Cómo documentar una excepción del bloqueo de VPN para que se pueda eliminar

Los desvíos cuyo propósito se fue con su autor son los que sobreviven a su utilidad, y las políticas de bloqueo los acumulan más rápido que cualquier otro tipo de configuración. Una excepción escrita como «permitir la red local» es una regla que nadie puede defender y nadie puede retirar, porque el requisito que la respalda se marchó con la persona que la añadió. Esas políticas fallan porque arrastran exenciones cuya razón se evaporó mientras el riesgo se quedó. El momento de escribir el alcance, el comportamiento ante fallos y el paso de eliminación es el momento en que añades la excepción, mientras alguien todavía recuerda por qué.

Esto es una decisión sobre lo que debe contener la nota, no una plantilla que rellenar. Los cuatro campos de abajo son los que deciden si un revisor puede eliminar la regla un año después sin una reunión. Cada uno existe porque su ausencia tiene un coste previsible.

Por qué un desvío sin documentar nunca se retira

Un desvío sin descripción no se puede probar y, por tanto, no se puede eliminar con seguridad. Sobrevive a cada revisión porque borrar parece arriesgado mientras que conservar parece inofensivo, y cada revisión que lo pasa por alto hace que la siguiente también sea más fácil de pasar por alto. El coste es invisible hasta que una auditoría pregunta por qué un rango privado está exento, y para entonces la respuesta es un encogimiento de hombros.

El registro tiene que ser lo bastante corto para que la gente lo escriba de verdad en la ventana de cambio. Una línea para el tráfico, una para el requisito al que sirve.

Escribir el alcance como tráfico

Enumera la aplicación o el rango de destino, las familias de direcciones implicadas, el servicio y el puerto, y el contexto de red en el que se aplica la regla; después nombra al aprobador y la configuración exacta del cliente o de la plataforma que la soporta. «Impresora» es una intención; «TCP 631 a 192.168.1.50, solo red doméstica» es un alcance que alguien puede verificar. Si la respuesta a «dónde vive esto» es «en algún lugar del perfil MDM», el registro no está terminado. Una ruta de archivo, un nombre de perfil o una clave de registro vale más que una descripción de dónde podría estar la configuración.

Donde la plataforma admite reglas por aplicación, prefiérelas a los rangos de direcciones, porque permitir que una aplicación se salte el túnel es más estrecho que eximir toda una subred privada y sobrevive a que el dispositivo se mueva a una dirección nueva. La guía de VpnService de Android describe ese modelo por aplicación; los clientes de escritorio expresan la misma idea mediante sus propios ajustes de perfil. Las exenciones basadas en direcciones son el recurso cuando la plataforma no ofrece nada más estrecho, y por eso necesitan una línea de alcance más precisa.

Cuatro tipos de excepción, cuatro riesgos de eliminación

Las excepciones no son una sola categoría, y eliminarlas tiene consecuencias distintas. Compartir una sola línea entre dos tipos es la forma en que retirar una impresora también retira la capacidad de conectarse.

Mantén las excepciones de arranque, portal, dispositivo y aplicación en líneas separadas aunque en la práctica se solapen. Una exención de rango privado concede en silencio acceso a cada vecino de esa subred en lugar del único dispositivo que querías alcanzar, y esa es la diferencia entre un alcance que puedes defender y otro en el que solo confías.

Qué hace el desvío cuando cae el túnel

Haz tres preguntas y escribe las respuestas, porque deciden si el bloqueo es real. ¿La excepción sigue siendo utilizable cuando cae el túnel: en un portal cautivo debe serlo, o nadie podrá iniciar sesión nunca, mientras que en un recurso privado normalmente no debe serlo, o la política es decorativa. ¿Se aplica en todas las redes o solo en el entorno previsto, ya que una regla limitada a la subred doméstica se comporta muy distinto en una red pública que casualmente usa el mismo rango. Cada respuesta cambia tanto la regla como la nota, así que una pregunta sin responder es una decisión que otra persona tomará mal más adelante.

La tercera pregunta es qué ocurre cuando el destino cambia su dirección, donde las exenciones basadas en dominio y en dirección divergen. Las reglas basadas en dominio dependen de cuándo se produce la resolución y de cómo el cliente aplica el resultado, así que pueden dejar de coincidir en silencio tras un cambio que parece no relacionado, y el fallo parece un VPN roto más que una exención obsoleta.

Prueba, vuelve a probar y escribe el paso de eliminación

Escribe una prueba inofensiva para la ruta permitida y un caso denegado cercano: la página de la impresora carga y el recurso compartido de archivos en la misma subred no. Ese par demuestra que la excepción es estrecha, y es el par que un revisor puede repetir sin entender la solicitud original. Luego fija los disparadores de nueva prueba, porque una excepción que nunca se vuelve a probar se aleja del requisito para el que se escribió, y ese alejamiento permanece invisible hasta que algo se rompe.

Por último, registra cómo eliminar la regla mediante el componente que la posee, y mantén los secretos fuera de la nota. Describir un servicio y una ruta nunca requiere una clave privada, una contraseña ni el historial de navegación de nadie, y una lista breve y mantenida supera a una regla temporal que sobrevivió a la persona que la escribió.