redes · LAN · inventario · observabilidad
Ver una IP no significa saber qué dispositivo es
Qué podemos afirmar realmente cuando observamos IP, MAC, nombres y fabricantes en una red doméstica, y dónde empieza la inferencia.
En una red doméstica actual es fácil acumular dispositivos sin darse cuenta.
El router, varios altavoces inteligentes, televisores, móviles, cámaras, bombillas, enchufes, consolas, ordenadores, impresoras o repetidores pueden convivir en la misma red. Cuando llega el momento de averiguar qué hay realmente conectado, el primer impulso suele ser obtener una lista de direcciones IP y empezar a poner nombres.
Ahí aparece el primer problema.
Ver una IP no significa saber qué dispositivo es.
Presencia no es identidad
Supongamos que observamos un equipo conectado a una dirección privada de nuestra red.
Ya sabemos algo: existe evidencia de que un dispositivo ha utilizado esa dirección.
Pero todavía sabemos muy poco sobre su identidad.
Quizá también podamos obtener una dirección MAC. Eso añade otra pieza de información.
A partir de sus primeros bytes quizá podamos asociarla a un fabricante. Nueva pieza de información.
Tal vez una resolución de nombre devuelva algo reconocible. Otra pista.
La tentación consiste en juntar todas esas pistas y convertir rápidamente una hipótesis razonable en un hecho:
IP observada
+
MAC
+
fabricante conocido
=
dispositivo identificadoEl problema es que esa igualdad no existe.
Un fabricante puede producir docenas de familias de dispositivos. Una misma casa puede contener varios productos del mismo fabricante. Algunos equipos cambian de dirección, otros permanecen largos periodos sin responder y muchos nombres de red son poco descriptivos.
La información técnica ayuda a reducir posibilidades. No elimina automáticamente la incertidumbre.
Una escala más útil
En lugar de clasificar cada elemento como simplemente «conocido» o «desconocido», resulta más útil separar varios niveles.
observado
→ existe evidencia de presencia
inferido
→ varias pistas apuntan hacia una explicación
probable
→ la explicación encaja bien con la evidencia disponible
confirmado
→ existe una comprobación independiente que permite asignar identidadEse pequeño cambio evita bastantes errores.
Una dirección MAC asociada a Amazon puede hacer razonable pensar en un dispositivo de su ecosistema si en la vivienda existen varios Echo, Fire TV o Kindle.
Pero sigue sin decir cuál de ellos estamos viendo.
Un fabricante asociado a iluminación inteligente puede indicar que estamos ante un dispositivo IoT.
Pero no permite distinguir necesariamente una bombilla de un interruptor.
Incluso un nombre aparentemente descriptivo debería tratarse como evidencia, no como una autoridad absoluta.
El problema de las explicaciones plausibles
En tecnología abundan las explicaciones que parecen correctas.
Y cuanto más contexto tenemos, más fácil resulta construirlas.
Ese es precisamente el riesgo.
Si sabemos que en una casa existen:
1 router
3 altavoces inteligentes
2 televisores
6 bombillas Wi-Fi
2 móviles
1 cámaraes posible hacer coincidir rápidamente una lista de dispositivos observados con ese inventario mental.
El resultado puede parecer perfecto y seguir siendo incorrecto.
Estamos resolviendo un puzle por descarte, no demostrando identidades.
La distinción parece pequeña hasta que ese inventario empieza a utilizarse para otras cosas.
Por ejemplo:
- detectar dispositivos nuevos;
- decidir qué elemento ha desaparecido;
- aplicar reglas de red;
- investigar una incidencia;
- generar alertas;
- documentar infraestructura;
- automatizar comprobaciones.
Una inferencia incorrecta que solo afecta a una hoja de notas tiene poca importancia.
La misma inferencia utilizada como entrada de una automatización puede convertirse en un problema.
También importa lo que no vemos
La ausencia de respuesta tampoco demuestra ausencia.
Un dispositivo puede estar:
- en reposo;
- desconectado temporalmente;
- utilizando otra dirección;
- filtrando determinado tráfico;
- fuera de cobertura;
- conectado únicamente cuando se necesita.
Por eso una fotografía puntual de la red no debería confundirse con un inventario definitivo.
Es solo una observación realizada en un momento concreto.
La identidad fiable suele aparecer al combinar observaciones repetidas, fuentes distintas y alguna forma de confirmación independiente.
Empezar pequeño tiene sentido
Esto no significa que el primer reconocimiento de una red doméstica tenga que convertirse en una auditoría compleja.
Para empezar puede bastar con recopilar información básica:
interfaces
rutas
vecinos conocidos por el sistema
respuestas ligeras
nombres disponibles
fabricantes sugeridos por MACLo importante no es obtener inmediatamente una identificación perfecta.
Lo importante es conservar la diferencia entre:
lo que hemos observado
lo que estamos infiriendo
lo que realmente hemos confirmadoA partir de ahí pueden añadirse capas.
Quizá más adelante interese estudiar cómo afectan las direcciones dinámicas, las MAC privadas, los dispositivos que duermen, las tablas DHCP, los nombres de host o determinadas comprobaciones activas.
Pero todas esas técnicas llegan después.
El primer paso sigue siendo más sencillo:
no atribuir a nuestros datos más certeza de la que realmente contienen.
Un inventario puede crecer con la red
Una red doméstica no es estática.
Aparecen dispositivos nuevos, otros desaparecen y algunos cambian de comportamiento con actualizaciones o sustituciones.
Por eso tiene más sentido pensar en el inventario como un proceso que como una fotografía terminada.
Una primera observación puede descubrir qué preguntas merece la pena formular.
Las siguientes pueden mejorar la identificación.
Y solo cuando exista evidencia suficiente resulta razonable utilizar esas identidades como base de automatizaciones o controles posteriores.
El Lab relacionado con este artículo lleva esta primera idea a la terminal: construir una fotografía inicial de la red con herramientas básicas y registrar la evidencia sin intentar obtener todavía una identificación perfecta.
Porque en una red, como en muchas otras áreas técnicas:
observación
≠
identidad
explicación plausible
≠
hecho confirmado