Abiertas, vencidas y sin dueño

Una regla de permitir con origen, destino y servicio en cualquiera deshace el diseño: lo que venga debajo deja de aplicarse. Suelen nacer como arreglo temporal y quedarse. Consulta las reglas con origen cualquiera; algunas son de negar y otras abren solo un destino, así que hay que leer las tres columnas.

Todo lo que una regla de permitir deja abierto a Internet es superficie de ataque, y la administración remota del propio cortafuegos es de lo más delicado que se puede abrir ahí. Un acceso a una interfaz de administración debería salir de una red de gestión, no de cualquier punto de Internet. Consulta las reglas con origen Internet y los objetos para saber qué es cada destino.

Una regla temporal lleva su fecha de vencimiento y una persona responde por ella. Una vencida que sigue activa es una promesa incumplida: se evalúa y deja pasar tráfico como si nada. Para saber si venció se compara con la fecha de corte de la revisión, no con el día en que la lees. Las que vencen después del corte siguen vigentes, y las deshabilitadas ya no se evalúan.

Según la política, una regla de permitir necesita un dueño con nombre de área: sin él no hay a quién preguntar si todavía hace falta, y cualquier cierre es una apuesta. Cuenta las reglas activas que no tienen dueño; las que están deshabilitadas son limpieza, no riesgo.

La regla de administración desde Internet está vencida desde marzo de 2026, no tiene dueño y tuvo 214 aciertos en 90 días: alguien la usa. Esa mezcla pide cuidado y no un impulso: quitarla a ciegas puede cortar al proveedor en medio de un trabajo, y dejarla es dejar la puerta de administración abierta.