클라우드플레어가 30일(현지시간) 비공개 출처(Private Origins) 기능을 일반 공개했다. 고객사의 내부 API, 생성형AI 에이전트 백엔드, MCP(Model Context Protocol) 서버 등이 공개 IP 노출 없이 클라우드플레어의 보안 및 성능 기능을 누릴 수 있게 됐다.

공개 인프라에서 비공개로의 전환

그간 클라우드플레어를 내부 애플리케이션 앞에 배치하려면 공개 IP 노출, 방화벽 포트 개방, 혹은 cloudflared 커넥터 필수 설치 등의 절충이 불가피했다. 이는 공개 서비스에 제공되던 웹 애플리케이션 방화벽(WAF), 봇 관리, 레이트 제한, 캐싱, 트래픽 가속화 등의 보안·성능 제어를 내부 시스템에서 포기하거나 별도로 구축하도록 강요했다.

클라우드플레어의 엔리케 소모자(Enrique Somoza) 제품 담당자는 "고객사들은 내부 API나 운영 도구가 인터넷 공개를 상정하지 않았지만, 파트너사·고객·AI 에이전트의 요청을 받아야 하는 모순적 상황에 직면해 있다"고 배경을 설명했다.

기술 구현: 비공개 IP 직접 지정

새 기능의 핵심은 극히 단순하다. DNS A/AAAA 레코드를 비공개 IP로 지정하고 "프록시됨(proxied)" 설정을 활성화하면, 클라우드플레어의 요청 흐름이 공개 인터넷을 거치지 않고 클라우드플레어 원(Cloudflare One) 연결을 통해 직접 라우팅된다.

지원되는 비공개 IP 범위는 RFC 1918 사설 IPv4(10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16), RFC 6598 이동통신사 NAT(CGNAT) 주소(100.64.0.0/10), RFC 4193 유니캐스트 로컬 IPv6(fc00::/7)이다. 클라우드플레어의 원점 API(Origin API)가 트래픽 목적지를 판단하고, "private_routing: true" 플래그를 감지하면 IPsec, GRE, 클라우드플레어 터널, CNI, 또는 클라우드플레어 메시(Mesh) 등 고객사의 기존 비공개 네트워크 연결을 활용해 요청을 전달한다.

API 호출은 표준 DNS 레코드에 private_routing 속성을 추가하는 것과 동일하다:

POST /zones/{zone_id}/dns_records
{
  "type": "A",
  "name": "app.example.com",
  "content": "10.0.0.50",
  "ttl": 300,
  "proxied": true,
  "private_routing": true
}

제공되는 기능 vs 현재 제약

일반 공개 범위에 포함되는 기능:

• 웹 애플리케이션 방화벽(WAF) 및 관리형 규칙
• 봇 관리
• 레이트 제한
• 캐싱 및 변환·재작성 규칙
• 워커(Cloudflare Workers)

아직 미지원:

• Argo Smart Routing
• 전용 CDN 아웃바운드 IP
• 원점 상태 확인(로드 밸런싱 필수)

클라우드플레어 원(Cloudflare One) 내 WAN 옵션을 사용하면 원점에 별도 커넥터 소프트웨어가 불필요하고, 메시 옵션을 선택하면 비공개 네트워크 내 단일 커넥터로 여러 원점을 서빙할 수 있다. 반환 경로(return route) 구성이 필수인데, 클라우드플레어 소스 범위 100.64.0.0/12(IPv4), 2606:4700:cf1:5000::/64(IPv6)에 대한 라우팅을 설정해야 한다.

베타 테스트 단계에서 가장 흔한 설정 실패는 반환 경로 누락이었다. 원점에 요청이 도달하지 않는 상황이 발생하면 먼저 반환 경로를 점검하도록 클라우드플레어가 권고했다.

로드맵: 비공개-비공개 트래픽 2027년 초 목표

클라우드플레어는 현재 공개→비공개 트래픽만 지원하지만, 차기 목표는 비공개→비공개 트래픽 흐름이다. 직원이 wiki.company.internal 같은 내부 위키에 접근하거나, 클라우드·데이터센터 간 서비스-서비스 통신이 클라우드플레어의 WAF, 레이트 제한, 봇 관리 등을 거치도록 하는 것이다. 공개 인터넷을 전혀 거치지 않으면서도 엔터프라이즈급 보안 정책을 적용할 수 있게 된다.

엔지니어링 작업이 진행 중이며, 2027년 초 폐쇄 베타를 목표로 진행 중이다. 참여를 원하는 고객사는 클라우드플레어 담당팀에 문의할 수 있다.

산업적 시사점

클라우드플레어의 전략은 "경계 해소"를 추구한다. 과거 엔터프라이즈 보안의 핵심은 공개-비공개 경계의 강화였다. 하지만 클라우드 분산, 마이크로서비스 아키텍처, AI 에이전트의 확산은 경계를 단순하게 유지할 수 없게 만들었다. 클라우드플레어는 경계 자체보다 "거주하는 곳 어디든 동일한 보안 정책"을 제시한다.

AWS, 애저, GCP 같은 퍼블릭 클라우드는 가상 프라이빗 네트워크(VPC)와 보안그룹을 제공하지만, 크로스 클라우드·온프레미스 환경에서 일관된 정책 적용은 별도 솔루션을 요구한다. 클라우드플레어의 비공개 출처 기능은 멀티 클라우드, 하이브리드 인프라 환경에서 WAF와 봇 관리 같은 보안 기능을 통합 관리하려는 고객사의 수요에 정확히 부응하는 기능이다.

다만 비공개 네트워크 연결(IPsec, GRE, 터널 등)이 사전 구축되어야 하므로, 엔터프라이즈 그리고 중견기업 이상이 주요 타겟이다. 소규모 회사나 빠르게 변화하는 스타트업이 기술 채택 장벽이 낮지 않다는 뜻이다.