🧭 Crumbpage 41: Wurzeldesign — Netzmaske ist Aufmerksamkeit

Subtitle: Wie IP, VLAN, Site und Route zu einem lesbaren Ökosystem werden
Pfad: 41
Schwierigkeit: ⭐⭐⭐⭐ (4/5)
Zeit: ~2 Stunden
Voraussetzungen: Pfad 31 Ansible · Pfad 32 Wurzelkarte · Pfad 40 VPN-first

„Eine Netzmaske ist keine Mauer.
Sie ist eine Form der Aufmerksamkeit.“ 🌱

🌟 Wer dich auf diesem Pfad begleitet

📋 Was du in diesem Pfad lernst

✓ Warum IP-Adressen Namen mit Verantwortung sind
✓ Was eine Netzmaske wirklich sagt
✓ Warum VLANs Beete trennen, aber keine Magie sind
✓ Warum /32 im VPN Vertrauen mit Kante ist
✓ Wie Sites, Rollen und Prefixes in NetBox zusammengehören
✓ Warum Routing eine Frage von Absicht ist
✓ Warum ein gutes Netzdesign Kinder schützt, statt Admins zu beeindrucken

🌱 Grundidee: Ein Wald braucht Wege

Ein einzelner Baum braucht nur Wasser.

Zwei Bäume brauchen vielleicht einen Pfad.

Aber ein Wald braucht Ordnung.

Nicht Kontrolle.
Nicht Bürokratie.
Nicht „alles darf alles“.

Sondern:

Wer ist wo?
Wer darf wohin?
Warum?
Wer erinnert das?
Wer kann es erklären?

Das ist Wurzeldesign.

Ein schlechtes Netz sieht so aus:

alles in ein /24
alles darf alles
niemand weiß warum
Firewall später
Doku irgendwann

Ein Waldnetz fragt vorher:

Welcher Ort?
Welche Rolle?
Welche Gefahr?
Welche Nähe?
Welche Route?
Welche Grenze?

🗺️ Die fünf Wurzelwörter

IP-Adresse   = einzelner Punkt
Netzmaske    = welche Nachbarn sehe ich direkt?
VLAN         = getrenntes Beet auf Layer 2
Route        = welcher Weg führt wohin?
Firewall     = welches Tor bleibt zu?

Und darüber liegt:

NetBox       = Wurzelkarte
Ansible      = Gärtner
Git          = Gedächtnis
WireGuard    = stille Tür

🔢 IP-Adresse: Ein Name im Raum

Eine IP ist nicht nur eine Zahl.

10.42.0.12

heißt im Crumbforest nicht einfach:

Gerät Nummer 12.

Sondern:

Name:        snakeview
Rolle:       hailo-node
Ort:         OZM
Tunnel:      CrumbVPN
Adresse:     10.42.0.12/32
Vertrauen:   gezielt

Eine IP ohne Bedeutung ist nur Technik.

Eine IP mit Rolle, Ort und Erinnerung wird Teil des Waldes.

🧮 Netzmaske: Aufmerksamkeit

Die Netzmaske sagt:

Was glaube ich, direkt erreichen zu können?

Beispiel:

192.168.50.23/24

bedeutet:

Ich bin 192.168.50.23.
Meine direkten Nachbarn liegen ungefähr in 192.168.50.x.

Aber:

10.42.0.12/32

bedeutet:

Ich bin genau dieser eine Punkt.
Keine Nachbarschaft automatisch.
Keine blinde Fläche.

Darum ist /32 im VPN so wichtig.

Nicht:

Hier ist ein ganzes Netz, viel Spaß.

Sondern:

Hier ist genau dieser Baum.
Der Hub kennt ihn.
Der Weg ist absichtlich.

Waldsatz

Eine große Maske sieht bequem aus.
Eine kleine Maske fragt genauer.

🌿 VLAN: Beete trennen

Ein VLAN ist wie ein Beet im Garten.

Nicht jeder Samen gehört in dieselbe Erde.

VLAN 10   Admin / Management
VLAN 20   Kinder / Workshop
VLAN 30   IoT / ESP / Sensoren
VLAN 40   Kameras
VLAN 50   Gäste
VLAN 60   Storage / Cluster

Ein VLAN trennt Verkehr auf Layer 2.

