Resumo

  • O exemplo publicado pela Cloudflare conserva uma rota ampla de produção na rede padrão e descreve acesso à produção fora do intervalo sobreposto mesmo com staging selecionado.
  • A visão geral mais recente limita sua descrição de possível uso da tabela padrão às rotas WAN. Não demonstra um retorno universal de qualquer rota Tunnel sem correspondência.
  • A entrada do tráfego no cliente, o contexto que resolve o endereço e a política que autoriza a conexão são decisões diferentes.

O número sozinho não identifica o ambiente

Uma aquisição ou a conexão com um fornecedor pode aproximar redes que cresceram separadamente. As duas podem usar o mesmo endereço privado para sistemas distintos. A RFC 1918 situa o significado desses endereços dentro da empresa ou de empresas que coordenam seu uso; eles não são identificadores inequívocos em escala mundial.

O problema comercial, portanto, não começa necessariamente com um plano de endereçamento errado. Começa quando uma conexão precisa escolher entre dois significados locais. A documentação de redes virtuais do Tunnel mostra como associar intervalos sobrepostos a contextos distintos. O usuário escolhe a rede pelo Cloudflare One Client, acrescentando ao endereço a informação sobre o ambiente pretendido.

Isso abre uma alternativa à exigência de eliminar imediatamente toda repetição. Não é, porém, uma economia medida neste artigo. Manter os números significa assumir outra tarefa: conservar a associação entre rotas e contextos e explicar a seleção feita no cliente. A flexibilidade tem um dono operacional; não é trabalho que desaparece.

O detalhe deixado na rede padrão

O exemplo de endereços sobrepostos começa com a produção em 10.0.0.0/8 pelo Tunnel A e staging em 10.0.1.0/24 pelo Tunnel B. Ambos estão inicialmente na rede virtual padrão. Na parte sobreposta, a rota mais específica conduz ao ambiente de testes, impedindo distinguir o destino de produção com o mesmo endereço.

A solução descrita cria os contextos production e staging, separa as rotas sobrepostas e acrescenta uma rota específica de produção para 10.0.1.0/24. A rota ampla de produção, 10.0.0.0/8, continua na rede padrão. Esse restante muda a interpretação do resultado.

O próprio texto diz que a seleção de staging permite alcançar outros endereços no intervalo amplo de produção, enquanto os endereços sobrepostos levam ao ambiente de testes. Assim, o exemplo não promete que selecionar testes fecha todas as portas de produção. Resolve a ambiguidade no trecho duplicado e preserva uma abrangência maior fora dele.

Uma aceitação que apenas confirme os dois destinos sobrepostos pode considerar o projeto concluído sem examinar essa abrangência. A demonstração responde à pergunta “qual sistema este endereço representa?”. Não responde sozinha à pergunta “quais outros sistemas este usuário pode alcançar?”.

Nada disso constitui observação de uma rede de cliente. Não houve implantação, teste de conexão, identificação de vazamento, violação de permissão ou interrupção. Ler o alcance descrito no exemplo é diferente de acusar o produto de uma falha de isolamento em produção.

Não retirar a ressalva sobre WAN

A página de aprendizado foi atualizada em 23 de abril de 2026. A visão geral das redes virtuais, atualizada em 25 de agosto, descreve tabelas próprias: as rotas de uma rede não aparecem na tabela de outra. Ao mencionar a possibilidade de consultar a tabela padrão quando não há correspondência na selecionada, o texto especifica o contexto de rotas WAN.

Também informa que conexões WAN por IPsec, GRE ou CNI usam somente a rede virtual padrão. Não é legítimo remover essa delimitação e anunciar que todo destino Tunnel sem correspondência retorna obrigatoriamente a qualquer rota Tunnel da rede padrão.

Separar registros em tabelas e explicar como um destino é alcançado são afirmações de natureza diferente. As datas das páginas, por si sós, tampouco provam uma mudança de comportamento. O material disponível deixa uma diferença de escopo entre um exemplo e uma descrição geral; este artigo não a preenche inventando um algoritmo único para todos os conectores.

Para o comprador, a diferença deve virar uma pergunta de aceitação aplicada ao tipo de conexão contratado. Quais rotas padrão continuam disponíveis? Sob quais condições podem ser utilizadas? Que controle impede os destinos proibidos? Uma descrição específica vale mais do que transformar o nome de um ambiente numa garantia que a documentação não oferece.

Antes da rota, a entrada; depois dela, a permissão

Há uma etapa anterior ao contexto da rede. O guia para conectar intervalos privados explica que o Cloudflare One Client exclui intervalos RFC 1918 por padrão. É preciso ajustar Split Tunnels para que o tráfego privado desejado entre no caminho. O mesmo guia alerta para conflitos com recursos locais do cliente quando esse alcance é ampliado demais.

Uma rede virtual não recebe automaticamente tráfego que o cliente deixou de encaminhar. No sentido inverso, ampliar o que entra não aprova todos os destinos adicionados. O responsável pelo cliente, o responsável pelas rotas e o responsável pela autorização precisam saber qual parte do resultado cada mudança comprova.

O guia informa ainda que dispositivos inscritos podem, por padrão, conectar-se à rede privada ligada pelo Tunnel. Recomenda um bloqueio geral no Gateway, acompanhado de regras de autorização de aplicativo ou IP com prioridade maior. Isso não significa acesso disponível para qualquer pessoa na internet, nem elimina a autenticação da aplicação.

A documentação de políticas de rede define a combinação de uma ação e uma expressão lógica. Inclui uma condição para tráfego que usa determinada rede virtual pelo Cloudflare One Client. O contexto pode participar da decisão, mas não decide sozinho: chamar uma rede de staging não cria automaticamente a negação de produção.

Uma fronteira que possa ser explicada

O valor de compra não precisa ser “todas as redes ficam incomunicáveis”. Serviços compartilhados podem ser desejados. O requisito útil é conseguir explicar, para o usuário e o dispositivo relevantes, o que entra pelo cliente, como o endereço é resolvido e quais conexões recebem autorização ou recusa.

Essa explicação deve incluir o trecho sobreposto e as rotas amplas preservadas. Se uma ligação com produção é intencional, precisa de alcance e aprovador. Se deve ser negada, exige condição de bloqueio, não apenas uma seleção visualmente convincente no cliente.

A Cloudflare oferece um mecanismo concreto para distinguir significados locais de um endereço. A questão editorial é o salto entre essa capacidade e uma promessa completa sobre destinos permitidos. Evitar o salto ajuda a empresa a aproveitar a flexibilidade sem atribuir ao roteamento uma autorização que deve ser demonstrada separadamente.

Fontes