Salida centralizada e inspección

En una arquitectura de salida centralizada todas las subredes tienen como ruta por defecto un mismo punto de control (un cortafuegos o un grupo de ellos). Ahí se aplican las reglas, la inspección y el registro de todo lo que sale. Ganas coherencia y visibilidad: una política, un lugar donde mirar. A cambio, ese punto es una dependencia: si cae o se satura, cae la salida de todos, y por eso se dimensiona y se replica.

Centralizar no basta con declararlo: cada subred decide por su tabla de rutas a dónde manda su tráfico hacia el exterior. Basta con que una subred tenga una ruta por defecto hacia la puerta de internet directa para que su tráfico se salte el cortafuegos y todo lo que este registra. Suele pasar con subredes creadas para un proyecto «temporal» de análisis o de pruebas. Consulta subredes.

Las reglas de salida deberían nombrar destinos concretos: una aplicación que necesita hablar con una pasarela de pagos tiene una regla hacia esa pasarela. Una regla hacia «cualquiera» en el puerto 443 equivale a no tener regla, porque casi todo el tráfico moderno viaja por ese puerto, incluido el que no se quiere. Lo habitual es que nazca como solución de emergencia («abramos un momento para que funcione») y nadie la retire. Si además se exime de inspección TLS, nada la vigila. Consulta reglas_cf.

Una salida que se salta el cortafuegos no se ve en sus registros, y por eso hay que reconstruirla con lo que sí queda: los registros de flujo de la subred o la puerta de internet. El extracto de flujos_salida muestra la columna via. Suma lo que la subred que se escapa envió hacia un mismo destino sin pasar por el cortafuegos; el flujo de otra subred hacia ese destino sí pasó y no se cuenta.

La inspección TLS consiste en que el cortafuegos descifra una conexión, la revisa y la vuelve a cifrar con un certificado de la propia empresa. Permite ver malware o fugas dentro del tráfico cifrado, pero tiene un costo: capacidad, certificados que gestionar y un contenido que se lee de más. Por eso se excluyen categorías concretas y se documenta cada exclusión: servicios con certificados fijados que se rompen al inspeccionar (como el de la pasarela de pagos de la tabla) y destinos de salud o banca en los que leer el contenido no se justifica.