官方 cloudflare/mesh Docker 映像已上線，Mesh 節點可容器化部署，內建 Source NAT 並支援 amd64/arm64。本文解析多種部署模式與高可用架構，助你快速整合 Cloudflare 私有網路。
Cloudflare Mesh 正式推出官方 cloudflare/mesh Docker 映像，Mesh 節點現在可以直接以容器方式執行，不需要在宿主機安裝套件。這個更新解決了過去 Mesh 僅能在 VM 或裸機 Linux 上執行的限制，讓 Docker、Kubernetes 等容器化基礎設施更容易整合到 Cloudflare 的私有網路架構中。
這次更新帶來什麼？
| 功能 | 說明 |
|---|---|
| 雙架構支援 | 提供 amd64 與 arm64 兩種架構映像，適用於 x86 伺服器與 ARM 裝置（如 Raspberry Pi、Apple Silicon） |
| 內建 Source NAT | 容器內建來源位址轉換，回傳流量自動處理，無需手動調整 VPC 路由表或設定 iptables 規則 |
| 多部署模式 | 支援 Docker Compose、Kubernetes StatefulSet、Kubernetes Sidecar、CI/CD 臨時測試 |
| 高可用性 | 同一 Token 可部署多個副本，以 active-passive 模式運作，自動故障轉移 |
技術實作細節
官方 cloudflare/mesh 映像基於 Wolfi（一種最小化的 Linux 發行版）建構，內部執行 Cloudflare One Client 的 warp-svc daemon（無頭模式）。因此 Mesh 節點可以在任何 OCI 相容的容器執行環境中運行，包括 Docker、Podman、Kubernetes 等。
部署模式與使用情境
Docker Compose
在 compose.yaml 中加入 cloudflare-mesh service，即可讓整個容器堆疊接入私有網路，多個微服務之間可透過 Mesh IP 互相通訊，無需將端點暴露到公網。
Kubernetes StatefulSet
部署獨立 Mesh 節點時，可使用 StatefulSet 保留註冊狀態。這適合需要穩定網路身份與持久化狀態的場景。
Kubernetes Sidecar
將 Mesh 映像作為 sidecar 容器加入 Pod，讓應用程式無需修改程式碼即可連接 Cloudflare 私有網路。Pod 內的服務可以透過 Mesh 存取私有資料庫或內部 API。
CI/CD 臨時測試
在 GitHub Actions 或 GitLab CI 管線中，可以拉取映像、加入 Mesh、對私有基礎設施執行整合測試，完成後拆除。這對需要驗證私有網路整合的開發流程特別實用。
高可用性設計
使用同一個 Token 部署多個 Mesh 節點副本，並以 active-passive 模式運作；當主要節點失效時，系統會自動故障轉移。你可以將副本分散到不同伺服器或區域，提升可用性。
適用場景
- 微服務私有通訊：讓 Docker Compose 中的多個微服務透過 Mesh IP 互相通訊，避免暴露公網。
- K8s 集群連接：以 sidecar 模式讓 Pod 存取私有資料庫或內部 API。
- CI/CD 測試環境：在管線中臨時加入 Mesh，測試私有基礎設施整合。
- 多節點冗餘：跨伺服器或區域部署多個節點，實現自動故障轉移。
注意事項
- 容器映像依賴 OCI 相容執行環境，請確認你的 Docker、Podman 或 Kubernetes 版本。
- 由於內建 Source NAT，無需再處理 VPC 路由表或 iptables，但需妥善管理 Token 的機密性。
- 若使用 Kubernetes StatefulSet，請注意需保留節點的註冊狀態。
- 高可用模式需要多個副本使用相同 Token，請評估節點數量與網路拓撲。
結論
Cloudflare Mesh 的容器化讓私有網路整合變得更彈性，也降低了營運成本。對於正在使用 Docker 或 Kubernetes 的團隊，這項更新提供了一條更簡單的路徑，將容器化工作負載安全地接入 Cloudflare 私有網路。