Rede privada segura para todos: usuários, dispositivos, agentes e Workers — conheça o Cloudflare Mesh
A integração entre agentes de IA e infraestrutura privada nunca foi tão necessária quanto agora. E a Cloudflare acabou de dar um passo enorme nessa direção.
Por muito tempo, as ferramentas de acesso remoto foram pensadas para humanos: você entra com seu login na VPN, configura um tunnel SSH manualmente ou, na pior das hipóteses, expõe um serviço publicamente e torce para não ter um problema de segurança. Nenhuma dessas abordagens oferece visibilidade real sobre o que acontece na rede depois que a conexão é feita.
Mas os agentes autônomos de IA não funcionam assim.
Eles fazem requisições sem esperar sua aprovação, precisam acessar bancos de dados privados, APIs internas e ambientes de staging em tempo real, e nenhuma dessas abordagens tradicionais foi projetada para lidar com isso de forma segura e escalável. Seu agente de programação precisa consultar um banco de dados de staging. Seu agente de produção precisa chamar uma API interna. Seu assistente pessoal precisa alcançar um serviço rodando na sua rede doméstica. Os clientes da rede não são mais apenas humanos ou serviços — são agentes rodando de forma autônoma, fazendo requisições contra uma infraestrutura que você precisa manter protegida.
É justamente aí que entra o Cloudflare Mesh 🎯
Anunciado oficialmente em abril de 2026, o Cloudflare Mesh chega como uma solução de networking privado pensada para um mundo onde os clientes da sua rede não são mais só desenvolvedores ou serviços, mas também agentes rodando de forma autônoma na sua infraestrutura. A proposta conecta suas redes privadas e oferece acesso seguro para seus agentes, além de integrar o Mesh com a Cloudflare Developer Platform, permitindo que Workers, Durable Objects e agentes construídos com o Agents SDK alcancem sua infraestrutura privada diretamente.
A proposta é simples na superfície, mas poderosa por baixo: uma única rede privada bidirecional e segura para usuários, dispositivos e agentes, tudo isso integrado ao ecossistema que a Cloudflare já oferece no seu pacote SASE e Zero Trust.
Para quem já utiliza o Cloudflare One, o acesso ao Mesh já está disponível. Não é necessário um novo paradigma tecnológico para proteger workloads de agentes — basta um SASE construído para a era agêntica. O Cloudflare Mesh é uma nova experiência com uma configuração mais simples, utilizando os on-ramps que você já conhece: o WARP Connector, agora chamado de Cloudflare Mesh node, e o WARP Client, agora chamado de Cloudflare One Client. Juntos, eles criam uma rede privada para tráfego humano, de desenvolvedores e de agentes.
Quer entender como isso funciona na prática e por que isso muda o jogo para quem está construindo produtos com IA?
Então continua aqui 👇
O problema real que o Cloudflare Mesh resolve
Antes de falar sobre a solução em si, vale dar um passo atrás e entender por que o cenário atual é tão complicado para quem trabalha com agentes de IA. Quando você tem um sistema autônomo que precisa, por exemplo, consultar um banco de dados interno, chamar uma API que só existe dentro da sua rede corporativa ou até mesmo fazer deploy num ambiente de homologação, a pergunta que fica no ar é: como esse agente autentica e acessa esse recurso de forma segura, sem que você precise abrir brechas na sua infraestrutura?
As soluções que existiam antes do Cloudflare Mesh eram, na prática, adaptações forçadas. VPNs exigem login interativo. Tunnels SSH exigem configuração manual. Expor serviços publicamente é um risco de segurança evidente. E nenhuma dessas abordagens oferece visibilidade sobre o que o agente está realmente fazendo depois de conectado. Você criava tokens de longa duração, configurava regras de firewall específicas ou dependia de VPNs que simplesmente não foram projetadas para lidar com identidades não humanas que fazem centenas de requisições por minuto.
