เกิดอะไรขึ้น

Cloudflare ประกาศเมื่อ 30 ตุลาคม 2026 ว่า Cloudflare services for private origins เปิดให้ใช้ทั่วไปแล้ว หลังอยู่ใน closed beta ตั้งแต่เดือนมิถุนายนซึ่งต้องขอสิทธิ์ผ่าน account team

แนวคิดคือ origin ไม่ต้องมี IP สาธารณะอีกต่อไป ผู้ใช้สร้าง DNS record ชนิด A หรือ AAAA แบบ proxied ชี้ไปที่ private IP แล้ว Cloudflare จะส่งคำขอไปถึง origin ผ่านการเชื่อมต่อ Cloudflare One ที่มีอยู่แล้ว ไม่ว่าจะเป็น IPsec, GRE, Cloudflare Tunnel, CNI หรือ Cloudflare Mesh ส่วน TLS termination, WAF, rules, caching, bot management และ Workers ยังทำงานบนเครือข่าย Cloudflare เหมือน origin สาธารณะ

กลไกภายในตามโพสต์คือ flag private_routing ที่ Origin API ส่งให้ proxy เพื่อบอกให้ส่งคำขอผ่านชั้นเครือข่ายส่วนตัวแทนอินเทอร์เน็ตสาธารณะ ตัวเลือก "Use private network routing" จะเปิดอัตโนมัติและปิดไม่ได้สำหรับช่วง IP แบบ RFC 1918, CGNAT 100.64.0.0/10 และ IPv6 unique local fc00::/7 ส่วน IP สาธารณะที่เข้าถึงได้เฉพาะผ่านเครือข่ายส่วนตัวสามารถเปิดเองได้

ใครได้รับผล

ทีมที่มีระบบหลังบ้านอยู่ใน VPC หรือ on-premises ที่ทุกวันนี้ต้องเปิด IP สาธารณะหรือ load balancer หน้า origin เพียงเพื่อให้ Cloudflare เข้าถึงได้ แล้วค่อยไปตั้ง allowlist ให้รับเฉพาะ IP ของ Cloudflare ประกาศนี้ตัดขั้นตอนนั้นออก origin จะไม่มีทางเข้าจากอินเทอร์เน็ตเลย

ทีมที่ใช้ Cloudflare Tunnel อยู่แล้ว น่าจะเป็นกลุ่มที่เริ่มได้ง่ายที่สุด เพราะประกาศระบุว่ากรณี Tunnel ไม่ต้องเปิด Unified Routing เพิ่ม

ทีมที่ใช้แผนฟรีหรือ self-serve ล้วน ต้องอ่านข้อจำกัดให้ดี เพราะส่วน prerequisites ระบุว่าต้องให้ account team เปิด entitlement ชื่อ Private Origins ก่อน แม้เนื้อหาส่วนอื่นจะเขียนว่าเปิดให้ทุกลูกค้าที่มี Cloudflare One connectivity ความคลุมเครือนี้ควรถามทีมขายก่อนวางแผน

ควรทำอะไร

ถ้าจะทดลอง ขั้นตอนตามโพสต์มีดังนี้

  1. ยืนยันกับ account team ว่าบัญชีมี entitlement Private Origins และเปิด Unified Routing แล้ว ยกเว้นกรณีใช้ Tunnel
  2. ถ้าใช้ Cloudflare WAN หรือ Mesh ต้องตั้ง return route กลับมาหาช่วง IP ต้นทางของ Cloudflare คือ 100.64.0.0/12 และ 2606:4700:cf1:5000::/64 โพสต์ระบุว่าการลืมตั้ง route นี้คือสาเหตุ timeout ที่พบบ่อยที่สุด
  3. สร้าง A หรือ AAAA record แบบ proxied ชี้ไปที่ private IP ของ origin ตัวอย่างใน API คือเพิ่ม "private_routing": true ลงใน payload ของ DNS record ปกติ
  4. ตรวจว่า "Use private network routing" เปิดอยู่ แล้ว WAF, cache และ bot management ที่ตั้งไว้กับ hostname จะใช้ได้ทันที
  5. ทดสอบกับ hostname สำรองก่อน แล้วค่อยถอด IP สาธารณะกับ allowlist ของ origin เดิมเมื่อมั่นใจ

สิ่งที่ยังไม่รองรับตามโพสต์คือ Argo Smart Routing, Dedicated CDN Egress IPs และ origin health check ที่ต้องใช้ Load Balancing รายการเต็มอยู่ในเอกสารนักพัฒนา

ข้อจำกัด

โพสต์ไม่ระบุราคาหรือแผนที่ใช้ได้ และมีความไม่ตรงกันระหว่างคำว่าเปิดให้ทุกลูกค้าที่มี Cloudflare One กับข้อกำหนดที่ต้องขอ entitlement สำหรับ traffic แบบ private ไป private Cloudflare บอกเพียงว่าตั้งเป้า closed beta ต้นปี 2027 ReefSight ใช้ Cloudflare เฉพาะชั้น DNS และ proxy หน้า VPS เครื่องเดียว ยังไม่ได้ทดสอบฟีเจอร์นี้ด้วยตัวเอง รายละเอียดทั้งหมดอ้างจากประกาศทางการ