Invitados y segmentación, leídos en las reglas

Una VLAN separa el tráfico en el nivel de enlace: dos equipos de VLAN distintas no se ven directamente. Pero casi siempre hay un cortafuegos o un enrutador que comunica las VLAN, y ahí es donde se decide qué pasa. La segmentación real es la suma de dos cosas: la separación y las reglas entre redes.

El aislamiento de clientes es otra cosa: impide que dos equipos de la misma red inalámbrica se hablen entre sí. Protege a un huésped de otro huésped, pero no dice nada sobre el paso hacia otras VLAN.

El cortafuegos evalúa las reglas en orden y aplica la primera que coincide. Una excepción temporal escrita antes de las denegaciones las deja sin efecto para ese caso concreto, y es un clásico: se abre para una prueba y nadie la cierra.

Abre las reglas de la VLAN de huéspedes y lee a qué equipo de la red del personal se llega antes de que se evalúen las denegaciones.

Una regla permisiva en el papel es un riesgo; una regla permisiva usada es un hecho. El registro del cortafuegos dice qué regla decidió cada conexión y permite pasar de «podría» a «ocurrió». Para el informe hace falta la cifra exacta, con el filtro correcto: solo lo permitido y solo hacia ese equipo.

No toda excepción es una puerta de atrás: a veces la regla es legítima en su intención y demasiado ancha en su forma. Escribir «cualquiera» como puerto en una regla que solo necesitaba dos puertos es muy común y se corrige con una línea.

Lee la lista completa de reglas y busca la que permite cualquier puerto hacia la red de administración. Después, con la tabla de VLAN, traduce el origen de esa regla al nombre de la red.

Una remediación útil dice qué se cambia y por qué alcanza. Una que dependa de la memoria de alguien o de otra clave compartida no es una remediación, es un recordatorio.