互联网流量由人员、服务和代理请求托管在各处的在线资源组成。您的资源可能公开可用，例如互联网上任何人都可以访问的网站或应用；也可能私有可用，例如只有员工和合作伙伴才能访问的内部应用或网络。
公共和私有资源都可以连接到 Cloudflare 网络，以确保只有合法访问者能够以高性能访问他们应该访问的内容。
例如，您可能并不总是希望直接流量，因为它可能来自恶意来源（如黑客），或以 DDoS 攻击 ↗的形式出现。此外，根据请求发起的位置，您希望确保流量通过最高效、最快的路径路由。
Cloudflare 全球网络 ↗与 Anycast ↗ IP 寻址相结合，确保请求由尽可能靠近来源的 Cloudflare 服务器处理。
如果您想保护流量并确保其高效传输，需要配置 Cloudflare 位于您要保护的对象（如应用、服务或服务器）之前。如何将资源置于 Cloudflare 网络之后，取决于流量类型以及您希望如何控制它。
进入 Cloudflare 网络的流量称为“on-ramping”（接入），离开 Cloudflare 网络的流量称为“off-ramping”（离开）。您也可能将其称为 ingress 和 egress，或“将流量路由”通过某个网络。
将流量接入 Cloudflare 时，Cloudflare 可以对该流量进行处理、保护并提升性能。
将流量接入 Cloudflare 的一个示例是更新您的公共网站，使 Cloudflare 成为您域名的主要权威 DNS 提供商。
但是，您可能需要保护未直接在互联网上可用的私有应用。在此场景下，您可以：
- 使用安全隧道将私有应用连接到 Cloudflare，并使用设备代理作为用户连接。
- 对于已连接到私有公司网络的用户，使用安全隧道将整个网络连接到 Cloudflare，用户设备的任何请求都将通过这些隧道访问私有应用。
通过这些选项，用户设备的任何请求都可以通过安全私有隧道访问内部私有应用。
请参阅以下产品列表，了解如何将流量接入 Cloudflare。
- Anycast 路由 ↗使用 Anycast IP 寻址将流量路由到最近的 Cloudflare 数据中心。选择性路由使 Anycast 网络在高流量、网络拥塞和 DDoS 攻击 ↗面前具有弹性。
- 基于 DNS 的流量解析已接入 Cloudflare CDN 的域名。Cloudflare 的 DNS 将流量定向到 Cloudflare 全球服务器网络，而不是网站的源站服务器。
- Cloudflare Tunnel将资源连接到 Cloudflare，无需公网可路由 IP 地址，因此源站可以通过 Cloudflare 提供流量，而不会容易受到绕过 Cloudflare 的攻击。
- Magic Transit通过接收发往您网络的 IP 数据包、处理它们并将数据包输出到源站基础设施，为本地、云托管和混合网络提供 DDoS 保护、流量加速等功能。
- Cloudflare One Client安全、私密地将企业设备流量发送到 Cloudflare 全球网络，同时应用高级 Zero Trust 策略，在连接企业应用之前检查设备健康状况。
如果您需要确保流量以特定方式离开 Cloudflare 网络，可以管理流量的 off-ramp 方式。
例如，如果您需要遵守区域法律（要求用户流量且数据不得离开您的国家/地区），可以在同一地理区域的服务器上配置 off-ramp 和 on-ramp 流量。
或者，您可能希望强制流量在某个国家/地区 off-ramp，以维持用户体验。例如，如果您有经常出差的印度员工，可以配置 off-ramp 流量始终显示来自印度，以便他们访问的网站保持语言和偏好设置。
您还可以利用缓存提升性能。off-ramp 流量无需前往全球另一端的源站服务器，Cloudflare 可以在本地为用户缓存该内容，缩短请求总时间。
请参阅以下产品列表，了解如何从 Cloudflare off-ramp 流量。
- Argo Smart Routing检测实时网络问题，并将 Web 流量路由到最高效的网络路径，避开拥塞。
- Cache配合缓存内容，避免 off-ramp 到源站服务器，而是直接从 Cloudflare 全球网络提供。
- Regional services让您选择哪个数据中心子集解密并提供 HTTPS 流量，这有助于需要满足区域合规或偏好对数据保持区域控制的客户。