Segmentos, rutas y políticas

Una cafetería dibuja tres cajas de colores: Wi-Fi para visitantes, dispositivos de pago y administración. El dibujo transmite tranquilidad, pero los colores no detienen comunicaciones. Para evaluar el diseño, separa tres preguntas: ¿qué equipos comparten un dominio local?, ¿qué rutas conectan esos dominios?, ¿qué políticas permiten cruzarlos?

Un segmento describe una separación

Una VLAN Ethernet agrupa interfaces en un dominio lógico de difusión. Los dispositivos de distintas VLAN no comparten las difusiones ordinarias de capa 2 mediante el reenvío normal de VLAN. Comunicarse entre ellas requiere enrutamiento. Un switch de capa 3 puede hacerlo dentro del mismo equipo físico; no hace falta una caja diferente para cada función.

Una subred describe un ámbito de direcciones IP. Muchos diseños asocian una subred a una VLAN, pero los términos no son definiciones equivalentes. El diagrama debe mostrar la relación real y no asumir que colores o números coincidentes la establecen.

Una ruta indica dirección, no permiso

Las rutas indican por dónde se puede reenviar un paquete. La política de tráfico decide si esa comunicación se permite. A menudo ambas decisiones ocurren en el mismo equipo, lo que facilita confundirlas. Una ruta correcta puede terminar en una denegación; una regla de permiso no repara una ruta inexistente.

Los visitantes necesitan servicios públicos de internet, no interfaces de administración. Los dispositivos de pago necesitan ciertos servicios del proveedor, resolución de nombres, hora y mantenimiento. «Bloquear todo» puede impedir el trabajo necesario. «Permitir todo lo interno» amplía demasiado el acceso. Hay que describir los propósitos con suficiente precisión para convertirlos en reglas.

PrediceLa cafetería mueve los pagos a otra VLAN y permite después todas las rutas entre pagos y visitantes. ¿Existe ya una barrera restrictiva entre ambos grupos?

No. Separó los dominios locales de difusión, pero la política sigue permitiendo comunicación amplia. La segmentación necesita restricciones efectivas al cruzar el límite y excepciones justificadas.

Haz comprensible cada regla

Una regla ficticia útil identifica grupo de origen, destino, servicio, dirección, propósito y responsable. Una excepción temporal también necesita vencimiento o revisión. Los firewalls con estado pueden relacionar respuestas con conexiones permitidas, pero depende del protocolo y la configuración; eso no autoriza cualquier sesión entrante nueva.

Cuando llega el tráfico, la aplicación sigue comprobando identidad y permisos. La conexión del sitio a su base de datos puede permitir leer el catálogo sin administrar socios. La arquitectura de confianza cero de NIST considera insuficiente la ubicación de red para confiar automáticamente. Esto complementa la segmentación: limitar caminos y evaluar el acceso al recurso.

Prevé cambios y fallos

Servicios de nube, IPv6, administración remota y caminos de respaldo pueden añadir rutas. Mantén reglas coherentes entre ellos. Los registros deben describir decisiones útiles sin recopilar datos personales innecesarios. Al modificar una regla, compara la intención con los caminos permitidos, incluyendo las respuestas. Una separación útil es una decisión mantenida, no una caja dibujada una vez y olvidada.