El modelo de sucursal estándar

En una cadena comercial el perímetro no está en un centro de datos: está repetido en cientos de locales pequeños, sin personal técnico y con equipos baratos. Por eso el modelo de sucursal estándar es la primera defensa. Todas las tiendas comparten las mismas zonas, los mismos flujos permitidos y la misma regla final de denegar lo no listado. Lo que cambia de una tienda a otra (número, direcciones, perfil, enlace de respaldo) se escribe como parámetro de una sola plantilla, no como reglas distintas.

Una política distinta por tienda es una política que nadie puede revisar: con 212 variantes, ninguna se audita completa y cualquier error se queda para siempre.

Una tienda pequeña no necesita una red grande, pero sí separada. La plantilla divide el local en zonas, cada una con su VLAN y su subred, y para cada zona decide hacia dónde puede salir. La separación hace que un equipo comprometido del edificio no vea las cajas y que un cliente conectado al wifi no vea nada del negocio.

Lo más barato de defender es lo que no tiene salida: un equipo que no puede iniciar conexiones hacia fuera no puede avisar a nadie, ni descargar nada.

Mira la tabla de zonas y su columna de salida.

No todas las tiendas son del mismo tamaño. La plantilla las agrupa en perfiles (pequeña, mediana, grande) que cambian el número de cajas y de enlaces, pero no las zonas ni los flujos. Los perfiles dicen cuántos equipos de cada tipo hay que esperar y cuánto respaldo de conectividad hay que mantener.

Contar cuántas tiendas dependen de un solo enlace es una cifra de riesgo: cada una es una tienda sin ventas si la fibra se cae.

Cuenta cuántas tiendas tienen más de un enlace.

Más pronto que tarde, una tienda pedirá algo que la plantilla no permite: abrir un puerto, saltarse una zona, conectar un equipo raro. La respuesta no es «no» automático ni «sí» silencioso. Una excepción se trata como un cambio a la plantilla o como una excepción documentada, con dueño, motivo y fecha de vencimiento, para que no se vuelva permanente sin que nadie lo decida.