Cloudflare öffnet private Origins: WAF und Caching ohne öffentliche IP
Serguey Asael Shinder2 Min. LesezeitInterne APIs, Agenten-Backends und MCP-Server müssen oft Anfragen aus dem Internet annehmen, ohne dafür gebaut zu sein. Bisher hieß Cloudflare davorzuschalten: eine öffentliche IP vergeben, einen Firewall-Port öffnen oder cloudflared daneben betreiben. Am 30. Oktober hat Cloudflare „private Origins“ allgemein verfügbar gemacht, nach einer geschlossenen Beta seit Juni.
Eingerichtet wird ein gewöhnlicher Proxy-Eintrag vom Typ A oder AAAA mit einer privaten Adresse als Ziel. Der Cloudflare-Proxy erkennt in den Origin-Metadaten ein Flag private_routing und versucht dann nicht, die Adresse über das öffentliche Internet zu erreichen, sondern übergibt die Anfrage an seine private Netzwerkschicht. Diese nutzt die Verbindung, die der Kunde ohnehin hat: IPsec, GRE, Cloudflare Tunnel, CNI oder Cloudflare Mesh. TLS-Terminierung, WAF und verwaltete Regeln, Bot-Management, Ratenbegrenzung, Caching, Transformationsregeln und Workers laufen wie bei einem öffentlichen Origin.
Das Flag schaltet sich automatisch ein, unabschaltbar, für die IPv4-Bereiche nach RFC 1918, den CGNAT-Block 100.64.0.0/10 nach RFC 6598 und eindeutige lokale IPv6-Adressen (fc00::/7). Für eine öffentliche IP, die nur über das private Netz erreichbar ist, lässt es sich manuell setzen, auch als "private_routing": true in der DNS-API.
Es gibt Bedingungen. Das Konto braucht die Berechtigung Private Origins vom Account-Team, Cloudflare-One-Konnektivität und Unified Routing, außer bei einem Tunnel. Über WAN oder Mesh muss der Kunde eine Rückroute für Cloudflares Quellbereiche anlegen, 100.64.0.0/12 und 2606:4700:cf1:5000::/64; laut Cloudflare war die fehlende Rückroute der häufigste Fehler in der Beta. Argo Smart Routing und dedizierte CDN-Egress-IPs werden nicht unterstützt, Health Checks für Origins setzen Load Balancing voraus.
Was das bedeutet
Die Änderung entfernt den letzten öffentlichen Listener aus Aufbauten, in denen er nur existierte, damit das CDN verbinden kann. Der Aufwand wandert ins Netz: Rückroute und Berechtigung sind nun die ersten Prüfpunkte, wenn Anfragen ins Leere laufen. Den nächsten Schritt, private Clients zu privaten Anwendungen über dieselben Kontrollen, nennt Cloudflare als Ziel für Anfang 2027, nicht als Produkt.