Leer un conjunto de reglas

El cortafuegos evalúa las reglas de arriba abajo y gana la primera que coincide; las de abajo no se miran. Eso tiene dos consecuencias que se ven en cualquier exportación. Una regla amplia puesta antes de una específica la tapa: la específica nunca llega a aplicarse. Y una regla que solo repite lo que otra anterior ya permite no cambia nada, pero sí añade ruido a la revisión.

La columna aciertos_90_dias es la evidencia: una regla con cero aciertos en un trimestre o no hace falta, o está tapada.

Una regla con origen, destino y servicio en cualquiera y acción de permitir se llama any-any. En la práctica, deshace todo el diseño: lo que venga debajo deja de aplicarse. Suelen nacer como un arreglo «temporal» para un caso urgente y quedarse años, porque quitarlas da miedo.

Consulta reglas y localiza la que permite todo. Fíjate en el comentario que la acompaña.

La política de la empresa dice que las visitas no llegan a los servidores internos, y hay una regla que lo expresa. Lo que decide si esa regla protege algo no es que esté escrita, sino que esté antes de cualquier regla que coincida con ese tráfico.

Compara el orden de la regla de negar para las visitas con el de la regla de la tarea anterior.

Filtra la tabla por aciertos_90_dias igual a cero y cuenta. Esas reglas son candidatas a revisión, no a borrado automático: cada una puede estar tapada, ser redundante o servir a algo que ocurre pocas veces al año, y solo la revisión con su dueño lo dice.

La regla temporal lleva un número de caso y una fecha de hace casi año y medio. Quitarla de golpe puede cortar un servicio que depende de ella sin que nadie lo sepa; dejarla es dejar todo abierto. El método es el mismo de cualquier regla vieja: mirar qué tráfico la usa, reemplazarlo por reglas concretas, y solo entonces retirarla.