O resultado disso era um conjunto de problemas que qualquer engenheiro de plataforma conhece bem: credenciais expostas em variáveis de ambiente, políticas de acesso genéricas demais, ausência de auditoria granular sobre o que cada agente estava fazendo na rede e uma superfície de ataque que crescia na mesma velocidade que o número de agentes em produção. Sem falar que escalar isso era um pesadelo operacional, porque cada novo agente ou nova integração exigia um ciclo de configuração manual que consumia tempo e gerava inconsistências.
- E-BOOK GRATUITO
Um guia prático para avaliar, comparar e implementar inteligência artificial com clareza — sem desperdício de tempo ou dinheiro.
Pare de contratar ferramentas sem direção. Criamos um método estruturado para decidir qual IA realmente faz sentido para o seu negócio.
Entrega em PDF no seu e-mail · Sem spam · LGPD
🔒 Seus dados são protegidos conforme a LGPD. Você pode descadastrar a qualquer momento.
O networking privado tradicional simplesmente não estava preparado para esse modelo de operação. E não se trata de um cenário teórico. Basta olhar para o ecossistema atual: a explosão de servidores MCP (Model Context Protocol) fornecendo acesso a ferramentas, agentes de programação que precisam ler repositórios e bancos de dados privados, assistentes pessoais rodando em hardware doméstico. Cada um desses padrões assume que o agente consegue alcançar os recursos necessários. Quando esses recursos estão isolados em redes privadas, o agente simplesmente fica travado.
Três cenários que ficaram difíceis de proteger
O anúncio do Cloudflare Mesh destaca três fluxos de trabalho específicos que ilustram bem o tamanho do desafio:
Acessar um agente pessoal pelo celular. Imagine que você roda o OpenClaw em um Mac mini na sua casa. Você quer acessá-lo do seu celular, do seu laptop numa cafeteria ou da sua máquina de trabalho. Mas expor esse serviço à internet pública, mesmo atrás de uma senha, deixa brechas expostas. Esse agente tem acesso ao shell, ao sistema de arquivos e à rede da sua casa. Uma configuração errada e qualquer pessoa pode alcançá-lo.
Permitir que um agente de código acesse seu ambiente de staging. Você está usando Claude Code, Cursor ou Codex no seu laptop. Pede para o agente verificar o status de um deploy, consultar analytics num banco de staging ou ler dados de um object store interno. Mas esses serviços vivem em uma VPC privada na nuvem, e seu agente não consegue alcançá-los sem expô-los à internet ou fazer tunneling do seu laptop inteiro para a VPC.
Conectar agentes em produção a serviços privados. Você está construindo agentes no seu produto usando o Agents SDK em Cloudflare Workers. Esses agentes precisam chamar APIs internas, consultar bancos de dados e acessar serviços que não estão na internet pública. Precisam de acesso privado, mas com permissões limitadas, trilhas de auditoria e sem vazamento de credenciais.
Como o Cloudflare Mesh funciona na prática
A arquitetura do Cloudflare Mesh é construída sobre a rede global da própria Cloudflare, que conta com presença em mais de 330 cidades ao redor do mundo. O Mesh cria uma malha de conectividade privada onde cada entidade — seja um desenvolvedor, um servidor ou um agente de IA — recebe uma identidade e passa a se comunicar dentro de um espaço de endereçamento privado e isolado. Tudo isso roteado pelo backbone global da Cloudflare, a mesma infraestrutura que serve tráfego para alguns dos maiores sites da internet.
A ideia central é de simplicidade: um único conector leve conecta tudo. Seus dispositivos pessoais, seus servidores remotos, seus endpoints de usuário. Não é preciso instalar ferramentas separadas para cada padrão de acesso. Um conector na sua rede e todos os padrões de acesso funcionam.
Uma vez conectados, os dispositivos na sua rede privada podem se comunicar entre si via IPs privados, roteados pela rede global da Cloudflare. Na prática, isso significa que:
- Com o Cloudflare One Client para iOS no seu celular, você pode conectar seus dispositivos móveis ao seu Mac mini local rodando OpenClaw via rede privada Mesh.
- Com o Cloudflare One Client para macOS no seu laptop, você pode conectar seu laptop à sua rede privada para que seus agentes de código alcancem bancos de staging ou APIs e façam consultas.
