Avaluació de connexió entre infraestructures

Avaluar la viabilitat i el disseny de la connexió entre les dues infraestructures de xarxa del centre: la xarxa de la Generalitat, que dona servei a ESO, Batxillerat, PFI, departaments i serveis administratius, i la xarxa pròpia del centre, que dona servei a les aules SMX. Ambdues infraestructures operen de forma independent amb ISP diferents i rangs d’adreces IP sense solapament, però existeix la necessitat de permetre comunicació controlada entre determinats segments d’ambdues xarxes, especialment per a tasques de monitoratge, recollida de logs i gestió centralitzada.

Situació de partida

Les dues xarxes estan completament separades tant a nivell físic com lògic. La xarxa de la Generalitat utilitza els blocs 172.16.0.0/16 fins a 172.23.0.0/16 i el segment de servidors 10.0.130.0/24, mentre que la xarxa del centre utilitza els blocs 172.24.0.0/16 i 172.25.0.0/16 per a SMX i 172.26.0.0/16 com a reserva. Cap d’aquests rangs es solapa, cosa que facilita el routing entre elles sense ambigüitat.

El gateway del centre disposa de quatre NICs. Tres d’elles estan assignades a segments concrets: una a la xarxa de servidors, una a SMX 1r i una a SMX 2n. La quarta NIC, fins ara lliure, és el punt natural de connexió entre les dues infraestructures i és la que s’utilitza com a passarel·la entre xarxes.

Solució adoptada: passarel·la entre xarxes

La connexió entre les dues infraestructures es realitza mitjançant una passarel·la implementada a la quarta NIC del gateway del centre. Aquesta NIC s’connecta físicament al segment de la xarxa de la Generalitat o a un switch intermedi que tingui visibilitat sobre ambdues xarxes, actuant com a punt de pas controlat entre els dos dominis.

El tràfic que travessa la passarel·la no és tràfic d’usuaris sinó tràfic de gestió i monitoratge: logs de sistema, alertes SNMP, consultes de monitoratge i, si escau, accés administratiu remot entre segments. El gateway aplica regles de firewall estrictes a aquesta interfície per garantir que cap equip d’alumnes de la xarxa de la Generalitat pugui iniciar connexions cap a la xarxa SMX ni a la inversa, i que únicament els fluxos de gestió definits explícitament estiguin permesos.

Avantatges d’aquesta arquitectura

La separació en dos ISP independents amb una passarel·la controlada entre ells ofereix diversos avantatges. En primer lloc, la resiliència: si cau l’ISP de la Generalitat, la xarxa SMX continua operativa de forma completament autònoma, i viceversa. En segon lloc, la seguretat: el tràfic entre xarxes passa obligatòriament pel gateway, on es poden aplicar ACLs, inspecció de paquets i registre de connexions. En tercer lloc, la traçabilitat: centralitzar el punt d’interconnexió en una única interfície física facilita la captura de tot el tràfic inter-xarxa per a anàlisi i auditoria.

Consideracions de routing

Donat que els rangs IP de les dues infraestructures no es solapen en cap cas, el routing entre elles és net i no requereix NAT intern. El gateway coneix les dues xarxes per les seves interfícies directament connectades i pot enrutar el tràfic entre elles sense traducció d’adreces. Les regles de firewall defineixen quins fluxos específics estan permesos i en quina direcció, bloquejant per defecte qualsevol connexió no autoritzada explícitament.

Monitoratge i logs com a cas d’ús principal

El cas d’ús principal de la passarel·la és permetre que el servidor de logs ubicat a la xarxa de la Generalitat pugui rebre informació dels equips de la xarxa SMX, i que les eines de monitoratge del departament d’informàtica tinguin visibilitat sobre ambdues infraestructures des d’un únic punt. Això elimina la necessitat de desplegar eines de monitoratge duplicades a cada xarxa i permet una gestió centralitzada dels dos dominis malgrat la seva separació física i lògica.

Limitacions i riscos avaluats

La principal limitació és que la connexió entre xarxes depèn de la disponibilitat del gateway del centre. Si el gateway cau, es perd la connectivitat de gestió entre les dues infraestructures, tot i que cadascuna segueix operativa de forma autònoma per als seus usuaris. Aquest risc s’accepta com a tolerable donat que el tràfic que travessa la passarel·la és únicament de gestió i no afecta la connectivitat dels alumnes ni del personal.

Un segon risc avaluat és la possibilitat que una mala configuració de les regles de firewall permeti tràfic no autoritzat entre les dues xarxes. Per mitigar-ho, la política per defecte de la interfície de passarel·la és de denegació total, i únicament s’afegeixen regles explícites per als fluxos de gestió necessaris i documentats.