Reglas que no se traducen uno a uno

Una regla es el texto que se ve y el comportamiento que lo rodea: el orden de evaluación, lo que ocurre dentro de una misma zona, cómo se cuentan las sesiones o qué perfil de inspección se aplica. Dos equipos pueden aceptar la misma línea y comportarse distinto, porque lo que cambia es todo lo que no está escrito en ella.

El objetivo de la migración no es que la configuración nueva se parezca a la vieja, sino que el tráfico permitido y el denegado sean los mismos que se decidieron mantener. Por eso se compara el comportamiento con pruebas, y las reglas que dependen de algo implícito se tratan aparte.

Algunos equipos permiten por defecto el tráfico entre equipos de una misma zona, y otros lo deniegan, según el fabricante y la configuración. Si el equipo viejo permitía ese tráfico sin ninguna regla, nadie lo anotó: funcionaba. Cuando el equipo nuevo parte de otra regla por defecto, ese tráfico se corta el día del corte y no hay regla que revisar, porque nunca la hubo.

Esa clase de dependencia solo se encuentra preguntando qué se apoyaba en el comportamiento por defecto. Consulta la tabla de reglas especiales.

Cada regla de la tabla tiene una columna que dice si el equipo nuevo tiene un equivalente directo, uno parcial o ninguno. Las directas se traducen con un reemplazo revisable. Las parciales y las que no tienen equivalente requieren una decisión humana: rediseñarlas, aceptar una diferencia o consultar al dueño. Contarlas dimensiona el trabajo y el tiempo que hay que pedir.

Cuenta las reglas cuyo equivalente es «no» o «parcial».

Una de las reglas se apoya en un perfil de inspección propio del fabricante viejo, con un nombre que no existe en el nuevo. Buscar el perfil «más parecido» por nombre es un atajo peligroso: dos perfiles que se llaman parecido pueden revisar cosas distintas. Lo correcto es partir de lo que la regla debía conseguir y de cómo se comporta el tráfico real, definir el control en el equipo nuevo con el equipo de seguridad y comprobarlo con pruebas.