Workers VPC

Workers VPC nedir?

Bir Worker global ağda, kullanıcıya yakın çalışır. Kurumsal veritabanın ise bir bulut sağlayıcısının private network’ünde, public IP olmadan durur. Bu ikisini buluşturmak klasik olarak iki kötü seçenek sunar: ya veritabanına public IP verirsin (saldırı yüzeyi açılır), ya da araya kendi proxy katmanını kurarsın (bakım yükü).

Workers VPC üçüncü yolu sunar: Worker, private network kaynağına doğrudan ve internete açmadan erişir.

Nasıl çalışır?

Worker’a bir VPC binding’i tanımlanır; binding üzerinden yapılan çağrılar private network’e yönlendirilir. Kaynak internetten erişilebilir olmak zorunda değildir.

Kullanıcı → Cloudflare Edge → Worker
                                 │ VPC binding
                                 ▼
                    Bulut sağlayıcı private network
                        └── PostgreSQL / iç API / kuyruk

Üç yakın çözümle karşılaştırma

Bu ayrım, doğru aracı seçmenin anahtarıdır:

Pratik kural:

• On-prem sunucun var → Tunnel (ücretsiz, olgun)
• AWS/Azure/GCP VPC’nde kaynak var → Workers VPC
• PostgreSQL/MySQL’e hızlı erişim istiyorsun → Hyperdrive (VPC ile birlikte de olabilir)
• Veri merkezini omurgaya bağlamak istiyorsun → Network Interconnect

Ne zaman kullanılır, ne zaman kullanılmaz

Uygun olduğu işler

• Bulut VPC’sinde duran ve taşınamayan bir veritabanına Worker’dan erişim
• Public IP verilmemesi gereken iç API’lere ulaşma
• Mevcut kurumsal altyapıyı Workers’a kademeli taşırken köprü kurma

Uygun olmadığı işler

• Veriyi Cloudflare’e taşıyabiliyorsan. D1, KV, R2 veya Durable Objects hem daha hızlı hem daha ucuzdur. Workers VPC taşınamayan altyapı için bir köprüdür.
• On-prem sunucular. Tunnel bu iş için tasarlandı, ücretsiz ve olgun.
• Gecikmeye duyarlı istek yolu. Private network belirli bir bölgededir; Worker’ın kullanıcıya yakınlık avantajı bu çağrılarda kaybolur.
• Üretim kritik yolu. Ürün hâlâ olgunlaşma aşamasında ve fiyatlandırması belirsiz.

Somut örnekler

1. Private network’teki veritabanına erişim

export default {
  async fetch(request, env) {
    // VPC binding üzerinden iç API'ye erişim — public IP yok
    const yanit = await env.VPC.fetch("http://ic-api.private/kullanicilar/123");

    if (!yanit.ok) {
      return new Response("İç servise ulaşılamadı", { status: 502 });
    }
    return Response.json(await yanit.json());
  },
};

2. Cache ile gecikmeyi düşürme

Private network belirli bir bölgede olduğu için her istekte oraya gitmek pahalıdır.

export default {
  async fetch(request, env, ctx) {
    const anahtar = "urun-katalogu";

    // Önce Cloudflare kenarındaki cache'e bak
    const cached = await env.CACHE.get(anahtar, "json");
    if (cached) return Response.json(cached);

    // Yoksa private network'e git
    const yanit = await env.VPC.fetch("http://ic-api.private/katalog");
    const veri = await yanit.json();

    // Yanıtı kenarda tut — sonraki istekler bölgeye gitmesin
    ctx.waitUntil(
      env.CACHE.put(anahtar, JSON.stringify(veri), { expirationTtl: 300 }),
    );

    return Response.json(veri);
  },
};

3. Yetkilendirmeyi kenarda yapma

export default {
  async fetch(request, env) {
    // İç servise ulaşmadan ÖNCE yetkilendir
    const token = request.headers.get("authorization");
    if (!(await tokenGecerliMi(token, env))) {
      return new Response("Yetkisiz", { status: 401 });
    }