Aber ein VLAN allein ist noch keine Sicherheit.

Erst mit Routing-Regeln und Firewall wird daraus Fürsorge.

VLAN 20 Kinder
  darf → Missionen
  darf → Vektor
  darf nicht → Management

VLAN 30 IoT
  darf → MQTT
  darf nicht → Gitea Admin

VLAN 40 Kameras
  darf → Recorder / Hailo
  darf nicht → Internet frei

Waldsatz

VLANs sind keine Mauern.
Sie sind Beete.
Die Tore baut die Firewall.

🚪 Route: Der gewollte Weg

Eine Route sagt:

Für dieses Ziel gehst du durch dieses Tor.

Beispiel:

Ziel:     10.42.0.0/24
Gateway:  wg0 / nullfeld

Oder im VPN genauer gedacht:

Peer snakeview:
  allowed_ips: 10.42.0.12/32

Routing ist nicht nur Technik.

Routing ist Absicht.

Warum soll dieser Krümel diesen Weg kennen?
Warum soll er den anderen Weg nicht kennen?
Was passiert, wenn er verloren geht?

Ein gutes Netzdesign macht Wege sichtbar.

Ein schlechtes Netz hofft, dass niemand fragt.

🔐 Firewall: Die ruhige Grenze

Die beste Firewall-Regel ist oft nicht laut.

Sie sagt einfach:

default deny
allow what is needed
log what is strange

Im Wald heißt das:

Erst zu.
Dann gezielt auf.
Dann erinnern.
Dann prüfen.

Nicht:

Erst alles offen.
Dann später sichern.

Bugsy sagt:

Später ist der Lieblingsort von Botnetzen.

🧭 Site: Welcher Wald?

NetBox braucht nicht nur IPs.

NetBox braucht Orte.

Site: OZM
Site: Warang
Site: RZ
Site: Strato
Site: Mobil

Denn dieselbe Rolle kann an verschiedenen Orten anders bedeuten:

crumbzero01
  Site: Warang
  Rolle: zero-wanderer
  Tunnel: 10.42.0.20/32

ozmzero01
  Site: OZM
  Rolle: local-zero
  Tunnel: 10.42.0.21/32

Der Name spricht.

Die Site trennt.

Die Wurzelkarte erinnert.

🌲 Beispiel: Crumbforest-Wurzeldesign

STRATO
  backbone
    public: 87.106.12.97
    role: backup · checkmk · borgmatic

  nullfeld
    public: 194.164.194.191
    vpn:    10.42.0.1/32
    role:   vpn-hub · gitea · qdrant · wurzel-tor

VPN / CRUMBVPN
  10.42.0.1/32    nullfeld
  10.42.0.11/32   deepsea
  10.42.0.12/32   snakeview
  10.42.0.20/32   crumbzero01

OZM LAN
  10.60.0.0/24       local infra
  192.168.50.0/24    ESP / IoT / Sensoren

SPÄTER RZ
  mgmt-net
  storage-net
  cluster-net
  gpu-net

Wichtig:

Die Tabelle ist nicht das Design.
Die Frage dahinter ist das Design.

🧩 Prefixes in NetBox

NetBox kann Prefixes erinnern:

10.42.0.0/24
  Name: CrumbVPN
  Zweck: Tunnel-Adressen
  Regel: Peers immer /32

10.60.0.0/24
  Name: OZM-LAN
  Zweck: lokale Infrastruktur

192.168.50.0/24
  Name: ESP-Netz
  Zweck: Sensoren, MQTT, kleine Geräte

Und dann einzelne IPs:

10.42.0.12/32
  assigned_object: snakeview / wg0
  status: active
  role: tunnel-ip

So wird aus Zahlensuppe eine Wurzelkarte.

🦡 GitBadger-Regel: Kein Netz ohne Zettel

Ein Netz, das nur im Router existiert, ist fast vergessen.

Ein Netz, das nur im Kopf existiert, ist schon verloren.

Darum:

networks.yml
host_vars/
group_vars/
inventory.ini
NetBox
README.md

Alle sagen dasselbe.

