Plantillas de configuración y variables

La plantilla contiene lo que es igual en todos los equipos y marca con dobles llaves lo que cambia, como hacen muchas herramientas de plantillas. Las variables son los datos de cada equipo, de cada grupo o de toda la empresa. Una regla práctica: si una decisión de seguridad cambia de un equipo a otro, es una variable; si es política de todos, es texto de la plantilla.

Consulta plantilla y observa qué líneas llevan marcas y cuáles no.

Si una plantilla pide una variable que nadie definió, algunas herramientas se detienen con un error y otras la dejan vacía. Lo segundo es peor: la configuración se genera, parece correcta y falta una línea que importaba. Por eso se compara lo que la plantilla pide con lo que cada equipo define.

Revisa variables_de_equipo de fw-bodega-3 contra las marcas de plantilla, y mira la línea 6 de generado.

Un valor puede definirse en varios sitios: por defecto, por grupo y por equipo. Siempre hay un orden de precedencia, y quien escribe la configuración tiene que conocerlo. Aquí la tabla precedencia dice que el orden 1 gana sobre los demás. Si no se conoce el orden, un valor puesto «para este equipo» puede quedar tapado, o tapar el de todos sin que se note.

Busca el valor de tiempo_ssh en los tres sitios y aplica el orden.

Un archivo de variables se versiona, se copia y lo lee mucha gente. Un secreto escrito ahí queda en el historial para siempre, aunque después se borre. En este escenario el valor es un marcador evidente de laboratorio, no una credencial real, pero el hallazgo es el mismo que con una real.

Consulta variables_de_equipo y mira cuál de las variables guarda un valor que no debería estar en claro.

La plantilla puede pedir el secreto y el archivo de variables puede decir de dónde sacarlo, pero el valor mismo vive en un almacén de secretos con acceso controlado, o en una herramienta de cifrado de archivos, y se rota por separado. Así el repositorio sigue siendo legible sin ser peligroso.