Cloudflare 於十月三十日宣布私有 Origin 服務正式一般可用：企業可把已代理的 DNS 紀錄指向私有 IP，經既有 Cloudflare One 連線抵達源站，毋須公開 IP 或為 inbound 開防火牆例外。官方點名內部 API、AI Agent 後端、MCP 伺服器與營運工具等場景，並指 WAF、快取、Bot Management、速率限制與 Workers 可如公開源站般套用。

GA 後 RFC 1918／CGNAT／IPv6 ULA 會自動啟用私有路由；暫不支援 Argo Smart Routing 與 Dedicated CDN Egress IP，健康檢查需配合 Load Balancing。官方提醒 WAN／Mesh 部署須為 Cloudflare 來源位址段設回程路由，測試期最常見故障正是回程缺失。下一步瞄準私網對私網流量，目標約二零二七年初封閉測試。

Cloudflare／官方：私有 Origin 服務正式 GA——代理 DNS 指私有 IP，WAF／快取／Bot／Workers 走 Cloudflare One；瞄準內部 API、AI Agent 後端與 MCP

Cloudflare 於二零二六年十月三十日宣布，「私有 Origin（private origins）」服務結束封閉測試、正式一般可用（GA）。企業可把已代理（proxied）的 DNS A／AAAA 紀錄指向私有 IP，讓流量經既有 Cloudflare One 私有網絡連線抵達源站；源站毋須公開 IP、亦不必為 inbound 開防火牆例外。官方點名典型場景包括內部 API、AI Agent 後端、MCP 伺服器與營運工具——這些服務本來不應直接面向互聯網，卻仍需接受合作夥伴、客戶或代理程式經公網進來的請求。來源真實性已驗證（官方 Cloudflare Blog）。

一、產品重點與適用邊界

技術細節

按官方說明，GA 後可在私有 Origin 上沿用與公開源站相同的應用層服務：WAF 與託管規則、Bot Management、Rate Limiting、快取、Transform／Rewrite Rules，以及 Workers。封閉測試期間須經客戶經理申請；即日起開放予已取得 Private Origins 權限的帳戶。

連線層面，Cloudflare WAN 可讓源站毋須在機器旁再跑 connector；若用 Cloudflare Mesh，則在私有網絡內部署 connector，並可同時服務多個 Origin。官方列明暫不支援 Argo Smart Routing 與 Dedicated CDN Egress IPs；Origin 健康檢查需配合 Load Balancing。RFC 1918 私有 IPv4、RFC 6598 CGNAT（100.64.0.0/10）與 RFC 4193 IPv6 ULA（fc00::/7）會自動啟用私有路由，且無法關閉；若 Origin 實際是「只經私網可達的公網 IP」，則可人手開啟設定。

部署前置包括：帳戶已開 Private Origins 權限、已建 Cloudflare One 連線（IPsec／GRE／CNI／Cloudflare Tunnel／Mesh）、除 Tunnel 外通常需啟用 Unified Routing，以及（WAN／Mesh）為 Cloudflare 來源位址段配置回程路由（IPv4 100.64.0.0/12、IPv6 2606:4700:cf1:5000::/64）。官方指測試期最常見故障是回程路由缺失導致逾時。路線圖方面，下一步瞄準私網對私網流量，目標約二零二七年初封閉測試。

二、技術原理深度解析

請求仍在 Cloudflare 邊緣完成 TLS 終止、WAF、規則與快取；差異在於 Origin API 回傳的 private_routing 旗標。代理層見此旗標後，不再嘗試經公網直連私有 IP，改交私有網絡層，沿客戶既有的 IPsec、GRE、Tunnel、CNI 或 Mesh 路徑送達。對 DNS／API 自動化而言，只需在標準 DNS 紀錄上多一個 private_routing 屬性，其餘 WAF／Bot／Workers 設定可直接套用到該 hostname。

這種「應用服務面」與「私有連線面」解耦，正好對應近年企業把 AI Agent、MCP 與內部工具對外暴露的壓力：合作方或代理需要 HTTPS 入口，但資安團隊不願意為此把源站放到公網或到處開 port。私有 Origin 讓入口仍走 Cloudflare 控制面，源站位址與 inbound 暴露面留在私網。

四、日常應用場景

開發者： 可把預覽環境、內部管理 API 或自架 MCP／Agent 後端掛在私有 IP，同時保留 Workers 改寫、WAF 與速率限制，減少為了「給外部試用」而臨時開公網漏洞。

企業： 夥伴整合、供應商回呼、跨雲營運工具可統一經 Cloudflare One，避免每個內部服務各開一套 DMZ；也較易把 Bot／Rate Limit 策略一次套到所有對外 hostname。

一般用戶： 多數終端使用者不會直接設定此功能，但會間接受惠於企業後端不再為了對外 API 而暴露多餘公網位址。

香港與亞洲： 不少本地金融、零售與 SaaS 已在用 Cloudflare 或同類 Zero Trust；當內部系統要對接跨境夥伴或 Agent 自動化時，私有 Origin 提供一條不必公開源站 IP 的折衷。配合本港對關鍵基礎設施與數據出境的合規討論，縮減公網暴露面亦有助稽核敘事。

五、專業評價

GA 訊息務實：清楚列出能力、限制與最常見踩坑（回程路由），並把 AI Agent／MCP 寫進動機，顯示產品敘事已對準「代理式」流量，而不只是傳統網站加速。尚未涵蓋私網對私網與部分進階 CDN 能力，企業若依賴 Argo 或專用 Egress IP 需另評估。整體而言，這是把既有 Cloudflare One 投資延伸到應用層防護的增量，而非另起爐灶。

結語：當內部 API 與 AI Agent 後端必須對外服務、卻又不應裸奔上公網，邊緣 WAF 加私有連線會是越來越常見的組合。若你的團隊正在為香港業務規劃零信任、雲端防護或 Agent 對外入口，可參考 YSK 的雲端安全與零信任服務：https://ysk.hk/services/cloud-security

參考來源

Cloudflare Blog（官方）：Cloudflare services for private origins is now generally available — https://blog.cloudflare.com/private-origins-public-to-private/（2026-10-30）