La tabla de reglas y el atajo

Un cortafuegos evalúa su tabla de arriba abajo: la primera regla que coincide con el paquete decide y las siguientes no se miran. Eso hace que el orden sea parte del diseño. Una regla amplia que permite, colocada por encima de una regla estrecha que niega, deja a la segunda sin efecto: nunca llega a evaluarse. Se dice que la primera la sombrea.

Ocurre sin mala intención. Alguien necesita abrir algo con urgencia, escribe la regla al principio para que funcione y se olvida de ella. La tabla sigue pareciendo correcta a quien la lee fila por fila, y por eso las revisiones de reglas miran también el orden y los aciertos.

En la tabla de Corozo hay una regla que niega a Usuarios el acceso a Planta, escrita con razón y con el motivo bien explicado. Pero lleva cero aciertos en 30 días, y eso por sí solo es una señal: o nadie intenta lo que niega, o algo por encima ya decide esos paquetes.

La tabla reglas está en el orden en que se evalúa. Mira qué hay por encima de la regla que niega: una regla anterior que coincida con el mismo origen y permita más de lo que la otra niega.

Las reglas temporales son una causa frecuente de segmentación rota: se abren para un proveedor, una migración o una puesta en marcha y nadie las cierra, porque cerrar es una tarea sin urgencia y mantener abierto no cuesta nada hasta el día que cuesta mucho. Una regla temporal sin una fecha de caducidad aplicada por el propio sistema es un permiso permanente.

La columna caduca guarda la fecha prevista, y parametros dice cuál es la fecha de corte de esta revisión.

El tiempo que una regla vencida lleva abierta se mide en días entre su caducidad y la fecha de corte. Es la cifra que le explica a quien paga el riesgo en términos de exposición: no es «hay una regla vieja», es «hubo un acceso externo a servidores durante tantos días sin que nadie lo hubiera aprobado».

Calcula esos días para la regla de la tarea anterior, contando desde el día de su caducidad hasta la fecha de corte.

Cerrar un hueco no siempre exige reescribir la tabla. Si la regla que niega ya existe y solo está mal colocada, cambiar su posición es el cambio más pequeño y el que menos riesgo de interrumpir el servicio tiene. La regla amplia, en cambio, tiene decenas de miles de aciertos: algo depende de ella, y borrarla sin averiguar qué es romper la migración que quiere proteger.

El trabajo del arquitecto es separar lo urgente de lo definitivo: cerrar el hueco hoy con un cambio mínimo y abrir otro para que la regla amplia se convierta en las reglas específicas que de verdad se necesitan.