Orden de evaluación y reglas sombreadas

El cortafuegos evalúa las reglas de arriba abajo y aplica la primera cuyo tráfico coincide en zonas, direcciones, aplicación y usuarios; las de abajo no se miran. De ahí salen tres situaciones que conviene nombrar. Los nombres varían por fabricante; aquí se usan estos:

• Regla sombreada: otra regla anterior coincide con todo su tráfico y tiene la acción contraria. La sombreada nunca se aplica. Es el caso peligroso cuando la sombreada es una regla de negar.
• Regla redundante: otra regla anterior coincide con todo su tráfico y tiene la misma acción. No cambia nada, pero ensucia la revisión.
• Regla inalcanzable: queda debajo de una regla que coincide con todo, como la regla final de negar. Nunca se evalúa.

La política de la empresa dice que las visitas no llegan a los servidores, y hay una regla que lo expresa. Pero una regla de negar solo protege algo si ninguna regla anterior coincide con ese tráfico.

Abre la consola y consulta las reglas que niegan. Hay dos: la regla final, que es normal, y otra que expresa una política concreta de la empresa y tiene cero aciertos en 90 días.

Para saber qué regla sombrea a otra no basta con ver que está más arriba: tiene que coincidir con todo lo que la de abajo cubre. Compara el origen, el destino y la aplicación de la regla de negar con los de las reglas anteriores. Una de ellas tiene un origen que contiene la subred de las visitas, un destino que contiene a los servidores y la aplicación cualquiera.

La regla O-01 permite el sistema de inventario y facturación desde Usuarios hacia toda la subred de servidores. Otra regla, más abajo, permite lo mismo hacia un único servidor de esa subred, de la misma zona de origen y con la misma acción: no añade nada. Se llama redundante y es candidata a retirar, siempre con su dueño y no por iniciativa de quien revisa.

En la consola, mira las reglas con cero aciertos y busca la que cumple esa descripción.

Una regla con cero aciertos en un trimestre o está sombreada, o es redundante, o es inalcanzable, o atiende algo que ocurre pocas veces al año. Para decidir entre esas causas hay que mirar el orden y el dueño; el contador solo señala dónde mirar. Una de las reglas con cero aciertos está debajo de la regla final de negar: nunca se evalúa.