- Com Mesh nodes nos seus servidores Linux, você pode conectar VPCs em nuvens externas, permitindo que agentes acessem recursos e servidores MCP em redes privadas externas.
Como o Mesh é alimentado pelo Cloudflare One Client, toda conexão herda os controles de segurança da plataforma Cloudflare One. Políticas do Gateway se aplicam ao tráfego do Mesh. Verificações de postura do dispositivo validam os dispositivos conectados. Filtragem de DNS captura consultas suspeitas. Você ganha isso sem configuração adicional: as mesmas políticas que protegem seu tráfego humano protegem seu tráfego de agentes.
Mesh versus Tunnel: quando usar cada um
Uma dúvida que surge naturalmente é: quando devo usar o Mesh em vez do Tunnel? Ambos conectam redes externas de forma privada à Cloudflare, mas servem a propósitos diferentes.
O Cloudflare Tunnel é a solução ideal para tráfego unidirecional, onde a Cloudflare faz o proxy do tráfego da borda para serviços privados específicos, como um servidor web ou um banco de dados.
O Cloudflare Mesh, por outro lado, oferece uma rede completa bidirecional e many-to-many. Cada dispositivo e node no seu Mesh pode acessar qualquer outro usando seus IPs privados. Uma aplicação ou agente rodando na sua rede pode descobrir e acessar qualquer outro recurso no Mesh sem que cada recurso precise do seu próprio Tunnel.
O poder da rede global da Cloudflare no Mesh
O Cloudflare Mesh entrega os benefícios de uma rede mesh — resiliência, alta escalabilidade, baixa latência e alto desempenho — mas ao rotear tudo pela Cloudflare, resolve um desafio clássico das redes mesh: a travessia NAT.
A maior parte da internet está atrás de NAT (Network Address Translation). Esse mecanismo permite que uma rede local inteira compartilhe um único endereço IP público. Quando dois dispositivos estão atrás de NAT, conexões diretas podem falhar e o tráfego precisa recorrer a servidores relay. Se sua infraestrutura de relay tem pontos de presença limitados, uma parcela significativa do tráfego passa por esses relays, adicionando latência e reduzindo a confiabilidade.
O Cloudflare Mesh toma uma abordagem diferente. Todo o tráfego do Mesh passa pela rede global da Cloudflare. Para tráfego cross-region ou multi-cloud, isso consistentemente supera o roteamento pela internet pública. Não existe caminho degradado de fallback, porque a borda da Cloudflare é o caminho.
Rotear pela Cloudflare também significa que cada pacote passa pela stack de segurança da empresa. Esta é a vantagem central de construir o Mesh sobre a plataforma Cloudflare One: segurança não é um produto separado que você acopla depois.
Aproveitando esse backbone global, o Mesh oferece pilares importantes desde o primeiro dia:
- 50 nodes e 50 usuários gratuitos. Seu time inteiro e todo o seu ambiente de staging em uma rede privada, incluído em toda conta Cloudflare.
- Roteamento na borda global. Mais de 330 cidades, roteamento otimizado pelo backbone. Sem servidores relay limitados. Sem caminhos degradados de fallback.
- Controles de segurança desde o dia um. O Mesh roda no Cloudflare One. Políticas do Gateway, filtragem DNS, DLP, inspeção de tráfego e verificações de postura de dispositivo estão todos disponíveis na mesma plataforma.
- Alta disponibilidade. Crie um Mesh node com alta disponibilidade habilitada e lance múltiplos conectores usando o mesmo token em modo ativo-passivo. Eles anunciam as mesmas rotas de IP, então se um cair, o tráfego faz failover automaticamente.
Integração com a Developer Platform via Workers VPC
O Mesh conecta seus agentes e recursos em nuvens externas, mas você também precisa conectar seus agentes construídos em Workers com o Agents SDK. Para viabilizar isso, a Cloudflare estendeu o Workers VPC para tornar toda a rede Mesh acessível a Workers e Durable Objects.
Isso significa que você pode se conectar à sua rede Cloudflare Mesh diretamente de um Worker, tornando toda a rede acessível a partir de uma única chamada fetch() de um binding. Essa funcionalidade complementa o suporte já existente do Workers VPC ao Cloudflare Tunnel, dando a você mais opções sobre como proteger suas redes.