Nicht perfekt.

Aber überprüfbar.

crumbvpn_prefix: "10.42.0.0/24"

wg_peers:
  - name: snakeview
    tunnel_ip: "10.42.0.12/32"
    site: "OZM"
    role: "hailo-node"

Wenn ein neuer Baum kommt, wird nicht geraten.

Es wird ergänzt.

🐞 Bugsy-Checkliste

Vor jedem neuen Netz fragt Bugsy:

Ist das Netz wirklich nötig?
Ist die Maske zu groß?
Gibt es doppelte IPs?
Ist die Route dokumentiert?
Ist der Zweck klar?
Ist der Ort klar?
Darf dieses VLAN wirklich ins Internet?
Darf dieser Peer wirklich das ganze Netz sehen?
Liegt ein Private Key irgendwo falsch?
Kann ein Kind das erklären?

Die letzte Frage ist die härteste.

Nicht weil Kinder weniger verstehen.

Sondern weil sie dunkle Räume sofort spüren.

🧪 Hands-On: Ein Netz zeichnen

Nimm ein leeres Blatt und zeichne nicht zuerst Geräte.

Zeichne zuerst Orte:

OZM
Warang
Strato
RZ
Mobil

Dann Rollen:

Hub
Backup
Vektor
Git
Kamera
Sensor
Kind
Admin
Cluster

Dann Wege:

Kind → Mission
Mission → Vektor
Sensor → MQTT
Kamera → Hailo
Node → Backup
Admin → Management

Dann Grenzen:

Kind -/-> Management
IoT  -/-> Gitea Admin
Kamera -/-> Internet frei
VPN Peer -/-> alle Peers automatisch

Erst danach kommen IPs.

Das ist Wurzeldesign.

🧠 Der Unterschied zwischen „Netz bauen“ und „Wald designen“

Netz bauen fragt:

Welche IP nehme ich?

Wald designen fragt:

Welche Beziehung entsteht dadurch?

Netz bauen fragt:

Wie bekomme ich Verbindung?

Wald designen fragt:

Welche Verbindung ist verantwortbar?

Netz bauen fragt:

Warum geht der Ping nicht?

Wald designen fragt:

Sollte dieser Ping überhaupt gehen?

🕊️ Verbindung ohne Übergriff

Das ist die wichtigste Idee von Pfad 41:

Nicht jede erreichbare Verbindung ist eine gute Verbindung.

Ein Wald ist gesund, wenn nicht alles alles berührt.

Wurzeln berühren gezielt.

Pilze verbinden gezielt.

Wasser fließt gezielt.

Auch Netze sollten gezielt sein.

zu wenig Verbindung  → Inseln
zu viel Verbindung   → Sumpf
richtige Verbindung  → Wald

🌉 Übergang zu Pfad 42

Wurzeldesign kommt vor Cluster.

Nicht danach.

Denn ein Cluster ohne Wurzeldesign wird schnell ein Monster:

viele Nodes
viele Container
viele Volumes
viele Secrets
viele Netze
niemand weiß warum

Ein Cluster mit Wurzeldesign wird ein Körper:

Management klar
Storage klar
Workloads klar
Ingress klar
Backup klar
Trust klar

Darum endet Pfad 41 mit der Frage:

Wie wird aus vielen Bäumen ein gemeinsamer Körper, ohne dass der Wald seine Kinder vergisst?

Das ist Pfad 42.

🌲 Abschluss

Eine Netzmaske ist keine Mauer.

Ein VLAN ist kein Zauber.

Eine Route ist kein Zufall.

Eine Firewall ist kein Misstrauen.

Netzdesign ist die Kunst, Nähe so zu formen, dass Leben möglich bleibt.

IP ist Name.
Maske ist Aufmerksamkeit.
VLAN ist Beet.
Route ist Weg.
Firewall ist Tor.
NetBox ist Erinnerung.
Ansible ist Pflege.

Und der Grund bleibt derselbe:

Der Krümel soll fragen können,
ohne durch Lärm zu laufen.

Der Wald soll wachsen können,
ohne sich selbst zu verlieren.

Wurzeldesign heißt:

Wir verbinden nicht alles.
Wir verbinden das Richtige.