HISTORIA · 04 ACTAS · DICTAMEN PROVISIONALPOR Arcotangana · PUBLICADO · REVISADO
Segmentación de red doméstica: siete fronteras y un paquete indiferente
Las VLAN quedaron preciosas en el esquema. Luego apareció el detalle administrativo: el cortafuegos evalúa el tráfico donde entra, no donde el dibujante desea que se sienta protegido.
Bautizar una frontera produce una seguridad muy decorativa
La red plana ofrecía una paz excelente: todos confiaban en todos y nadie debía explicar por qué. Los servicios antiguos respiraban, cada máquina nueva heredaba ciudadanía plena y cualquier descubrimiento lateral se consideraba una cortesía. Dividirla en zonas produjo un esquema magnífico. Clientes aquí, cacharros allí, servidores al fondo. Durante unas horas hubo incluso satisfacción profesional.
Después intervino el tráfico. Una VLAN separa dominios; no redacta una política por el mero hecho de recibir nombre y color. El cortafuegos decide al entrar el paquete por una interfaz. Una regla escrita desde la intuición del destino podía ser lógica, legible y completamente ajena a la conversación que pretendía impedir.
La frontera estaba terminada en el diagrama. Los paquetes no habían sido consultados.
El paquete entra por donde entra, no por donde conviene
La pregunta correcta no era «qué protege a los servidores», sino «por dónde comparece quien inicia la conexión». Los clientes humanos inician muchas y suelen necesitar servicios reconocibles. Mudarlos primero permitía observar sus peticiones sin operar todavía a las máquinas veteranas, criaturas famosas por depender de algo que nadie recuerda hasta que deja de responder.
La red antigua quedó como zona heredada de servidores. Nadie la declaró terminada ni segura por decreto. Era un andamio: trasladar una población completa, cortar movimientos laterales evidentes y recoger tráfico real antes de repartir los servicios críticos entre fronteras más serias.
Dentro de la misma habitación no hay aduana
La capa 2 presentó después su recurso. Dos equipos del mismo segmento hablan sin acudir al cortafuegos, de la misma manera que dos vecinos del mismo rellano no pasan por la aduana para intercambiar un destornillador. Ninguna regla entre zonas gobierna una conversación que jamás abandona la zona.
El almacenamiento crítico no queda protegido porque su red tenga un nombre solemne. Si el riesgo lo exige, necesita frontera propia o controles en el servicio. El esquema pierde algo de belleza y gana una cosa menos fotogénica: una lista explícita de quién confía en quién y para qué.
La VLAN reduce el vecindario. No impide que dos vecinos se pasen la sal.
La noche heroica fue cancelada por mantenimiento
Se canceló la gran noche de migración, esa tradición en la que todo cambia a la vez y a las cuatro de la mañana alguien aprende DNS por necesidad. Cada paso debía tener una población pequeña, una hipótesis y una vuelta atrás. Primero clientes; luego observación; después excepciones con nombre y, finalmente, servicios cuyo comportamiento ya podía describirse sin recurrir a la fe.
El resultado no fue una red terminada. Fue algo más útil: una red capaz de confesar qué seguía heredado, qué dependencia impedía mover una máquina y qué frontera existía todavía en régimen de promesa electoral. La captura perdió pureza. El diagnóstico ganó domicilio.
Las excepciones recibieron expediente: quién las pedía, qué tráfico permitían y qué señal autorizaría retirarlas. Sin esa memoria, «temporal» es solo una palabra que las reglas usan para jubilarse en producción. Segmentar progresivamente no consiste en acumular permisos viejos dentro de redes nuevas.