Cortafuegos como servicio y salida de sucursales

El cortafuegos como servicio ve el tráfico que llega a él: normalmente la salida de las sucursales hacia internet y hacia las aplicaciones en la nube. Aplica reglas con estado, por aplicación y por categoría, y registra de forma central.

No ve el tráfico que se queda dentro del sitio, entre equipos de la misma red local, ni el que sale por un camino que no pasa por el servicio. Para lo primero siguen haciendo falta la segmentación y los controles locales.

Consulta sucursales. La columna salida_a_internet dice por dónde sale cada sitio: por el servicio, directa, o por los dos caminos. Una sucursal que sale solo de forma directa no tiene ninguna de las reglas del servicio.

Cada regla debería decir quién responde por ella y si deja registro. Una regla que permite un puerto de administración remota hacia un rango externo, sin registrar y sin dueño, es una puerta abierta de la que nadie llevaría la cuenta si algo ocurriera.

Consulta reglas_fwaas y fíjate en las columnas registro y dueno.

La columna via de flujos_manana dice por dónde pasó cada flujo y regla cuál lo cubrió. Los flujos directos no tienen regla del servicio: se escaparon de la política, aunque la sucursal que los origina figure como «cubierta».

Al mandar la salida por el servicio, la dirección pública con que un sitio aparece en internet deja de ser la de su enlace y pasa a ser la del servicio. Los socios que permiten entrar solo desde ciertas direcciones tienen que enterarse, o dejarán de dejar pasar a la empresa, o seguirán permitiendo direcciones que ya no se usan.

Mira listas_de_socios y sucursales para entender quién depende de qué dirección.