Red privada y puntos de enlace

Un punto de enlace privado le da al servicio de modelos una dirección dentro de tu red. Las aplicaciones que lo usan llegan al modelo sin pasar por internet, y el tráfico se puede vigilar y filtrar como cualquier otro tráfico interno. Pero crear el punto de enlace no cierra la puerta pública: el servicio sigue respondiendo en su nombre público hasta que alguien desactiva expresamente el acceso público. Mientras las dos puertas están abiertas, cualquiera que tenga una credencial válida puede elegir la que le convenga.

Por eso una revisión de red de un servicio de modelos mira dos cosas por separado: si existe el camino privado y si el camino público sigue abierto, y para quién.

Los recursos de desarrollo suelen nacer con los valores por defecto, y el valor por defecto de muchos servicios es aceptar llamadas desde cualquier red. Parece inofensivo porque «es solo desarrollo», hasta que alguien copia conversaciones reales para probar o reutiliza una credencial de producción. Una revisión de cuenta no se limita a producción: lista todos los recursos y mira cómo está abierto cada uno.

Una aplicación no elige el camino privado: lo elige su DNS. El nombre del servicio es el mismo dentro y fuera, y lo que cambia es a qué dirección resuelve. Dentro de una red vinculada a la zona DNS privada, el nombre apunta a la dirección del punto de enlace; en una red que no está vinculada, el mismo nombre apunta a la dirección pública y la aplicación sale por internet sin que nadie lo note. Si además la salida a internet de esa red está en la lista de direcciones permitidas, todo funciona y nada avisa.

Una lista de direcciones permitidas es tan buena como su mantenimiento. Las entradas que se añaden «para unas pruebas» rara vez se quitan, y cada una es una puerta para quien esté detrás de esa dirección. Por eso la lista se lee contra dos fuentes: el inventario de redes de la empresa y el registro de accesos real.

Desactivar el acceso público es la meta, pero hacerlo antes de mover a quien depende de él deja sin servicio a las aplicaciones que todavía salen por internet. El orden importa: primero se lleva cada uso legítimo al camino privado, después se retira lo que no tiene dueño y, al final, se cierra la puerta y se comprueba en los registros que todo el tráfico llega por el punto de enlace.