень защиты без костылей в виде открытых портов и публичных адресов. Особенно заметно выигрывают проекты с ИИ-агентами и MCP-серверами: их обычно не проектируют под открытый интернет.

Практический нюанс: если ваш сервис живёт на VPS, приватный IP всё равно должен быть доступен из вашей сети — то есть приватная сеть между серверами становится обязательной частью схемы, а не опцией. Подобрать конфигурации под такие связки можно в каталоге VPS.