Terminales de pago y su aislamiento

Un datáfono necesita hablar con un único tipo de destino: el procesador que autoriza las compras. No necesita ver las cajas, ni la central, ni internet en general. Así que se le pone en su propia zona y se le permite salir solo hacia las direcciones del procesador, negando todo lo demás.

Esto sirve a dos fines. Si algo falla en otra zona de la tienda, no llega a los datáfonos. Y se reduce el alcance de lo que hay que proteger y auditar para cumplir con los requisitos de la industria de tarjetas de pago: cuanto menos redes toquen los datos de pago, menos redes entran en la revisión. La separación de redes no es en sí misma un requisito, es la forma habitual de lograr esa reducción.

El diseño dice una cosa y el cable dice otra. La separación en zonas se construye en el conmutador: cada puerto pertenece a una VLAN, y un equipo conectado al puerto equivocado cae en la zona equivocada, con las reglas equivocadas. Es un error común del instalador y la forma más simple de que una plantilla perfecta no se cumpla en la tienda.

Para detectarlo se cruza el inventario de puertos con lo que la plantilla espera: los datáfonos van en la VLAN de pagos (30) y las cajas en la de cajas (20).

Mira lo que hay conectado en la VLAN de cajas.

Con la zona de pagos bien armada, el registro del cortafuegos es la prueba de que funciona. Las conexiones permitidas hacia el procesador son lo normal; las denegadas son lo que hay que leer, porque dicen quién intentó algo que la plantilla no permite.

La plantilla solo autoriza dos destinos desde la tienda: el procesador de pagos y la central. Cualquier otro destino que aparezca denegado fue un intento fuera de lo previsto. Para saber quién fue, la dirección de origen se busca en el inventario de puertos.

Ver que un datáfono intentó salir a un destino desconocido no es todavía un incidente confirmado: puede ser una actualización, un servidor de hora distinto o un equipo con una configuración vieja. Tampoco es algo que se arregle abriendo la regla para que «deje de salir la alerta». Abrir el destino sin entenderlo borra justo la señal que lo habría explicado.

El camino prudente es investigar con autorización: identificar el equipo, preguntar a quien administra las terminales (el procesador o el proveedor del equipo) si ese destino es esperado, y decidir después, por escrito, si la plantilla lo incluye.