Zusammenfassung

  • Cloudflares Überlappungsbeispiel behält eine breite Produktionsroute im Standardnetz und beschreibt Produktionszugriff außerhalb der Überschneidung auch bei ausgewähltem staging.
  • Der neuere Überblick begrenzt seine Aussage über eine mögliche Nutzung der Standardtabelle auf WAN-Routen. Daraus folgt kein universeller Rückfall aller nicht passenden Tunnel-Routen.
  • Die Verkehrsaufnahme durch den Client, der Routingkontext und die Zugriffsentscheidung sind unterschiedliche Steuerungsflächen.

Die Adresse hat zunächst eine lokale Bedeutung

Nach einer Übernahme können zwei bisher eigenständige Netze denselben privaten Adressbereich verwenden. Ebenso können Produktion und Test unabhängig voneinander gewachsen sein. Das ist nicht automatisch ein Planungsfehler. RFC 1918 gibt privaten Adressen eine Bedeutung innerhalb eines Unternehmens oder koordinierender Unternehmen, keine weltweit eindeutige Identität.

Die Schwierigkeit entsteht, wenn eine Verbindung zwischen diesen Bedeutungen auswählen muss. Cloudflares Anleitung für virtuelle Tunnel-Netze ordnet überlappende Bereiche unterschiedlichen Kontexten zu. Nutzer können den Kontext im Cloudflare One Client auswählen. Zum Ziel gehört dann nicht nur die Zahlenfolge, sondern auch die Umgebung, in der sie aufgelöst wird.

Für einen Käufer ist das eine Alternative zur Vorgabe, jede Doppelung vor der Integration zu beseitigen. Dieser Artikel misst weder Kostenersparnis noch eingesparte Projektzeit. Er beschreibt vielmehr eine Verschiebung der Arbeit: Statt ausschließlich Adressen zu ändern, muss die Organisation Zuordnungen, Clientauswahl und verbleibende Zugriffsmöglichkeiten pflegen. Diese Arbeit braucht ebenso einen Verantwortlichen.

Was im Standardnetz übrig bleibt

Das Lernbeispiel für überlappende Adressen beginnt mit Produktion in 10.0.0.0/8 über Tunnel A und Test in 10.0.1.0/24 über Tunnel B. Zunächst liegen beide Routen im standardmäßigen virtuellen Netz. Die spezifischere Route führt im überlappenden Bereich zum Testziel; die Produktionsadresse lässt sich dort nicht mehr getrennt auswählen.

Anschließend führt die Anleitung die Kontexte production und staging ein und trennt die überlappenden Routen. Für Produktion wird eine spezifische Route nach 10.0.1.0/24 ergänzt. Der breite Produktionsbereich 10.0.0.0/8 bleibt dagegen im Standardnetz.

Der Text erläutert die Konsequenz ausdrücklich: Wer staging auswählt, erreicht außerhalb der Überschneidung weiterhin andere Adressen des Produktionsbereichs; innerhalb der Überschneidung ist das Testziel gemeint. Die Anleitung verspricht somit nicht, dass die Auswahl von Test sämtliche Produktionsziele abschneidet. Sie löst eine Adressmehrdeutigkeit und lässt gleichzeitig einen größeren Bereich bestehen.

Das ist für eine Abnahme wichtig. Zwei gleich adressierte Systeme korrekt anzusprechen beweist, dass sie unterschieden werden können. Es beweist nicht, dass alle übrigen Produktionssysteme für denselben Nutzer gesperrt sind. Der erhaltene breite Bereich gehört zur Erklärung des Ergebnisses, auch wenn er beim Einrichten der neuen Netze nicht verschoben wurde.

Dabei handelt es sich um ein veröffentlichtes Beispiel, nicht um einen beobachteten Kundenfall. Es wurde keine Konfiguration eingerichtet und keine Verbindung geprüft. Für einen Datenabfluss, eine Berechtigungsverletzung oder einen Ausfall liefert die Recherche keinen Nachweis. Aus einer Beschreibung von Erreichbarkeit wird nicht durch Umformulierung eine erwiesene Isolationsstörung.

Der WAN-Zusatz darf nicht verschwinden

Die Lernseite wurde am 23. April 2026 aktualisiert. Der Überblick über virtuelle Netze mit Aktualisierung vom 25. August erklärt eigene Routingtabellen: Routen eines Netzes erscheinen nicht in der Tabelle eines anderen. Seine Beschreibung einer möglichen Nutzung der Standardtabelle bei fehlendem Treffer in der ausgewählten Tabelle bezieht sich auf WAN-Routen.

