Conjuntos, listas y mantenimiento de grupos

Un conjunto anónimo se escribe dentro de la regla, entre llaves: tcp dport { 443, 445 }. Vive y muere con la regla y no se puede actualizar aparte. Un conjunto con nombre se declara por separado, y las reglas lo citan con @nombre.

La diferencia práctica es el mantenimiento: para añadir o quitar un elemento de uno con nombre no se toca la regla que lo usa. Y esa misma comodidad es el riesgo, porque nadie vuelve a mirar el conjunto cuando la regla no cambia.

Un conjunto de direcciones declara su tipo (ipv4_addr) y puede llevar banderas. interval hace que el conjunto admita rangos y redes en notación CIDR, no solo direcciones sueltas. timeout hace que cada elemento caduque tras un tiempo.

Un conjunto de bloqueo con timeout se limpia solo: una dirección bloqueada hace tres meses deja de estarlo sin que nadie lo recuerde. Un conjunto de permitir sin caducidad guarda para siempre a quien entró una vez.

Consulta elementos del conjunto de administradores de SSH. Cada elemento trae la fecha de alta y el motivo que dejó quien lo agregó. Uno de los motivos cuenta que el contrato de la persona ya terminó.

Cruza conjuntos con reglas. Una de las reglas de descartar usa un conjunto con nombre y lleva 90 días sin un solo acierto. Mira cuántos elementos tiene ese conjunto y qué banderas.

Un elemento sin motivo registrado es un elemento que nadie puede defender en una auditoría ni retirar con tranquilidad. En la columna motivo, la exportación escribe «sin registro» cuando quien lo agregó no dejó nada.