Cortafuegos nativo y reglas centralizadas

Un cortafuegos nativo es un elemento más de la red: inspecciona solo el tráfico que las rutas le entregan. Una política perfecta no protege un camino que lo esquiva: si una subred tiene una ruta directa hacia otra red, el cortafuegos ni se entera. Revisar la política exige revisar las rutas que apuntan a él, no solo las reglas. El modelo de reglas varía por producto; aquí se usa el común: prioridad numérica, de menor a mayor, y la primera regla que coincide decide.

Consulta reglas_de_politica. Las reglas están en orden de prioridad: la primera que coincide decide. Una regla de permitir con origen, destino y puerto en «cualquiera» o «todos», puesta «temporalmente» para una migración, deja pasar todo lo que no capturó una regla anterior y hace inútil cualquier regla posterior.

Compara los aciertos de 30 días con la prioridad de cada regla. Una regla de denegar con cero aciertos y colocada después de una regla que permite todo no ha bloqueado nunca nada: no es que nadie intentara cruzar, es que la regla anterior ya lo dejó pasar. La confusión es habitual porque, leída sola, la regla de denegar parece correcta.

Una regla de permitir con el registro apagado deja pasar tráfico sin que quede nada con qué reconstruirlo después. En la política hay reglas con la columna registro en no. Usa la consulta de las reglas que permiten y cuenta cuántas no registran. No es un fallo del cortafuegos, es una decisión de configuración que conviene justificar una a una.

Consulta rutas_de_inspeccion. Para cada subred, la tabla dice si su tráfico hacia la red de desarrollo pasa por el cortafuegos. Busca la que usa un emparejamiento directo y por tanto se salta toda la política central.