No seu arquivo wrangler.jsonc, você pode especificar redes inteiras às quais deseja se conectar. Para vincular à sua rede Mesh, use a keyword reservada cf1:network que vincula à rede Mesh da sua conta. Depois, é possível usar o binding dentro do código do seu Worker ou agente para alcançar qualquer host interno no Mesh, sem necessidade de pré-registro.
Ao conectar a Developer Platform às suas redes Mesh, você pode construir Workers com acesso seguro aos seus bancos de dados privados, APIs internas e servidores MCP, permitindo criar agentes cross-cloud e MCPs que fornecem capacidades agênticas ao seu aplicativo. Mas isso também abre um cenário onde agentes podem observar autonomamente toda a sua stack de ponta a ponta, cruzar referências de logs e sugerir otimizações em tempo real.
Como todas as peças se encaixam
Juntos, o Cloudflare Mesh, o Workers VPC e o Agents SDK fornecem uma rede privada unificada para seus agentes que abrange tanto a Cloudflare quanto suas nuvens externas. A Cloudflare integrou conectividade e computação para que seus agentes possam alcançar com segurança os recursos de que precisam, onde quer que estejam, ao redor do globo.
Os Mesh nodes são seus servidores, VMs e containers. Eles rodam uma versão headless do Cloudflare One Client e recebem um IP Mesh. Serviços conversam com serviços via IPs privados, bidirecionalmente, roteados pela borda da Cloudflare.
Os dispositivos são seus laptops e celulares. Eles rodam o Cloudflare One Client e alcançam Mesh nodes diretamente — SSH, consultas a banco de dados, chamadas de API — tudo via IPs privados. Seus agentes de código locais usam essa conexão para acessar recursos privados.
Os agentes em Workers alcançam serviços privados por meio de bindings de rede do Workers VPC. Eles obtêm acesso com escopo a redes inteiras, mediado por MCP. A rede controla o que o agente pode alcançar. O servidor MCP controla o que o agente pode fazer.
O que vem por aí no roadmap do Mesh
A versão atual do Mesh fornece a base para conectividade segura e unificada. Mas conforme os fluxos de trabalho agênticos ficam mais complexos, a Cloudflare está focada em ir além da simples conectividade, rumo a uma rede mais intuitiva de gerenciar e mais granularmente consciente de quem, ou o quê, está falando com seus serviços.
Roteamento por hostname
Ainda neste verão do hemisfério norte, a Cloudflare vai estender o roteamento por hostname do Tunnel para o Mesh. Seus Mesh nodes poderão atrair tráfego para hostnames privados como wiki.local ou api.staging.internal, sem que você precise gerenciar listas de IP ou se preocupar com resolução de nomes na borda da Cloudflare. Rotear tráfego para serviços por nome em vez de por IP resolve uma classe inteira de dores de cabeça de roteamento para quem usa IPs dinâmicos, auto-scaling groups ou containers efêmeros.
Receba o melhor conteúdo de inovação em seu e-mail
Todas as notícias, dicas, tendências e recursos que você procura entregues na sua caixa de entrada.
Ao assinar a newsletter, você concorda em receber comunicações da Método Viral. A gente se compromete a sempre proteger e respeitar sua privacidade.
Mesh DNS
Hoje, você alcança Mesh nodes pelos seus IPs Mesh. Funciona, mas não é como você pensa sobre sua infraestrutura. Você pensa em nomes: postgres-staging, api-prod, nikitas-openclaw.
Ainda este ano, a Cloudflare vai lançar o Mesh DNS, onde cada node e dispositivo que se junta ao Mesh automaticamente recebe um hostname interno roteável. Sem configuração de DNS nem registros manuais. Adicione um node chamado postgres-staging e postgres-staging.mesh resolve para o IP Mesh correto a partir de qualquer dispositivo na sua rede.
