Registros de tráfico y el efecto del NAT

Un cortafuegos con estado registra cada sesión: una conversación completa, con su origen, su destino, el puerto, la aplicación, la regla que se aplicó, la acción y los bytes. En muchos equipos la entrada se escribe al cerrar la sesión, aunque eso es configurable y cambia por fabricante.

Cuando hay NAT, cada lado figura dos veces: la dirección original (la que traía el paquete) y la traducida (la que sale del equipo). Mirar solo una de las dos lleva a conclusiones erradas: la dirección interna no se ve desde fuera, y la pública no dice qué equipo interno está detrás.

En este extracto, cuando la acción es denegar la sesión no llega a traducirse y la traducida figura como sin traducir; otros equipos registran lo negado de otra manera.

En una sesión que llega desde Internet a un servicio publicado, ip_destino es la dirección pública a la que fue el visitante y ip_destino_traducida es la del servidor interno que atiende. Es la forma de cruzar el registro con el inventario y con la tabla de traducciones.

Abre la consola y consulta sesiones. Busca las sesiones que llegaron a la dirección pública del portal de pedidos, por el puerto 443.

Para atribuir una sesión saliente hay que partir de la dirección traducida que vio el sitio externo, y buscar en el registro del cortafuegos las sesiones con esa dirección. Entre ellas, la de más bytes es la candidata a explicar el aviso, aunque la conclusión se confirma con otros registros (como el del servicio que asigna direcciones a los equipos). Aquí solo se atribuye al equipo, nunca a una persona.

En la consola, consulta las sesiones con la dirección traducida que menciona el aviso.

El registro cuenta también lo que no pasó. Las sesiones negadas muestran lo que alguien intentó y la regla no dejó. Si un mismo equipo interno aparece negado contra bases de datos y carpetas compartidas, en segundos y desde la red de visitas, el registro describe una conducta que merece atención, aunque no haya habido daño.

El hallazgo se escribe con lo que el registro prueba y sin decir más. Prueba que, a las 09:08, una sesión de ese equipo envió un volumen muy superior al resto y que a las 09:10 hubo dos intentos negados contra servidores internos. No prueba por sí solo la intención ni quién estaba al teclado: para eso hay que contrastar con los registros de la red inalámbrica y las políticas de uso, y esa conversación es del dueño de la red de visitas.