El conjunto efectivo, lo que la lista permite de verdad

La lista no se lee como un texto, se ejecuta en la cabeza. Para cada flujo se toman sus cinco datos (origen, destino, protocolo, puerto y la interfaz y sentido por donde entra) y se recorre la lista de arriba abajo hasta la primera línea que los cubre todos. Esa línea decide. Si ninguna coincide, se aplica la negación implícita.

Lo contrario, fiarse del comentario de cada línea, es el error de revisión más repetido: el comentario dice lo que se quería, la posición dice lo que ocurre. El resultado de probar todos los flujos de interés es el conjunto efectivo de la lista, y la revisión útil lo contrasta con la política.

Consulta lineas y flujos. Hay una línea de negar para la planta, VIS-50, que protege los controladores. Pero un flujo hacia la planta, con una descripción que no es la de un controlador, llega antes a una línea de permitir con destino cualquiera, y pasa.

Prueba los doce flujos contra VIS-IN, uno por uno, de arriba abajo. Para este conteo no importa lo que la política manda: solo cuenta lo que la lista permite. Recuerda que un flujo que ninguna línea nombra se niega.

Ahora contrasta. Consulta los flujos que la política manda negar y, de ellos, cuenta los que la lista permite. Son el hallazgo de la revisión: el tráfico que la empresa dijo que no debía pasar y pasa.

Los tres incumplimientos tienen causas distintas: una línea con destino cualquiera, un permiso de protocolo sin acotar y otra con un destino demasiado amplio. La del flujo hacia una impresora de las oficinas, por web, es la que permite el protocolo a toda una red interna, cuando solo se pretendía acceso a Internet.