Resumen

  • El aviso vigente de Broadcom fija el 29 de septiembre para retirar las antiguas direcciones de la zona de localización de París.
  • El proveedor advierte de posibles bloqueos de Microsoft por geolocalización de IP; la redirección del tráfico no resuelve por sí sola la decisión de acceso.

Que una pasarela reciba tráfico no significa que la aplicación de destino vaya a admitir al usuario. Esa diferencia cobra importancia en el traslado de la zona de localización de París de Cloud Secure Web Gateway al punto de presencia de cómputo de Dover, en el Reino Unido.

Broadcom marca la operación como en curso. Su actualización del 17 de agosto sustituyó el calendario inicial: traslado el 1 de septiembre y retirada de las antiguas direcciones el 29 de septiembre. Son las fechas del plan publicado, no una confirmación de que todos los clientes hayan completado la migración. Aviso de Broadcom.

El país de una dirección no decide todo

Las zonas de localización permiten solicitar contenido mediante direcciones destinadas a coincidir con el país del usuario. Esa función no es lo mismo que la ubicación física del cómputo ni obliga a otras plataformas a clasificar la dirección de igual manera.

En una actualización del 28 de agosto, Broadcom afirmó que clientes conectados por el nuevo punto de presencia y sujetos a Microsoft Conditional Access podrían perder acceso a servicios de Microsoft. Atribuyó el problema a una geolocalización incorrecta de las nuevas direcciones Cloud SWG por Microsoft. No publicó una cifra de usuarios afectados ni una duración del incidente verificadas de forma independiente.

Microsoft explica el mecanismo general en su documentación. La ubicación puede basarse en la IP pública o en el GPS de Authenticator. Para clasificar por IP, utiliza una tabla de correspondencias entre direcciones y países o regiones que actualiza periódicamente. La dirección privada de un equipo dentro de la oficina no es la dirección pública que observa el servicio. Documentación de Microsoft sobre condiciones de red.

Así, una conexión puede seguir funcionando y aun recibir una decisión de acceso distinta. La pasarela gestiona el trayecto; otra plataforma interpreta una señal, y el cliente determina qué consecuencias tiene en su política.

Una redirección con límites

El aviso distingue las modalidades de conexión. Determinados agentes y el tráfico dirigido al nombre proxy estándar se redirigen automáticamente. IPsec y las configuraciones fijadas a una IP o a un punto de presencia concreto requieren actuaciones diferenciadas. También separa las reglas para llegar a la pasarela de las listas con las que aplicaciones externas aceptan sus direcciones de salida.

Aceptar tráfico de una dirección tampoco equivale a declararla red corporativa de confianza. Microsoft advierte contra añadir direcciones de salida no dedicadas o no enumerables a ubicaciones de confianza, porque puede debilitar la seguridad. Esa advertencia general no demuestra que todas las direcciones de Broadcom sean compartidas; impide tratar ambas decisiones como equivalentes. Documentación de Microsoft sobre evaluación continua del acceso.

Para quien compra seguridad gestionada, esta es una dependencia que la automatización no elimina. El aviso no aporta costes de migración medidos, cambios de tarifa ni una garantía sobre residencia de datos.