Cloudflare Beta leitet öffentlichen Verkehr über DNS und private Netzwerke an private Apps weiter

Cloudflare hat eine neue Funktion angekündigt, mit der Organisationen öffentlichen Internetverkehr an Anwendungen leiten können, die auf privaten, nicht öffentlichen IP-Adressen laufen, ohne diese Anwendungen direkt freizugeben. Die Funktion namens Public-to-Private-Routing befindet sich jetzt in der geschlossenen Beta für berechtigte Enterprise-Kunden, mit einer allgemeinen Verfügbarkeit (GA) im vierten Quartal 2026. Der Ansatz nutzt das Domain Name System (DNS), das Adressbuch des Internets, um Anfragen weiterzuleiten, kombiniert mit Cloudflares privater Netzwerkkonnektivität.

Im Zentrum des Systems steht eine Änderung, wie Cloudflares Proxy-Plattform, der Vermittler zwischen Benutzern und den Servern des Kunden, entscheidet, wohin jede Anfrage gesendet wird. Wenn eine Anfrage für einen Hostnamen wie app.example.com eintrifft, fragt Cloudflare seine interne Origin-API ab. Die Antwort enthält Metadaten mit einem Flag namens use_private_routing. Wenn dieses Flag auf true gesetzt ist, versucht der Proxy nicht, über das öffentliche Internet eine Verbindung zur privaten IP-Adresse herzustellen. Stattdessen übergibt er die Anfrage an die private Netzwerkebene von Cloudflare, die sie über die bestehende private Netzwerkverbindung des Kunden sendet. Unterstützte Pfade umfassen IPsec, eine Reihe von Protokollen zur Verschlüsselung des Netzwerkverkehrs zwischen Standorten; GRE, ein Tunneling-Protokoll; Cloudflare Tunnel, ein sicherer ausgehender Connector; CNI, Cloudflare Network Interconnect; und Cloudflare Mesh.

Das gleiche Routing-Modell erstreckt sich nun über den gewöhnlichen Webverkehr hinaus. Ein Origin muss nicht mehr ein Webserver sein; es kann eine TCP-Datenbank, ein UDP-Logging-Endpunkt oder eine private API sein, die direkt von Cloudflare Workers, der serverlosen Code-Plattform des Unternehmens, aufgerufen wird. Spectrum, Cloudflares Layer-4-Proxy für Nicht-Web-Protokolle, kann jetzt vor TCP- und UDP-Diensten sitzen, die auf privaten IPs laufen. Anstatt einen Load-Balancer-Pool als Vermittler zu erstellen, kann eine Spectrum-Anwendung eine virtual_network_id direkt in ihrer Origin-Konfiguration angeben. Beispielsweise kann ein SSH-Dienst (das sichere Remote-Login-Protokoll) mit einer privaten IP und einer virtuellen Netzwerk-ID definiert werden. Cloudflare überprüft, ob die IP-Adresse mit einer Route im Cloudflare Tunnel des Kunden übereinstimmt, bevor die Konfiguration gespeichert wird; wenn keine Übereinstimmung vorliegt, lehnt die API die Anfrage ab. In dieser ersten Version werden Spectrum-Private-Origins nur über Cloudflare Tunnel unterstützt, aber die Unterstützung für weitere private Netzwerkverbindungsoptionen wird später folgen.

Cloudflare Workers VPC schließt den Kreis für Code, der auf Cloudflare läuft. Eine Bindung, eine Verbindungseinstellung, weist die Workers-Laufzeit an, über denselben privaten Pfad wie DNS-Einträge zu leiten. Dadurch können Browser, mobile Apps, Workers und KI-Agenten alle über Cloudflare auf private Origins zugreifen. Für Internetverkehr definieren DNS-Einträge das Routing; für Workers übernehmen Bindungen dieselbe Aufgabe. Der Hauptvorteil besteht darin, dass Dienste privat bleiben: keine öffentliche IP-Adresse, keine Connector-Software und kein Load Balancer erforderlich.

In Zukunft plant Cloudflare, über Public-to-Private-Flows hinaus zu Private-to-Private-Verkehr zu gehen: Benutzer, Dienste und KI-Agenten in privaten Netzwerken erreichen sicher Anwendungen in anderen privaten Netzwerken, mit Cloudflares Anwendungsdiensten in der Mitte. Das Unternehmen beschreibt einen Endzustand, in dem dieselbe Cloudflare-Infrastruktur den Verkehr sichert, unabhängig davon, ob der Benutzer oder der Origin öffentlich ist. Beispielsweise würde ein Mitarbeiter, der Cloudflare One Client verwendet, um auf wiki.company.internal zuzugreifen, denselben Web Application Firewall (WAF), Rate Limiting und Bot-Management-Schutz erhalten wie ein Kunde, der auf eine öffentliche API zugreift. Ebenso würde ein KI-Agent, der eine proprietäre interne API konsumiert, über denselben Sicherheitsstapel laufen wie ein Browser, und Service-to-Service-Verkehr über Clouds und Rechenzentren würde dieselben Kontrollen erhalten wie Internetverkehr, selbst wenn keiner der Endpunkte im öffentlichen Internet liegt.

Der Zugang zur geschlossenen Beta ist heute für berechtigte Enterprise-Kunden verfügbar. Interessierte Teams sollten sich an ihr Cloudflare-Kontoteam wenden, um Zugang zu beantragen. Nach der Aktivierung ist der Einrichtungsprozess in der Entwicklerdokumentation von Cloudflare dokumentiert. Kunden benötigen Cloudflare One-Konnektivität über eine der unterstützten Optionen (IPsec, GRE, CNI oder Cloudflare Mesh) und müssen eine Rückroute in ihrem privaten Netzwerk für Cloudflares Quell-IP-Bereich 100.64.0.0/12 konfigurieren. Für Organisationen, die eigene Domains und private Anwendungen betreiben, ist der Schutz der DNS-Einträge, die auf diese Dienste verweisen, genauso wichtig wie die Sicherung des Netzwerkpfads; die Verwendung eines verschlüsselten DNS-Dienstes wie AEU DNS kann helfen, DNS-Spoofing und Hijacking-Versuche zu verhindern, die Benutzer von Ihrer privaten Anwendung wegleiten könnten.