Dónde escucha el sensor pasivo y qué se le escapa

Hay dos formas habituales de darle a un sensor una copia del tráfico. La primera es un puerto espejo (SPAN): una función del conmutador que repite en un puerto de salida lo que pasa por otros puertos. La segunda es una toma de red pasiva (tap): un dispositivo intercalado en un enlace que saca una copia de los dos sentidos sin depender de la configuración del conmutador. En ambos casos el sensor recibe una copia y el tráfico original sigue su camino sin pasar por él.

Se parecen, pero no son iguales. El espejo se configura, y si alguien lo cambia o lo olvida deja de copiar sin que nada falle en la planta. Además comparte el equipo con el reenvío de tráfico y, si lo que se copia no cabe en el puerto de destino, el conmutador descarta la copia, no el tráfico real. La toma pasiva no depende de la configuración del conmutador y copia el enlace completo, a cambio de un equipo más y de una intervención física que se programa con operaciones.

Un sensor instalado no es una zona vigilada. La cobertura se comprueba conmutador por conmutador: qué puertos copia cada uno, hacia qué sensor y en qué sentido. Un conmutador sin copia deja una parte de la planta fuera del monitoreo, y lo peor es que ese silencio parece buena noticia: no hay alertas de esa zona, porque nadie las puede generar.

Por eso la primera revisión de un monitoreo pasivo no empieza por las alertas sino por el mapa de cobertura. Antes de fiarte de que una zona está tranquila, compruebas que alguien la está escuchando.

Un puerto espejo tiene una capacidad: la del puerto de destino. Si los puertos copiados mueven más de lo que ese puerto puede sacar, el conmutador descarta parte de la copia. El sensor nunca se entera de lo que no recibió; solo cuenta lo que le llegó. Pero el motor de análisis sí lleva una cuenta propia: cuántos paquetes recibió (kernel_packets) y cuántos descartó antes de analizarlos (kernel_drops).

La pérdida se expresa como porcentaje: kernel_drops dividido entre kernel_packets, por cien. Una pérdida pequeña es normal; una grande significa que el monitoreo está mirando una versión incompleta de la planta, y que cualquier alerta que dependa de un paquete concreto puede no haberse dado nunca. Compara también lo que se copia con lo que cabe en el puerto de destino: ahí está la causa.

No toda comunicación industrial es Ethernet. Entre un PLC y sus variadores, o entre un sensor y su transmisor, hay buses serie y lazos analógicos que no pasan por ningún conmutador. Ninguna copia de puerto los recoge, y ningún sensor pasivo de red los verá nunca, por buena que sea la cobertura. Eso no se arregla con otro sensor de red: es un límite del método y se declara en el informe, junto con lo que sí se puede mirar por otras vías (los registros del propio PLC, la revisión de configuración o la inspección en planta).

Un monitoreo honesto dice qué ve y qué no. Presentar la cobertura de una red como cobertura de toda la planta es una promesa que el método no puede cumplir.