Leer el diagrama y encontrar el puente

Un diagrama muestra la intención del diseño. Lo que de verdad existe está en los inventarios y en la configuración de las interfaces de cada equipo. Los diagramas fallan casi siempre de las mismas tres maneras: les falta un equipo que alguien conectó después, les falta una interfaz que un equipo tiene además de la dibujada y les sobra una línea que ya nadie usa.

Por eso la lectura de un diagrama empieza fuera de él: se toma el inventario, se cuentan las interfaces y se busca lo que está en uno y no en el otro.

Un equipo con interfaces en dos zonas y el reenvío de IP activo pasa tráfico de una a otra sin que ninguna regla lo mire: es un router sin reglas, a menudo instalado por comodidad. Si es un servidor y no un cortafuegos, es un puente que se salta la segmentación.

La tabla interfaces dice la zona real de cada interfaz y si el reenvío está activo. La tabla equipos dice qué tipo de equipo es. Algunos equipos con reenvío son legítimos: es su trabajo.

Los equipos que no están en el diagrama son los más peligrosos de la red, porque nadie los vigila ni los incluye en las reglas. Si además tienen salida directa a Internet, son una puerta trasera: pasan por fuera del cortafuegos que el diagrama presenta como único borde.

La tabla equipos dice si cada equipo aparece dibujado y si tiene salida a Internet.

El historiador de producción necesita recibir datos de los controladores de la planta y ofrecerlos al ERP, y por eso alguien le puso una interfaz en cada zona. Lo que hay que cerrar no es la necesidad sino el atajo: el servidor debe pedir lo que necesita a través del cortafuegos, no pegado a las dos zonas.

Apagar el reenvío de IP no basta si el servidor sigue conectado a las dos zonas: quien comprometa el servidor desde una de ellas sigue estando en la otra. El puente se cierra quitando la segunda conexión, no solo la función de enrutar.

Las interfaces con reenvío activo en equipos que no son cortafuegos son los lugares donde el tráfico cambia de zona sin pasar por una regla. Cada una cuenta aparte, aunque pertenezca al mismo equipo, porque cada una es un extremo del puente.

Cuenta las interfaces de la tabla interfaces que tienen el reenvío activo y que no pertenecen al cortafuegos.