テック技報最新号へ →
インフラ

Cloudflare のプロキシをプライベート IP のオリジンに向ける（private origins が GA）

プロキシ有効の A / AAAA レコードをプライベート IP に向けると、Cloudflare One の既存接続（Tunnel、IPsec、GRE、CNI、Mesh）経由でオリジンへ届き、WAF・キャッシュ・Bot 管理・Workers がそのまま効く（2026-10-30 に一般提供）。

@Cloudflare · 2026-10-31
#cloudflare#cloudflare-one#dns#private-network#tunnel#waf

どんなときに使う？

  • 社内 API、AI エージェントのバックエンド、MCP サーバーを、公開 IP やファイアウォールの穴を作らずにインターネットから受けたい
  • これまで cloudflared をオリジン横に置いて公開していたものを、DNS レコード 1 本の設定にまとめたい
  • プライベートなアプリにも公開アプリと同じ WAF・レート制限・変換ルールをかけたい

やり方

  1. 前提をそろえる: アカウントに Private Origins の権限（アカウントチーム経由で有効化）、Cloudflare One の接続、Tunnel 以外で接続するなら Unified Routing。
  2. プロキシ有効の A / AAAA レコードをオリジンのプライベート IP に向ける。RFC 1918（10/8 など）、CGNAT の 100.64.0.0/10、IPv6 の fc00::/7 なら「Use private network routing」が自動でオンになり、オフにはできない。
  3. 私設網からしか届かない公開 IP のオリジンなら、設定を手動でオンにする。API では DNS レコードに "private_routing": true を付ける:
json
POST /zones/{zone_id}/dns_records
{ "type": "A", "name": "app.example.com", "content": "10.0.0.50",
  "ttl": 300, "proxied": true, "private_routing": true }
  1. Cloudflare WAN や Mesh で接続している場合は、Cloudflare の送信元 100.64.0.0/12（IPv4）と 2606:4700:cf1:5000::/64（IPv6）への戻り経路をオリジン側の網に設定する。

注意点

  • タイムアウトしてオリジンに何も届かないときは、まず戻り経路を疑う。 ベータ期間中いちばん多かった設定ミスがこれ。
  • Argo Smart Routing と Dedicated CDN Egress IPs は非対応。オリジンのヘルスチェックには Load Balancing が要る。
  • 今回は「インターネットからプライベートへ」だけ。私設網同士の通信は 2027 年初めにクローズドベータ予定。

出典

X の元の投稿を開く