IPsec-, GRE- und CNI-Anbindungen im WAN unterstützen demnach nur das standardmäßige virtuelle Netz. Diese Eingrenzung lässt sich nicht streichen, um daraus eine Regel zu machen, nach der jede nicht passende Tunnel-Verbindung zwingend auf irgendeine Standard-Tunnel-Route zurückfällt.

Getrennte Tabellen beschreiben die Organisation der Einträge. Erreichbarkeit verlangt zusätzlich eine Aussage darüber, welche Wege für welche Anschlussart infrage kommen. Auch die unterschiedlichen Aktualisierungsdaten allein beweisen keinen Funktionswechsel. Zwischen dem konkreten Beispiel und dem Überblick besteht eine Reichweitenfrage, die ein externer Autor nicht mit einem erfundenen einheitlichen Weiterleitungsalgorithmus beantworten sollte.

Ein Käufer kann die Frage präzise stellen: Welche Aussage gilt für seine Anschlussart? Welche Standardrouten bleiben erhalten? Wann können sie genutzt werden? Was sperrt ein untersagtes Ziel? Eine verbindliche Antwort darauf ist wertvoller als der Eindruck, ein sauber benanntes Netz müsse bereits eine vollständige Sicherheitsgrenze darstellen.

Drei Entscheidungen statt eines Netznamens

Vor jeder Routenauswahl muss der Verkehr den betreffenden Clientpfad betreten. Die Anleitung für private CIDR-Bereiche erklärt, dass der Cloudflare One Client RFC-1918-Bereiche standardmäßig ausschließt. Split Tunnels muss den beabsichtigten privaten Verkehr aufnehmen. Eine zu breite Änderung kann zugleich den Zugriff auf lokale Ressourcen des Endgeräts beeinträchtigen, warnt die Anleitung.

Ein neuer Routingkontext holt keinen Verkehr herein, den der Client draußen lässt. Umgekehrt ist eine größere Verkehrsaufnahme keine Genehmigung aller neu einbezogenen Ziele. Clientverwaltung, Routingverwaltung und Berechtigungsverantwortung müssen deshalb wissen, welchen Teil des Ergebnisses ihre Änderungen tatsächlich belegen.

Die Anleitung beschreibt außerdem, dass registrierte Geräte standardmäßig die private Tunnel-Anbindung erreichen können. Sie empfiehlt eine allgemeine Gateway-Sperre mit höher priorisierten Freigaben für Anwendungen oder IP-Adressen. Gemeint sind nicht beliebige Internetnutzer. Netzseitige Erreichbarkeit garantiert auch nicht, dass die Authentifizierung einer Anwendung erfolgreich ist.

Die Dokumentation der Netzwerkrichtlinien verbindet Aktion und logischen Ausdruck. Ein Auswahlkriterium kann Verkehr erfassen, der über den Cloudflare One Client ein bestimmtes virtuelles Netz nutzt. Der Kontext kann also in eine Berechtigungsentscheidung eingehen. Allein aus dem Namen staging entsteht jedoch keine Sperrregel für Produktion.

Eine erklärbare Grenze einkaufen

Nicht jeder Käufer braucht vollständige gegenseitige Unerreichbarkeit aller Umgebungen. Gemeinsame Dienste können gewollt sein. Die bessere Abnahmeforderung ist eine nachvollziehbare Erklärung für den relevanten Nutzer und das relevante Gerät: welcher Verkehr eintritt, welche Bedeutung die Adresse erhält und welche Verbindungen erlaubt oder abgewiesen werden.

Diese Erklärung muss die Überschneidung und den verbleibenden breiten Standardbereich umfassen. Eine absichtliche Produktionsverbindung braucht einen Umfang und einen Genehmiger. Eine verbotene Verbindung braucht eine Sperrbedingung und einen Nachweis, nicht bloß die sichtbare Auswahl eines Testnetzes.

Cloudflare bietet eine konkrete Möglichkeit, lokale Bedeutungen privater Adressen auseinanderzuhalten. Der kritische Sprung liegt zwischen dieser Fähigkeit und einem umfassenden Versprechen über erlaubte Ziele. Wer ihn vermeidet, kann die Integrationsflexibilität nutzen, ohne dem Routing eine separat nachzuweisende Berechtigungsaufgabe zuzuschreiben.

Quellen