Cloudflare đột phá với giải pháp kết nối Traffic công cộng tới hạ tầng mạng nội bộ

Xóa nhòa ranh giới giữa Public và Private

Trong suốt lịch sử Internet, hạ tầng công cộng (public) và hạ tầng riêng tư (private) luôn tồn tại như hai thế giới tách biệt. Các ứng dụng public được bảo vệ bởi CDN và WAF, trong khi ứng dụng nội bộ phải ẩn mình sau VPN, tường lửa và các cấu trúc mạng phức tạp. Cloudflare nhận định rằng sự phân biệt này đang dần trở nên lỗi thời.

Các doanh nghiệp ngày nay sở hữu nhiều API nội bộ, các backend cho AI agent, server MCP và các công cụ vận hành chưa bao giờ được thiết kế để kết nối trực tiếp với Internet. Tuy nhiên, chúng vẫn cần được bảo vệ bởi các lớp bảo mật hiện đại. Cloudflare đang thay đổi cuộc chơi này.

Application Services for Private Origins

Cloudflare đã chính thức ra mắt bản thử nghiệm kín (closed beta) của Application Services for Private Origins. Giải pháp này cho phép các doanh nghiệp định tuyến traffic tới các điểm gốc (origins) trong mạng nội bộ một cách an toàn mà không cần phải mở cổng firewall, sử dụng IP công cộng hay cài đặt phần mềm connector trên máy chủ gốc.

Các tính năng bảo mật bao gồm: WAF, quản lý bot, rate limiting, caching, rewrites và Workers hiện đã có thể hoạt động trực tiếp trước các nguồn nội bộ.

Cloudflare Private Origins

Bốn trường hợp sử dụng, một lớp ứng dụng thống nhất

Mô hình này xây dựng dựa trên các mẫu kết nối mà Cloudflare đã hỗ trợ qua Cloudflare Tunnel, Cloudflare One Client và các tích hợp mạng riêng. Sự khác biệt ở đây là khả năng áp dụng cho cả Cloudflare WAN hoặc Cloudflare Mesh mà không yêu cầu phần mềm connector chạy tại nguồn.

Cách thức vận hành kỹ thuật

Khi bạn bật tùy chọn Use private network routing trên một bản ghi DNS (A hoặc AAAA) đã được proxy, Cloudflare sẽ thực hiện các bước sau:

Cloudflare xác nhận địa chỉ IP thuộc dải RFC 1918 (10.x.x.x, 172.16.x.x, 192.168.x.x), RFC 6598 (CGNAT) hoặc RFC 4193 (IPv6).
Thay vì kết nối qua Internet công cộng, Cloudflare chuyển hướng yêu cầu thông qua lớp mạng riêng (private networking layer).
Traffic đi qua kết nối IPsec, GRE, CNI hoặc Cloudflare Mesh hiện có của khách hàng.

Ví dụ cấu hình qua API:

POST /zones/{zone_id}/dns_records
{
 "type": "A",
 "name": "app.example.com",
 "content": "10.0.0.50",
 "ttl": 300,
 "proxied": true,
 "use_private_routing": true
}

Mở rộng tới Spectrum và Workers VPC

Không chỉ giới hạn ở HTTP, Cloudflare cho phép mở rộng mô hình này tới:

Spectrum (Lớp 4): Bạn có thể đưa các dịch vụ TCP/UDP (như cơ sở dữ liệu hoặc logging) lên phía trước mà không cần public IP. Sử dụng virtual_network_id trong cấu hình Spectrum để đảm bảo traffic đi đúng luồng.
Workers VPC: Code chạy trên Cloudflare (Workers) có thể gọi trực tiếp tới các API nội bộ thông qua cùng một đường dẫn private, tạo ra sự thống nhất hoàn toàn giữa traffic từ trình duyệt, ứng dụng mobile và hệ thống nội bộ.

Lộ trình phát triển

Tính năng này hiện đang trong giai đoạn closed beta cho các khách hàng Enterprise. Cloudflare dự kiến đạt trạng thái GA (General Availability) vào quý 4 năm 2026. Tầm nhìn xa hơn là xây dựng mô hình private-to-private, nơi các dịch vụ nội bộ ở các trung tâm dữ liệu khác nhau có thể giao tiếp với nhau qua hạ tầng bảo mật của Cloudflare.

Đây là bước tiến quan trọng giúp các doanh nghiệp tối giản hóa kiến trúc mạng, loại bỏ sự phức tạp của các load balancer song song và tăng cường bảo mật cho toàn bộ hệ thống mà không phải thay đổi cấu trúc hạ tầng hiện có.