Resumen

  • El ejemplo publicado mantiene una ruta extensa de producción en default y describe acceso a sus otros destinos al seleccionar staging.
  • El panorama actual limita la explicación de un posible retorno a default a rutas WAN; no acredita un algoritmo universal para cualquier túnel sin coincidencia.
  • Selección del tráfico cliente, contexto de enrutamiento y permiso de acceso son decisiones distintas.

Una dirección necesita conservar su significado

Dos sistemas pueden tener la misma dirección privada sin ser el mismo destino. RFC 1918 establece su significado dentro de una empresa o un conjunto coordinado de empresas, no una identidad mundial. El conflicto aparece cuando una conexión debe distinguir esos significados locales.

La configuración de redes virtuales de Cloudflare permite asociar rutas solapadas a contextos diferentes. El usuario puede seleccionar el contexto mediante Cloudflare One Client. Así, la cadena IP deja de ser la descripción completa del destino: importa también dónde se interpreta.

La capacidad tiene una utilidad comercial posible, aunque este artículo no mida ahorro alguno. Una integración no necesita comenzar declarando que todo prefijo privado duplicado debe desaparecer. Pero el trabajo pasa a las asociaciones de rutas y a la selección del cliente. Sigue siendo necesario decidir qué entornos debe alcanzar cada usuario.

Un nombre como staging puede dar la impresión de que esa última decisión ya está resuelta. Esa impresión merece revisión. El nombre identifica un contexto de pruebas; no acredita por sí mismo que todas las direcciones de producción hayan quedado fuera.

La ruta que el ejemplo no retira

El recorrido sobre IP solapadas, actualizado el 23 de abril de 2026, presenta producción en 10.0.0.0/8 mediante Tunnel-A y pruebas en 10.0.1.0/24 mediante Tunnel-B. Ambas rutas están inicialmente en default. En la parte común, el camino más específico dirige el tráfico a pruebas.

La solución del ejemplo añade una ruta precisa de producción para 10.0.1.0/24 y asigna las dos versiones de esa franja a production y staging. La ruta amplia de producción sigue en default. El texto dice que quien selecciona staging puede llegar a las demás direcciones de producción, mientras el solapamiento llega a pruebas.

Es una afirmación de un ejemplo público, no una trayectoria medida en una instalación de cliente. Aun así, distingue dos logros: desambiguar correctamente la franja común y denegar todos los destinos productivos. En ese ejemplo, el primero no prueba el segundo.

La selección puede ser deliberada. Algunos usuarios podrían necesitar la franja compartida y la excepción de pruebas. No hay aquí evidencia de brecha. El error de compra sería aceptar una garantía negativa que procede del nombre tranquilizador y no de la disposición descrita.

El alcance WAN no debe ampliarse por intuición

El panorama de redes virtuales, actualizado el 25 de agosto de 2026, describe tablas y entradas separadas. También indica que una ruta no encontrada en el contexto seleccionado puede recurrir a la tabla predeterminada para rutas WAN. Las conexiones WAN con IPsec, GRE o CNI se describen como limitadas a default.

La precisión es importante: no demuestra que toda ruta ausente de cualquier Cloudflare Tunnel termine necesariamente en una ruta Tunnel predeterminada. El alcance del ejemplo de abril y el de la formulación WAN de agosto no deben fusionarse silenciosamente en una regla universal inventada.

La conclusión firme trata de evidencia de puesta en servicio. El comportamiento debe explicarse para los productos y conexiones que realmente se proponen. Si las superficies documentales acotan de manera distinta, una aclaración del proveedor vale más que una seguridad adicional creada por el modelo de compras.

Esta investigación no usó configuraciones de clientes ni pruebas de red para resolver el alcance. No estableció fallo de aislamiento, extracción de datos o incidente de disponibilidad. Examina lo que la documentación permite prometer, no un problema que se presume ocurrido.

El paquete debe entrar antes de escoger ruta

El documento de conexión de una IP o CIDR, actualizado el 23 de junio de 2026, añade otra frontera. Una ruta sin red virtual asignada va a default. El cliente también excluye RFC 1918 por defecto: la selección apropiada de Split Tunnels debe introducir el tráfico privado previsto en el servicio.

La existencia de una ruta no acredita que todos los paquetes esperados entren en ese sistema de selección. Incluir una franja privada demasiado grande puede además afectar recursos locales del usuario, riesgo que el documento aborda. La integración abarca decisiones de los dispositivos, no solamente los conectores.

No se ofrece una receta para alterar equipos. La pregunta comercial es quién responde por esa selección de la flota y si coincide con los destinos incluidos en el servicio contratado. Aceptar solo una lista de túneles podría dejar sin dueño una parte esencial de la operación.

Llegar y estar autorizado no son sinónimos

El mismo documento recomienda filtrado Gateway y un bloqueo general con permisos prioritarios por aplicación o IP. Su afirmación de alcance predeterminado se refiere a dispositivos inscritos, no a cualquier persona de Internet. Un camino de red tampoco acredita aceptación del usuario por la aplicación.

La documentación de políticas de red, actualizada el 24 de agosto de 2026, presenta la decisión como acción y expresión lógica. Incluye un selector Virtual Network para tráfico de un contexto específico a través de Cloudflare One Client. Permite incorporar contexto a la política, no sustituirla por su nombre.

El comprador necesita dos descripciones compatibles: dónde puede encaminarse el tráfico y qué debería poder alcanzar. Un prefijo puede quedar desambiguado correctamente y seguir dentro de un conjunto autorizado más amplio de lo que quería el equipo. La coherencia de ruta no demuestra la adecuación del permiso.

Las redes virtuales resuelven una ambigüedad real. La compra completa conserva entrada cliente, contexto, alcance de default y decisiones de acceso. Llamar staging al entorno inicia el trabajo; no demuestra que hayan terminado todas las fronteras necesarias.

Fuentes