Cloudflare 在 10 月 30 日把私有源站从闭测转成正式可用：一条代理记录可以直接指向内网地址，WAF、缓存和 Workers 照旧生效，源站一个公网端口都不用开。
Cloudflare 在 10 月 30 日把「私有源站（Private Origins）」从 6 月的闭测转成正式可用：你可以把一条代理状态的 A 或 AAAA 记录直接指向 10.x、172.16.x 这类内网地址，WAF、缓存、限流、Workers 照旧作用在这条域名上，而源站机器一个公网端口都不用开。
配图：ZKUI 编辑部
这次开放的到底是什么
它的实质是把「内网服务对外提供访问」这件事做进了 DNS 层。以前要给内网服务挂 Cloudflare，只有两条路：给源站一个公网 IP，或者在内网机器上常驻一个 cloudflared 进程。私有源站把连接交给已有的 Cloudflare One 网络——IPsec、GRE、Network Interconnect、Tunnel、Mesh 五种接入方式都能用，源站只负责回应来自私网的请求。
Cloudflare 自己在公告里点名的受益对象很明确：内部 API、管理后台、MCP 服务器、AI 智能体的后端。这些东西原本就不是按「面向公网」设计的，但又必须接受外部客户、合作伙伴甚至 AI 代理的调用。
怎么接上去：三件事，顺序不能乱
- 记录指向私网。给服务建一条代理的 A 或 AAAA 记录，内容是私网地址。RFC 1918、CGNAT 段（100.64.0.0/10）和 IPv6 唯一本地地址（fc00::/7）会自动开启私网路由，而且关不掉——用 API 强行关闭会直接报错。
- 账号要有权益，并且开了 Unified Routing。这一步是硬门槛，公告里写了要通过账号团队开通，没有公开的自助价格页。
- 补回程路由。走 WAN 或 Mesh 接入的，必须给 Cloudflare 的源段（IPv4 是 100.64.0.0/12）配回程路由。官方说这是闭测期最常见的失败原因，配漏了表现就是「域名解析正常，访问一直超时」。
三个容易踩的限制
第一，Argo Smart Routing 和专用 CDN 出口 IP 不支持；第二，源站健康检查要依赖 Load Balancing，不是默认就有；第三，私有源站在 DNS 里只是一个额外的 private_routing 字段，自动化部署时可以直接写进 API，但别指望它替代原有的 Tunnel 场景——两者是并列关系，不是替代关系。
对站长的实际影响
先说泼冷水的部分：这个功能需要账号级权益，绝大多数个人站长和中小站拿不到，手上有 Tunnel 的继续用 Tunnel，不必为了这个概念去折腾。但它指出的方向值得记一笔——「源站不暴露公网 IP」正在从加分项变成默认预期。
对自建 MCP 服务、Agent 后端、内部管理后台这类场景，正确的姿势以后会是「私网监听 + 边缘代理」，而不是「监听 0.0.0.0 再用防火墙挡」。如果你的网站后台、phpMyAdmin、面板入口还挂在公网 IP 上，这次可以顺手做三件事：把源站 IP 从 DNS 历史里清掉、查一遍证书透明日志有没有泄露真实 IP、把管理入口从公网挪到私网加白名单。WAF 挡的是请求，不是入口本身。
本文根据公开报道整理，主要参考：Cloudflare 官方博客、Beyond the News（2026-10-30）。