    // Geçersiz istekler private network'e hiç ulaşmaz
    return env.VPC.fetch("http://ic-api.private/veri");
  },
};

Demo 1: Private network’teki servise erişim

Adım 1 — VPC bağlantısını yapılandır

Panel — VPC bağlantısı oluşturma ekranı; bulut sağlayıcı seçimi ve ağ bilgileri

wrangler dev veya deploy çıktısı — bindings listesinde VPC binding'i

Adım 2 — Public IP olmadığını doğrula

Hedef servise doğrudan internetten erişmeyi dene.

curl ile private adrese doğrudan erişim denemesi ve zaman aşımı/bağlantı reddi

Adım 3 — Worker üzerinden eriş

curl ile Worker'a istek ve private servisten dönen veri; aynı servise iki farklı yoldan erişimin farkı

Adım 4 — Gecikmeyi ölç

Farklı coğrafyalardan yapılan isteklerin süre farkı; private network'ün bölgeye bağlı olduğunun görüldüğü ölçüm

Demo 2: Tunnel ile karşılaştırma

Aynı erişimi Cloudflare Tunnel ile kurup iki yaklaşımı yan yana koyacağız.

Adım 1 — Aynı servisi Tunnel ile yayınla

cloudflared çalışırken kurulan bağlantılar ve yayınlanan hostname

Adım 2 — İki yolu karşılaştır

İki yoldan yapılan curl çağrılarının süreleri ve yanıt başlıkları yan yana

Adım 3 — Cache etkisini ölç

İki ölçüm — cache'siz doğrudan çağrı ve cache'li çağrı süreleri

Panel metrikleri — cache açıldıktan sonra private network'e giden alt istek sayısındaki düşüş

Ölçüm

Fiyatlandırma

Resmî fiyatlandırma yayımlanmamıştır. Bu portalın doğrulama kuralı gereği tahmin rakam yazılmamaktadır.

Bilinen: ürün Workers Paid planı bağlamında konumlandırılıyor ve normal Workers istek/CPU ücretleri her durumda geçerli.

Lisanslama ve hukuki çerçeve

Workers VPC tescilli bir hizmettir; Cloudflare Hizmet Şartları kapsamındadır.

Veri akışı. Private network’ünüzdeki veri Worker aracılığıyla Cloudflare ağı üzerinden geçer. Kaynağın public IP’si olmaması, verinin Cloudflare’den geçmediği anlamına gelmez. Kişisel veri işleniyorsa Veri İşleme Ek Sözleşmesi incelenmelidir.

Türkiye açısından. Private network’ün Türkiye’deki bir bölgede olsa bile, Worker’ın kendisi global ağda çalışır. Verinin yalnızca Türkiye’de işlenmesi gerekiyorsa bu mimari tek başına yeterli değildir; Data Localization Suite’in Regional Services bileşeni ayrıca değerlendirilmelidir.

Sık yapılan hatalar

Tunnel yerine tercih etmek. On-prem sunucular için Tunnel ücretsiz, olgun ve bu iş için tasarlanmış. Workers VPC bulut entegrasyonu içindir.

Cache kullanmamak. Her istekte private network’e gitmek hem yavaş hem pahalıdır. Sık okunan veriyi KV veya Cache API ile kenarda tut.

Yetkilendirmeyi iç serviste yapmak. Yetkisiz isteklerin private network’e hiç ulaşmaması gerekir; kontrolü Worker’da yap.

Worker’ın coğrafi avantajını beklemek. Private network belirli bir bölgededir; o çağrılar için “kullanıcıya yakın çalışma” avantajı yoktur.

Fiyat belirsizken üretim planı yapmak. Fiyatlandırma yayımlanmamıştır; taahhüt vermeden önce netleştirin.

Taşınabilir veriyi taşımamak. Veri Cloudflare’e taşınabiliyorsa (D1, KV, R2) bu katmana hiç ihtiyaç kalmaz.