Rutas definidas por el usuario

Cuando varias rutas coinciden con un destino, gana la del prefijo más largo, es decir, la más específica: un /22 gana a un /0. Solo si dos rutas tienen exactamente el mismo prefijo decide el origen: primero la ruta definida por el usuario, luego la de BGP y al final la del sistema.

La consecuencia es el error más común del hub-and-spoke. Una ruta 0.0.0.0/0 hacia el firewall no desvía el tráfico hacia una red con la que hay peering, porque el peering crea una ruta del sistema con el prefijo exacto de esa red, más específica que la tuya. Para forzar ese tráfico por el firewall hay que escribir una ruta propia con el mismo prefijo que el de la red remota.

Una tabla de rutas solo actúa sobre las subredes a las que se asocia. Una subred nueva nace sin tabla, y mientras no se asocie recibe únicamente las rutas del sistema: sus máquinas salen a internet y hablan con los peerings por su cuenta, sin pasar por el firewall. Por eso una revisión empieza comparando la lista de subredes con la lista de asociaciones.

Abre el laboratorio. asociaciones.txt trae, para cada tabla, las subredes que usa, y al final las que no tienen ninguna.

La tabla que escribiste es la intención; las rutas efectivas de una interfaz de red son el resultado. Muestran cada prefijo, de dónde viene la ruta (Default si es del sistema, User si es tuya), su estado y el tipo de siguiente salto. Los tipos de siguiente salto que puedes elegir tú son una puerta de enlace de red virtual, una red virtual local, internet, un dispositivo virtual (la dirección del firewall) o ninguno. Los demás los pone el sistema.

rutas-efectivas-vm-ventas-web01.txt es la salida de la interfaz de una máquina de la subred sin tabla. Mira el siguiente salto que usa para llegar a la red de la planta, 10.172.8.0/22.

Con el siguiente salto None el tráfico a ese prefijo se descarta. Es una herramienta legítima: sirve para impedir que una red alcance un destino, y es un candidato frecuente a ser un resto olvidado de una prueba. En una revisión se toma nota de cada ruta None y se pregunta si el bloqueo sigue siendo necesario.

En tablas-de-rutas.json hay una ruta con siguiente salto None. Lee su prefijo.

Un dispositivo virtual como el firewall se alcanza por su dirección privada. Una ruta con una dirección que no es la suya manda el tráfico a un destino distinto: si nadie contesta, el tráfico se pierde; si contesta otra máquina, se entrega a quien no debía. Y a ojo es fácil no verlo, porque todas las direcciones empiezan igual.

La dirección privada del firewall está en encargo.txt. Revisa en tablas-de-rutas.json la ruta 0.0.0.0/0 de cada tabla.