Sombras y redundancias en trescientas reglas

El cortafuegos evalúa de arriba abajo y gana la primera regla que coincide. Una regla de negar queda sombreada cuando otra anterior de permitir ya cubre todo su tráfico: su origen, su destino y su servicio. Para compararlas hay que abrir los grupos con la tabla objetos: un origen que dice GRP-REDES-INTERNAS incluye a todos los miembros del grupo, también a las visitas. Lee el borde de Internet y busca la regla que niega a las visitas el acceso a contabilidad.

Una regla de negar sin aciertos no está siempre tapada: puede no haber recibido nada porque nadie intentó pasar, y entonces cumple su trabajo en silencio. Lo que la vuelve una sombra es que una regla de permitir anterior ya cubre su tráfico. La regla final, la que cierra el conjunto, también se puede tapar. Mira las reglas de negar y las de cero aciertos, y descarta las que no tienen ninguna regla de permitir encima que las cubra.

Una regla de permitir es redundante cuando otra anterior de permitir ya cubre todo su tráfico: no cambia lo que pasa, solo añade ruido a la revisión y confunde a quien la lea. La cobertura se mide por contenido: un destino concreto está dentro del grupo que lo contiene. En la planta, mira lo que las pantallas pueden alcanzar de los controladores de la línea 1.

Ahora recorre los cuatro cortafuegos. Cuenta solo las reglas de permitir cubiertas por una anterior de permitir; las de negar tapadas ya las contaste. La cobertura solo va hacia abajo: una regla posterior más amplia no vuelve redundante a una anterior más estrecha, porque la estrecha se evalúa primero y cumple su trabajo. Ojo también con las deshabilitadas: no se evalúan y no cuentan.

En el centro de datos, una regla de negar protege la base de facturación de las sucursales y nunca se aplica, porque una regla de permitir anterior deja entrar a cualquiera a la base. Esa regla de permitir no tiene dueño y sí tuvo tráfico en 90 días. La de negar expresa la política; el problema está encima de ella.