El inventario que nadie tiene

La hoja de cálculo en la que nadie confía

El patrón se repite con una constancia que llama la atención. Existe un archivo con la lista de equipos. Lo armó alguien que ya no está, o se armó para una auditoría de hace tres años. Tiene columnas de modelo, versión de sistema operativo, sitio y dirección de administración. Y tiene, invariablemente, tres problemas: equipos que ya no existen, equipos que existen y no están, y datos que fueron ciertos alguna vez.

Lo interesante no es que el archivo esté desactualizado. Es que todo el mundo sabe que lo está, y aun así se sigue usando para tomar decisiones. Se planea un cambio de ventana de mantenimiento contra esa lista. Se responde una auditoría con esa lista. Se dimensiona una renovación tecnológica con esa lista.

La razón por la que nadie la corrige es sencilla: corregirla a mano cuesta más de lo que duele tenerla mal. Un inventario manual de doscientos equipos se desactualiza más rápido de lo que una persona puede recorrerlo. No es un problema de disciplina del equipo de redes. Es que el método no escala, y ningún esfuerzo humano lo arregla.

Un inventario que requiere trabajo humano para mantenerse ya nació desactualizado.

Un inventario no es una fuente de verdad

Los términos se usan como sinónimos y no lo son. La diferencia importa porque determina qué puedes construir encima.

Un inventario responde a la pregunta ¿qué hay?. Es una lista: equipos, modelos, versiones, ubicaciones. Es útil y es el primer paso, pero es descriptivo. Te dice lo que encontró quien lo levantó.

Una fuente de verdad responde a una pregunta distinta: ¿qué debería haber, y en qué estado?. Es la referencia declarada contra la cual se compara la realidad. No describe la red: define cómo se supone que es. Y esa diferencia es la que convierte un documento en una herramienta operativa.

Con un inventario puedes contestar «tenemos cuarenta switches en Mérida». Con una fuente de verdad puedes contestar «tenemos cuarenta switches en Mérida, treinta y ocho cumplen el estándar de la organización, y los dos que no cumplen es por esta línea de configuración específica». La segunda respuesta es la que sirve en una auditoría, en una licitación y en una junta de presupuesto.

El salto entre una y otra no es de formato. Es que la fuente de verdad exige haber declarado una intención: qué servicios debe tener cada equipo según su sitio, su rol, su plataforma o su modelo. Sin esa declaración no hay contra qué comparar, y sin comparación no hay cumplimiento, solo descripción.

Multivendor es donde casi todos se rompen

Aquí es donde la mayoría de las herramientas empieza a mentir, y conviene entender por qué.

Cada fabricante modela su configuración de forma distinta, y no superficialmente. Cisco IOS expresa el control de acceso a la administración con una lista estándar aplicada a las líneas VTY. Junos protege su plano de control con un filtro de firewall sobre la interfaz de bucle invertido, donde el orden de los términos decide el resultado porque gana la primera coincidencia. FortiGate lo resuelve con hosts de confianza en el perfil del administrador. Los tres hacen lo mismo conceptualmente. Ninguno lo hace igual.

El atajo habitual es traducir todo a una sintaxis común, casi siempre la de Cisco, porque es la que más gente conoce. Funciona para mostrar una tabla bonita y falla en el momento en que importa: cuando hay que generar configuración o comparar contra la real. La traducción pierde exactamente lo que hace diferente a cada plataforma, y lo que se pierde suele ser lo que decide si un comando se aplica o se rechaza.

Una fuente de verdad multivendor de verdad tiene un modelo por fabricante, no una traducción a un dialecto común.

El costo de hacerlo bien es alto: obliga a mantener el modelo, las plantillas y las reglas de cumplimiento de cada plataforma por separado. El beneficio es que lo que la herramienta afirma sobre un equipo Junos es cierto en términos de Junos, y no una aproximación cómoda.

Qué se desbloquea cuando la red se describe a sí misma

Una fuente de verdad viva —alimentada por descubrimiento, no por captura manual— deja de ser un documento y se vuelve el cimiento de cosas que sin ella no se pueden construir:

• Cumplimiento de configuración. Comparar lo que hay contra lo declarado, por sitio, rol o equipo, con la línea exacta que sustenta cada hallazgo.
• Topología y trazado de rutas. El camino real entre dos direcciones sale de las tablas de ruteo recolectadas, no de un diagrama dibujado a mano que envejeció.
• Inteligencia de direccionamiento. Qué subredes existen, cuáles se solapan y en qué puerto de acceso vive una dirección, cruzando la tabla ARP con la tabla MAC.
• Respuesta a auditorías. La evidencia deja de armarse a mano la semana anterior y pasa a ser una consulta.
• Integración con el resto del ecosistema. Ésta es la que más se subestima, y merece párrafo aparte.

Las herramientas de ciberseguridad, las plataformas de gestión de direccionamiento como Infoblox, los sistemas de tickets y los tableros de dirección tienen algo en común: todas necesitan saber qué hay en la red, y ninguna lo averigua por sí misma. Cada una mantiene su propia copia parcial, alimentada por su propio método, y ninguna copia coincide con las demás.

Cuando existe una fuente de verdad consultable por interfaz de programación, ese problema cambia de naturaleza. Deja de haber cinco inventarios en desacuerdo y pasa a haber uno que las demás consumen. El equipo de ciberseguridad deja de preguntarle al de redes qué equipos hay en un segmento: lo consulta. Y la discusión sobre cuál de las dos listas es la correcta simplemente desaparece.

Pero el inventario, solo, no cierra nada

Vale la pena decirlo con todas sus letras, porque es donde muchos proyectos se detienen satisfechos: tener la fuente de verdad es el principio, no el final.

Una red puede estar perfectamente inventariada, con su configuración cumpliendo el estándar al cien por ciento, y estar rota. La configuración de un protocolo de ruteo puede ser exactamente la declarada mientras tres interfaces que participan en él están caídas. El cumplimiento de configuración no lo ve, porque la configuración está bien. Lo que está mal es el estado.

Ése es el segundo salto, y es el tema del próximo artículo: la diferencia entre cumplimiento de configuración y cumplimiento de estado, por qué correlacionarlos cambia lo que puedes afirmar sobre tu red, y por qué casi ninguna herramienta lo hace.

Cómo lo resuelve Oktavia

Oktavia construye la fuente de verdad por descubrimiento sobre Cisco IOS e IOS-XE, Fortinet FortiGate y FortiSwitch, y Juniper Junos, con un modelo de configuración normalizado por fabricante y no una traducción a sintaxis común. El inventario, la topología, el direccionamiento y la configuración deseada viven en la misma base, y se consultan desde la interfaz o por interfaz de programación.

La intención se declara por alcance —valores por omisión, por tipo de sitio, por sitio, por plataforma, por modelo, por rol y por equipo— de manera que un estándar se expresa una vez y aplica a todo lo que le corresponde, en vez de repetirse equipo por equipo.

Descubrimiento de red: cómo se construye el inventario sin captura manual.