El conducto que deja pasar de más

Un conducto bien configurado deja pasar solo el tráfico que la planta necesita de verdad —un origen concreto, un destino concreto, un puerto concreto— y niega todo lo demás por defecto. No se trata de abrir «la oficina hacia la planta», sino de permitir, por ejemplo, que un equipo puntual de la zona intermedia hable con un servicio puntual, y nada más. Lo que no está explícitamente permitido, se bloquea.

Esta es la diferencia entre una separación de verdad y una de adorno. Una regla que enumera lo poco que puede cruzar protege; una que abre en bloque y confía en que nadie abuse, no.

Cuando el conducto permite de más, el síntoma se ve en el tráfico: aparece un equipo que no tenía por qué cruzar, cruzando. En Andes Agua, un puesto cualquiera de la red de oficina alcanza directamente el puerto 502 del PLC y el controlador le responde. Ese puesto no es la HMI ni el SCADA ni un equipo de la zona intermedia: es ofimática corriente hablando con el corazón del control. Que pueda hacerlo revela que la regla del cortafuegos deja pasar toda la oficina hacia la planta.

Aprender a leer ese síntoma es lo que convierte una revisión de reglas en algo concreto. No hace falta auditar la configuración línea por línea si en el tráfico ya se ve a quien no debería llegar, llegando.

Afinada la regla —permitir solo lo imprescindible, negar el resto—, falta lo que casi siempre se olvida: comprobar que quedó como se quería, y hacerlo sin tocar el proceso. La verificación es doble. Por un lado, que la oficina ya no alcanza el 502 del PLC: eso se confirma en el tráfico o con una prueba desde un puesto de oficina, sin enviarle nada agresivo al controlador. Por otro, que la oficina sigue teniendo los datos que necesita, ahora desde la réplica del historiador en la zona intermedia, no entrando a la planta. Si las dos cosas se cumplen, el conducto quedó bien.

Cerrar sin comprobar es la forma más común de creer que algo está resuelto cuando no lo está. En OT, además, la comprobación se diseña para no reiniciar ni sondear agresivamente nada: se mira el tráfico y se prueba lo justo.

Abre la captura entre la oficina (10.10.x) y la planta (10.20.x). Busca el puesto de oficina que alcanza directamente el puerto 502 del controlador —el tráfico que el conducto no debería permitir, distinto del equipo con un pie en cada red—. Aísla esa fila y lee el código anotado.