Roteamento com reconhecimento de identidade
Hoje, os Mesh nodes se autenticam na borda da Cloudflare, mas compartilham uma identidade na camada de rede. A meta é implementar um roteamento com reconhecimento de identidade para o Mesh, onde cada node, cada dispositivo e eventualmente cada agente tenha uma identidade distinta que as políticas possam avaliar.
Isso importa especialmente para agentes. Quando um agente rodando em Workers chama uma ferramenta por meio de um binding VPC, o serviço de destino vê apenas um Worker fazendo uma requisição. Não sabe qual agente está chamando, quem autorizou ou qual escopo foi concedido.
A Cloudflare está trabalhando em um modelo onde agentes carregam sua própria identidade pela rede, incluindo o principal ou patrocinador humano que autorizou a ação, o agente de IA que a está executando e o escopo daquilo que o agente tem permissão para fazer. Isso permitiria escrever políticas como: leituras dos agentes de determinado usuário são permitidas, mas escritas exigem o próprio usuário diretamente.
Mesh em containers
Hoje, Mesh nodes rodam em VMs e servidores Linux bare-metal. Mas a infraestrutura moderna roda cada vez mais em containers: pods Kubernetes, stacks Docker Compose, runners de CI/CD efêmeros. A Cloudflare está construindo uma imagem Docker do Mesh que permite adicionar um Mesh node a qualquer ambiente containerizado.
Isso significa que você poderá incluir um sidecar Mesh na sua stack Docker Compose e dar a cada serviço nessa stack acesso à rede privada. Um microserviço rodando em um container no seu cluster de staging poderia alcançar um banco de dados na sua VPC de produção via Mesh, sem que nenhum dos serviços precise de um endpoint público. Também é útil para pipelines de CI/CD: seu runner do GitHub Actions puxa a imagem do container Mesh, entra na rede, roda testes de integração contra seu ambiente de staging e encerra. Tudo sem credenciais de VPN para gerenciar ou tunnels persistentes para manter.
A expectativa é que a imagem Docker do Mesh esteja disponível ainda este ano.
O que muda com a chegada do Cloudflare Mesh
O lançamento do Cloudflare Mesh representa uma virada de chave importante na forma como o setor pensa sobre infraestrutura para IA. Por muito tempo, as discussões sobre segurança e networking em projetos de IA ficaram em segundo plano, sendo tratadas como problemas a resolver depois, quando o produto já estivesse funcionando. O Cloudflare Mesh inverte essa lógica ao oferecer uma solução que é ao mesmo tempo fácil de adotar e tecnicamente robusta, removendo a desculpa de que configurar uma rede privada segura para agentes é complicado demais ou caro demais para justificar no início de um projeto.
O posicionamento do Cloudflare Mesh dentro do portfólio maior da empresa é um sinal claro de que a Cloudflare está apostando alto no segmento de infraestrutura para IA. Nos últimos anos, a empresa já havia lançado o Workers AI, o AI Gateway e várias outras iniciativas voltadas para desenvolvedores que trabalham com modelos de linguagem e automação inteligente. O Mesh completa essa história ao resolver o problema da conectividade privada, que é, na prática, um dos últimos grandes obstáculos para quem quer colocar agentes em produção de forma responsável e escalável.
Para quem já está no ecossistema Cloudflare One, o Mesh funciona com a configuração existente. Políticas do Gateway, verificações de postura de dispositivo e regras de acesso se aplicam ao tráfego do Mesh automaticamente. O serviço é gratuito para até 50 nodes e 50 usuários, e está disponível no painel da Cloudflare em Networking > Mesh.
No fim das contas, o que o Cloudflare Mesh faz é elevar o padrão do que se espera de uma infraestrutura moderna para agentes de IA. Não basta que o agente seja inteligente — ele também precisa operar dentro de uma rede que seja segura, auditável e gerenciável. E com o Mesh, esse requisito deixa de ser um luxo reservado para grandes empresas com times de infraestrutura dedicados e passa a ser algo acessível para qualquer equipe que já usa a Cloudflare, independentemente do tamanho ou do estágio do produto. Isso é o que torna esse lançamento relevante, não só como produto, mas como sinal do que está por vir no ecossistema de IA. 🚀
