Las redes de AWS y de Azure

Dos redes conectadas al mismo punto de tránsito necesitan rangos de direcciones que no se solapen: si uno contiene al otro, la ruta hacia el rango común es ambigua y el tránsito no puede decidir a quién enviar el tráfico. El solapamiento no siempre es evidente porque los rangos pueden tener prefijos distintos.

Una ruta en estado blackhole descarta el tráfico en silencio: apunta a un adjunto que ya no existe o está desconectado. No genera errores, solo paquetes que desaparecen. Las rutas estáticas olvidadas son su causa más habitual, porque una propagada se retira sola cuando el adjunto se va.

Con el orden estricto, el firewall de red evalúa sus reglas con estado por número de prioridad, de menor a mayor, y la primera que coincide decide el destino del paquete; las demás no se miran. Una regla de bloqueo colocada detrás de una más amplia que deja pasar nunca llega a evaluarse para esos flujos.

Un peering de Azure solo mueve tráfico cuando está en estado Connected; los estados intermedios o desconectados significan que una de las dos mitades falta o se borró. El tráfico hacia esa red virtual deja de fluir aunque el resto de la topología se vea completa.

Un grupo de seguridad de red de Azure evalúa sus reglas por prioridad, de menor a mayor número, y se detiene en la primera que coincide con el origen, el destino y el puerto. El orden en que aparecen escritas no importa. Una regla de denegación solo protege a los orígenes que realmente cubre su rango.