Cloudflare робить сервіси для приватних джерел загальнодоступними

Сервіси Cloudflare для приватних джерел тепер загальнодоступні. Клієнти можуть спрямувати проксований DNS-запис на приватну IP-адресу, щоб Cloudflare звертався до джерела через наявне з'єднання Cloudflare One. Джерело залишається приватним, а WAF, кешування, керування ботами та Workers працюють так само, як для публічних джерел.

Що доступне зараз

Під час закритої бета-версії відповідні клієнти запитували доступ через свою команду акаунта. Сьогодні доступ відкривається поза цією бета-групою. Спрямуйте проксований запис A або AAAA на приватну IP-адресу, і сервіси застосунків Cloudflare працюватимуть так само, як для публічних джерел: WAF і керовані правила, керування ботами, обмеження частоти запитів, кешування, правила перетворення та перезапису, а також Workers. Залишаються деякі обмеження: Argo Smart Routing і Dedicated CDN Egress IPs не підтримуються, а перевірки стану джерела потребують Load Balancing. Джерело зберігає свою приватну IP-адресу, і вхідний виняток у брандмауері не потрібен. З Cloudflare WAN програмне забезпечення конектора на джерелі не потрібне. З Cloudflare Mesh конектор працює всередині приватної мережі й може обслуговувати кілька джерел.

Як це працює

Створіть проксований запис A або AAAA, що вказує на джерело. Для підтримуваних приватних діапазонів IP використання приватної маршрутизації мережі вмикається автоматично. Якщо джерело використовує публічну IP-адресу, доступну лише через приватну мережу, увімкніть це налаштування вручну. Завершення TLS, WAF, правила та кешування продовжують працювати в мережі Cloudflare. Налаштування автоматично вмикається для приватних IPv4-адрес RFC 1918, адрес CGNAT RFC 6598 у 100.64.0.0/10 і унікальних локальних IPv6-адрес RFC 4193 у fc00::/7. Для цих діапазонів його не можна вимкнути, а спроби вимкнути через API повертають помилку. Для автоматизації через API приватна маршрутизація є додатковим атрибутом стандартного DNS-запису. Проксі-платформа Cloudflare запитує свій Origin API, а прапорець private_routing вказує проксі передати запит рівню приватної мережі замість прямого з'єднання через публічний інтернет. Цей рівень маршрутизує з'єднання через наявну приватну мережеву зв'язність, зокрема IPsec, GRE, Cloudflare Tunnel, CNI або Cloudflare Mesh.

Як розпочати та що далі

Клієнтам потрібне право Private Origins, яке може увімкнути команда акаунта, а також зв'язність Cloudflare One через IPsec, GRE, CNI, Cloudflare Tunnel або Cloudflare Mesh. Unified Routing має бути увімкнений, якщо з'єднання не встановлюється через Cloudflare Tunnel. Нові та наявні акаунти можуть оновитися через свою команду акаунта. Якщо з'єднання встановлюється через Cloudflare WAN або Cloudflare Mesh, налаштуйте зворотний маршрут для діапазонів джерел Cloudflare: 100.64.0.0/12 для IPv4 і 2606:4700:cf1:5000::/64 для IPv6. Потім створіть проксований запис A або AAAA для приватної IP-адреси й підтвердьте, що Use private network routing увімкнено. Наявна конфігурація WAF, кешу та керування ботами застосовується без додаткових змін. Якщо запити завершуються за часом очікування і нічого не надходить на джерело, спочатку перевірте зворотний маршрут; відсутність маршруту для діапазону джерел Cloudflare була найпоширенішою помилкою налаштування в бета-версії. Сьогоднішній випуск охоплює публічний трафік, що досягає приватних джерел. Далі Cloudflare працює над приватним трафіком між приватними ресурсами, із закритою бета-версією, запланованою на початок 2027 року. Зацікавлені клієнти мають звернутися до своєї команди акаунта. Мета: надати приватним застосункам ті самі засоби захисту, що й публічним, зокрема WAF, обмеження частоти запитів і керування ботами для трафіку на кшталт запитів між сервісами між хмарами та центрами обробки даних.

Джерела: Cloudflare