JA EN
shiichan

公開トラフィックをプライベート origin へ！Cloudflare の Application Services for Private Origins が来たよ！

Cloudflare Blog ★★★★ Markdown で見る
#cloudflare#infrastructure#security

みんな、しぃちゃんだよ！今日はネットワークまわりのわくわくニュースを持ってきたよ。社内やプライベートなネットワークにあるアプリに、パブリック IP を一切さらさずに、外からのトラフィックを流せるようになるっていうお話！地味に見えて、これめちゃくちゃ便利なやつだよ！

Cloudflare Blog blog.cloudflare.com

なにが発表されたの？

Cloudflare の Blog で、Application Services for Private Origins という新機能が発表されたよ。2026 年 6 月 10 日から対象の Enterprise 向けにクローズドベータで提供が始まっていて、一般提供 (GA) は 2026 年の第 4 四半期を目指しているみたい。

ひとことで言うと、パブリックなホスト名へのアクセスを、プライベート IP の origin へ直接ルーティングできるようになる機能だよ。しかも既存の IPsec・GRE・CNI・Cloudflare Mesh といった接続経路をそのまま使えて、パブリック IP も追加のコネクタソフトも要らないの！

今までどうだったの？

これまで、外向けの公開トラフィックをプライベートなアプリに届けるには、けっこう手間がかかっていたんだ。

  • origin にパブリック IP を割り当てて、インターネットにさらす
  • ファイアウォールに例外ルールを足す
  • origin 側に cloudflared みたいなコネクタソフトを常駐させる
  • ロードバランサやリバースプロキシなど、並行するインフラを用意する
  • TLS 終端を何段も重ねる

しかも、サイト間接続のために Cloudflare の WAN や Mesh をすでに使っている会社でも、その同じインフラを「公開 → プライベートのアプリ配信」には転用できなかったの。もったいないよね！

これで何が変わるの？

いちばん嬉しいのは、WAF ルール・ボット管理・レート制限・キャッシュ・リライト・Workers といった Cloudflare のセキュリティ / パフォーマンス機能を、プライベート origin の「前」に置けるようになること！パブリック IP をさらさなくても、これらがぜんぶ効くようになるんだよ。

WAF rules, bot management, rate limiting, caching, rewrites, and Workers can now sit in front of private origins without requiring public IP exposure

つまり Cloudflare のルーティング層が、プライベート IP を「公開ホスト名の正規の origin」として扱えるようになった、ってことだね。すでに Cloudflare のネットワークに繋がっている会社ほど、追加の作業なしでメリットを受けられるよ。

深く潜ってみよう

仕組みはとってもスマートだよ。プロキシ済みの A / AAAA レコードで use_private_routing を有効にすると、Cloudflare のプロキシが Origin API に問い合わせて「これはプライベート経路を使ってね」というメタデータを受け取るんだ。すると、インターネット経由じゃなくて、既存のプライベート接続を通してつなぎに行くの。

DNS レコードの設定はこんな感じ。

POST /zones/{zone_id}/dns_records
{
  "type": "A",
  "name": "app.example.com",
  "content": "10.0.0.50",
  "proxied": true,
  "use_private_routing": true
}

しかも、プライベートな IP レンジなら use_private_routing は自動でオンになるよ。

  • RFC 1918 のプライベート IPv4 (10.x.x.x、172.16.x.x〜172.31.x.x、192.168.x.x)
  • RFC 6598 の CGNAT レンジ (100.64.x.x〜100.127.x.x)
  • RFC 4193 のユニークローカル IPv6 (FC00::/7)

プライベートネットワーク経由でしか届かないパブリック IP の場合は、手動でオンにもできるよ。

使える接続経路は IPsec トンネル・GRE トンネル・CNI (Cloudflare Network Interconnect)・Cloudflare Tunnel・Cloudflare Mesh、それに Virtual Networks。前提として、Cloudflare One の接続があること、そしてプライベート側に Cloudflare のソース IP レンジ 100.64.0.0/12 への戻り経路 (return route) が用意されていることが必要だよ。

対象は DNS だけじゃないの。

  • Spectrum (L4): TCP / UDP のサービスも、間にロードバランサを挟まずにプライベート IP のまま Spectrum の後ろに置けるように。設定では仮想ネットワーク ID を指定して、保存前にプライベート origin IP を検証してくれるよ。いまのところ Cloudflare Tunnel に対応していて、ほかの接続方式は今後追加予定だって。
  • Workers VPC: バインディングを使うと、Workers ランタイムが DNS レコードと同じプライベート経路を通るようになるの。Workers やブラウザ・モバイルアプリ・AI エージェントから、プライベート origin に同じ仕組みでアクセスできるようになるよ。

将来的には、プライベート → プライベートのトラフィック (プライベートネットワーク上のユーザーやサービスが、別のプライベートアプリに安全に届く) にも広げていく計画みたい。ユーザー側でも origin 側でも、公開・非公開を問わず同じ Cloudflare のインフラで守る、という方向を目指しているんだね。

まとめ

  • Cloudflare が Application Services for Private Origins をクローズドベータで公開！GA は 2026 年 Q4 目標
  • パブリック IP もコネクタソフトも無しで、公開ホスト名をプライベート IP の origin へルーティングできる
  • 既存の IPsec・GRE・CNI・Cloudflare Tunnel・Cloudflare Mesh 経路をそのまま活用
  • WAF・ボット管理・レート制限・キャッシュ・Workers をプライベート origin の前に置ける
  • DNS レコードの use_private_routing で有効化。プライベート IP レンジなら自動オン
  • Spectrum (L4) や Workers VPC にも対応が広がっている

すでに Cloudflare One でネットワークをつないでいて、社内アプリにも WAF やボット対策を効かせたい、というインフラ / ネットワーク担当のみんなに刺さる発表だよ！

関連記事