Segmentación vista desde los flujos

Una matriz de comunicación entre segmentos lista, para cada par de segmentos, si se permite y por qué puertos. Es la política escrita en forma que se puede comparar con la realidad: por cada flujo se ubican origen y destino en su segmento (con el rango de direcciones) y se mira si el par figura como permitido con ese puerto. Lo que no está en la matriz se trata como no permitido.

Abre segmentos y flujos. Las direcciones no dicen a qué segmento pertenecen: hay que mirar el rango. El conmutador de acceso registró una comunicación hacia la dirección 198.51.100.40, que está en servidores, desde un equipo de la red de visitantes. La política de politica no permite ese par.

Los flujos del cortafuegos (alb-fw-01) se escriben después de aplicar sus reglas, así que lo que aparece ahí sí cruzó. Revisa cada uno contra la matriz: origen, destino y puerto tienen que estar permitidos. Los que no, son hallazgos de segmentación; algunos serán excepciones conocidas y otros, errores de regla, pero ninguno se descarta sin mirarlo.

Consulta puntos_de_observacion. El flujo de invitados hacia servidores lo registró el conmutador de acceso, que mira la entrada de los puertos antes del cortafuegos, y el cortafuegos no tiene ninguna fila equivalente. Dónde mira un exportador cambia lo que su registro prueba: el flujo demuestra que el paquete salió de ese puerto; si llegó o no, depende de lo que hicieran las reglas después.