Observabilidad del tráfico este-oeste

Una política de red decide, pero no deja rastro. La visibilidad viene de otro lado: del registro de flujos del complemento de red (que anota origen, destino, puerto y veredicto) o de los registros de acceso de los proxies de la malla (que anotan además identidad y, en HTTP, ruta y método). Sin ellos, la red de un clúster es una caja negra: se sabe qué se escribió, no qué ocurre.

Un registro de flujos tiene límites: no ve el contenido y puede muestrear. Sirve para responder «quién habló con quién, cuántas veces y si se permitió».

El mapa declarado es la intención de arquitectura. El observado es la realidad. El análisis más útil es la diferencia: aristas observadas que no están declaradas (nadie las diseñó) y aristas declaradas que no se ven (tal vez ya no se usan). Entre las primeras, las permitidas son las que importan primero, porque son comunicaciones que ocurren de verdad sin que nadie las haya aprobado. Las denegadas muestran que la política funcionó.

Compara las dos tablas.

Un servicio normal habla con pocos destinos, siempre los mismos. Un origen que intenta conectar con varios destinos que no le corresponden, y muchos rechazos, puede ser un error de configuración, una dependencia nueva sin declarar o el comportamiento de una carga comprometida que explora la red. El registro no distingue entre las tres: marca a quién investigar primero.

Los rechazos, agrupados por destino, indican qué servicio recibe más intentos que no le corresponden. Si es un servicio crítico, el dato sirve para priorizar: no cambia la política, que ya cumplió, sino la atención que se le presta a su registro.

El hallazgo de un origen que intenta tres destinos sin permiso es una pista, no una conclusión. Antes de hablar de ataque conviene descartar causas sencillas: ¿alguien desplegó una versión nueva?, ¿cambió una configuración?, ¿tiene el servicio un propósito que lo explique? Y a la vez conviene conservar el registro, porque los flujos se renuevan.