Cloudflare, WAF, caching ve Workers'ı özel IP'lerdeki origin'lere getiriyor

Ne oldu

30 Ekim 2026'da Cloudflare, Cloudflare blogunda yayımlanan bir yazıya göre özel origin'lere yönelik hizmetlerini kapalı betadan genel kullanıma taşıdı. Haziran ayında sınırlı bir gruba sunulan bu yetenek, bir proxied DNS kaydının özel bir IP adresine işaret etmesini sağlıyor; Cloudflare daha sonra o origin'e müşterinin mevcut Cloudflare One bağlantısı üzerinden, genel İnternet yerine erişiyor.

Sonuç olarak origin, gelen yöneltmeye açık herhangi bir firewall istisnası olmadan özel IP'sini korurken, Cloudflare'ın uygulama hizmetleri de herhangi bir genel hostname için olduğu gibi davranıyor.

Çözdüğü sorun

Cloudflare blogu, tekrarlayan bir müşteri senaryosunu anlatıyor: dahili API'ler, yapay zeka ajanı backend'leri, MCP sunucuları ve operasyonel araçlar İnternet'e açık olacak şekilde tasarlanmamıştı, ama yine de İnternet üzerinden gelen partnerlerden, müşterilerden veya ajanlardan istek kabul etmeleri gerekiyor. Betadan önce, böyle hizmetlerin önüne Cloudflare koymak, genel bir IP açmayı, bir firewall portu açmayı veya origin'in yanında cloudflared çalıştırmayı gerektiriyordu. Pratikte bu durum, özel uygulamaları çoğu zaman WAF, bot yönetimi, rate limiting, caching, trafik hızlandırma, rewrite kuralları ve Workers gibi genel uygulamalarda kullanılan korumalardan yoksun bırakıyordu.

Sürüm neler içeriyor

Cloudflare'a göre, proxied bir A veya AAAA kaydını özel bir IP'ye işaret etmek, artık o hostname'e şunları getiriyor:

• WAF ve managed rules
• Bot yönetimi
• Rate limiting
• Caching
• Transform ve rewrite kuralları
• Workers

Bazı sınırlamalar sürmektedir: Argo Smart Routing ve Aegis desteklenmiyor, origin sağlık kontrolleri ise Load Balancing gerektiriyor. Cloudflare, tam liste için okuyucuları geliştirici dokümantasyonuna yönlendiriyor.

Nasıl çalışıyor

Desteklenen aralıklarda "Özel ağ yönlendirmesi kullan" ayarı otomatik olarak açılıyor. Bu, RFC 1918 özel IPv4 adreslerini, RFC 6598 CGNAT alanını (100.64.0.0/10) ve RFC 4193 benzersiz yerel IPv6 adreslerini (fc00::/7) kapsıyor. Bu aralıklar için ayar devre dışı bırakılamıyor; API üzerinden kapatma girişimleri hata döndürüyor. Bir origin yalnızca özel bir ağ üzerinden erişilebilen genel bir IP kullanıyorsa, ayar elle etkinleştirilebiliyor.

TLS sonlandırması, WAF, kurallar ve caching her zamanki gibi Cloudflare'ın ağında çalışmaya devam ediyor.

Otomatik dağıtımlar için özel yönlendirme, standart bir DNS kaydındaki ek bir öznitelik: proxied bir A veya AAAA kaydındaki bir private_routing flag'i. Arka planda Cloudflare'ın proxy platformu, trafiğin nereye gitmesi gerektiğine karar vermek için Origin API'sini sorguluyor. Yanıt özel yönlendirme meta verisini içerdiğinde, proxy isteği doğrudan bağlantı denemek yerine özel ağ katmanına devrediyor ve trafik, müşterinin halihazırda işlettiği özel bağlantı üzerinden — ister IPsec, GRE, Cloudflare Tunnel, CNI veya Cloudflare Mesh olsun — yönlendiriliyor.

Kurulum gereksinimleri

Cloudflare üç ön koşul sıralıyor: hesapta, hesap ekibi üzerinden etkinleştirilen Private Origins yetkilendirmesi; IPsec, GRE, CNI, Cloudflare Tunnel veya Cloudflare Mesh kullanan Cloudflare One bağlantısı; ve yine hesap ekibi üzerinden hesapta etkinleştirilen Unified Routing.

Cloudflare WAN veya Cloudflare Mesh üzerinden bağlanan müşteriler ayrıca Cloudflare'ın kaynak aralıkları için bir dönüş rotasına ihtiyaç duyuyor: IPv4 için 100.64.0.0/12 ve IPv6 için 2606:4700:cf1:5000::/64. Blog, eksik dönüş rotasının beta sırasında görülen en yaygın kurulum hatası olduğunu belirtiyor; dolayısıyla istekler zaman aşımına uğrarsa ve origin'e hiçbir şey ulaşmazsa, ilk kontrol edilecek şey bu rotadır.

Kayıt yerleştirildikten sonra, mevcut WAF, cache ve bot yönetimi yapılandırması ek bir değişiklik olmadan hostname'e uygulanıyor.

Sırada ne var

Bu sürüm, özel origin'lere ulaşan genel trafiği kapsıyor. Cloudflare, mühendislik çalışmalarının özel-ağdan-özele trafik üzerine devam ettiğini söylüyor: özel ağlardaki kullanıcılar, hizmetler ve yapay zeka ajanlarının aynı uygulama hizmetleri aracılığıyla diğer özel ağlardaki uygulamalara erişmesi hedefleniyor ve bunun için 2027 başında kapalı bir beta planlanıyor. Belirtilen hedef, özel ve genel uygulamalar arasında eşitlik. Örneğin dahili bir wiki açan bir çalışan WAF, rate limiting ve bot yönetimi alabilir; bulutlar ve veri merkezleri arasındaki servisler arası trafik, hiçbir taraf genel İnternet'e dokunmasa bile bu kontrolleri kullanabilir.

Neden önemli

Dahili ve İnternet'e dönük uygulamalar arasındaki sınır bulanıklaşmaya devam ediyor; bunun nedenlerinden biri de dışarıdan arayanların erişmesi gereken yapay zeka ajanları ve MCP sunucuları. Şimdiye kadar böyle hizmetlerin önünde Cloudflare'ın WAF'ını veya Workers'ını isteyen ekipler bir yerde delik açmak zorundaydı: genel bir IP, bir firewall portu veya bir sidecar connector. Özel yönlendirmeyi sıradan bir DNS kaydının özelliği haline getirmek, özel origin'leri, ekiplerin zaten işlettiği bağlantı üzerinden genel origin'lerle aynı operasyonel modele katıyor. Hesap düzeyindeki yetkilendirmeler ve Unified Routing gereksinimi, bunun hâlâ self-servis bir anahtar değil, bir hesap ekibi görüşmesi olduğu anlamına geliyor; planlanan özel-ağdan-özele destek ise daha geniş bir hırsın işareti: kenar güvenlik kontrollerini iç ağların kenarında değil, iç ağların geneline uygulamak.