Leer un mapa de red

Un mapa se compone de nodos (dispositivos, zonas) y enlaces (por dónde se conectan, con qué puertos). Para quien prioriza, leerlo bien es trazar caminos: desde la fuente que importa (internet, un proveedor, una sucursal) hasta el activo del hallazgo, anotando qué dispositivos de filtrado hay en medio.

 internet ─► fw-borde ─┬─► lb-api ─► sw-dmz ──┐
                       └─► vpn-prov ─────────┼─► fw-interno ─► sw-apps ─► sw-datos

Un mapa puede ser fiel y estar viejo. Por eso se contrasta con evidencia observada: tablas de vecinos que los propios conmutadores informan por el protocolo de descubrimiento de enlace, o las rutas y direcciones que se ven en una corrida.

Las tablas dispositivos y enlaces son el diagrama oficial en forma de datos. Para un hallazgo en una aplicación hay que saber qué separa de ella al portal publicado: qué dispositivo de filtrado hay entre el conmutador de la zona de servidores publicados y el de aplicaciones.

La tercera consulta lista los dispositivos de filtrado del diagrama.

La tabla vecinos_observados no sale del diagrama: sale de lo que cada conmutador dice haber visto en sus puertos. Compárala con dispositivos. Si un vecino aparece en la observación y no en el mapa, hay un enlace que nadie dibujó.

Una pregunta típica del oficio: ¿cuántos dispositivos hay entre internet y la base de datos? Con los enlaces del diagrama oficial, el camino más corto atraviesa menos dispositivos que el que pasa por el balanceador. No cuentes los extremos (internet y sw-datos): cuenta solo los dispositivos intermedios.

El vecino no dibujado es una sucursal conectada directamente a la zona de datos, sin pasar por el cortafuegos interno. El equipo de redes dice que «es un enlace antiguo, seguro que no se usa». Nadie lo ha comprobado, y los conmutadores lo ven activo.