Salida a internet controlada

Una NetworkPolicy estándar filtra por rangos de direcciones (ipBlock), puertos y selectores de pods o namespaces. No sabe de nombres de dominio: no se puede escribir «permitir hacia el servicio de pagos de un proveedor» por su nombre, solo por las direcciones que hoy resuelve. Si el proveedor cambia de dirección, la política queda vieja; si comparte rango con otros clientes, el permiso es más ancho de lo que parece.

Para filtrar por nombre hacen falta capacidades extra: extensiones del complemento de red, o un punto de salida común (un proxy o una pasarela de salida) que sea el único camino permitido.

La lista de destinos aprobados es la intención; la exportación de flujos es la realidad. El análisis es un cruce: cada conexión saliente debería corresponder a una fila de la lista, con su origen autorizado. Lo que no coincide no es todavía un incidente, es una pregunta, pero conviene empezar por la que mueve más datos.

Abre las dos tablas.

Para el informe, la magnitud importa: no es lo mismo una conexión de unos pocos kilobytes que decenas de megabytes. El número se calcula con los datos: se suman los bytes de todos los destinos que no están en la lista aprobada, no solo los del mayor.

La política salida-general permite el puerto 443 y el 587 hacia cualquier dirección: es una apertura casi total, porque el puerto 443 es el que usa casi todo en internet. Y la malla tampoco lo frena: su política de tráfico saliente tiene dos modos, uno que deja pasar todo destino desconocido y otro que solo deja pasar los destinos registrados explícitamente. Incluso el segundo es una ayuda para detectar destinos sin registrar, no un cortafuegos.

Abre la configuración de la malla.

Un destino no aprobado con 48 MB enviados merece atención, pero no una reacción a ciegas. Puede ser una exportación legítima que nadie registró (el nombre del pod lo sugiere) o una salida de datos que nadie debía permitir. Cortar sin preguntar puede romper un proceso del negocio; no hacer nada puede dejar abierta una fuga.