En la sucursal no compraste un cortafuegos: compraste una casilla del SD-WAN

Si en alguna de tus sedes hay un Edge de VeloCloud con el cortafuegos de Fortinet, Palo Alto o Check Point corriendo dentro, esa casilla del orquestador tiene fecha: 28 de febrero de 2027. Y lo que caduca no es una licencia. Es la idea de que el cortafuegos de la sucursal era tuyo.

La nota es del 15 de mayo de 2026 y se titula «End of Availability for VeloCloud Security VNF Services». Dice que la función de Security VNF del software de SD-WAN entra en la fase final de su ciclo de vida, y nombra a los tres: «Checkpoint Firewall, Fortinet Firewall and Palo Alto Networks Firewall through the SD-WAN subscription service offerings». Dice también que «5.2.x will be the last limited supported version for VNF» —soporte limitado significa correcciones críticas, sin funciones nuevas— y que el último día de soporte técnico 24x7 y el fin de soporte caen en el mismo sitio: 28 de febrero de 2027. El camino que recomienda el fabricante es Enhanced Firewall Services.

Cuatro meses después, en la sucursal no ha pasado nada. Las cajas siguen encendidas, el cortafuegos sigue filtrando y nadie ha notado la diferencia. Por eso vale la pena mirarlo ahora, cuando todavía es una decisión y no una ventana de mantenimiento con prisa.

Qué había dentro de esa caja

El montaje era elegante y por eso se vendió bien. El Edge de la sucursal no solo hacía el transporte: levantaba dentro una máquina virtual con el cortafuegos de tu fabricante, y el tráfico se desviaba hacia ella. En el orquestador elegías la marca de una lista y, en el caso de Fortinet, hasta el número de núcleos, porque la licencia de la máquina virtual dependía de los núcleos que le asignaras; la licencia la pegabas tú, en una caja de texto. La política seguía siendo la tuya, escrita en la consola que ya sabías usar, con tus objetos y tus excepciones.

Lo que compraba la gente con eso era una caja menos en un armario de pared, un contrato menos y un desplazamiento menos. En una tienda con cinco personas y un armario que comparte espacio con las escobas, eso vale dinero de verdad.

Lo que llega en su lugar no es lo mismo, y conviene decirlo sin dramatizar

El Edge ya traía cortafuegos propio: la documentación lo describe como «stateful inspection along with application identification». Lo que añade Enhanced Firewall Services es la capa de arriba: filtrado por categoría de URL, por reputación de URL, filtrado de IP maliciosas e IDS/IPS. La descripción de las funciones está en la guía de administración; la de diseño cuenta cómo funciona por dentro y es un dato útil, porque define a qué te atas: «The Edge employs a Suricata solution for IDPS engine and signatures», las firmas las curan y verifican en el fabricante, y «the Orchestrator queries the VeloCloud Threat Intelligence cloud every 4 hours».

Es un producto razonable. Para muchas sucursales cubre más de lo que estaba activado de verdad en la VNF, que muy a menudo acaba siendo una política copiada de la central con dos reglas tocadas —impresión nuestra, no un dato—. Sigue siendo, eso sí, el cortafuegos de ellos y no el tuyo. Y esa diferencia no se ve el día que lo enciendes, se ve el día que alguien pregunta por qué se bloqueó algo.

La factura que nadie presupuesta no es la licencia

La parte de licencia está clara y es la fácil: la guía dice que para usar EFS hace falta «a Premium V2 Arista VeloCloud license or an add-on license (SDEX-EFS-100M-1M) with all other SD-WAN license editions», y la nota lista referencias escalonadas por caudal, desde 10 Mbps hasta 10 Gbps. Traducido: o la inspección ya te viene dentro de la licencia Premium V2, o la compras aparte y por megas, con un escalón distinto por caudal. Eso se pone en una hoja de cálculo y se discute con el comercial.

Lo caro está debajo. La política no se convierte: las reglas, los objetos, los grupos, las excepciones temporales que llevan tres años vivas y el motivo por el que se escribieron —que casi nunca está escrito— hay que volver a decidirlos en otro modelo. Y hay frases en la documentación del propio fabricante que merecen más atención que el titular.

• La que contradice al folleto, firmada por el fabricante. Aunque EFS «can be set up with a few mouse clicks», antes de activarlo hace falta «a thorough understanding of the network, traffic flows, and current configurations». Es decir: los clics son pocos, el trabajo previo no. Nunca hemos leído una frase de marketing que se desmienta a sí misma con tanta educación.
• La de rendimiento. «Traffic inspected by the IDPS with Stateful Firewall may experience a performance impact», y lo llama un equilibrio entre seguridad y rendimiento. Quien dimensionó el Edge para mover tráfico, no para inspeccionarlo, tiene ahí una conversación pendiente con la sucursal que más caudal consume. Nosotros ese dato lo miramos antes y después en nuestra propia monitorización —Zabbix y SmokePing—, porque la diferencia entre «va igual» y «va igual salvo a las 12:30» no se ve mirando la caja.
• La que se descubre tarde: el registro. Los logs van a la infraestructura regional del fabricante o salen por syslog hacia tu SIEM —la guía cita PCI DSS y NIST como motivo—, y ahí aparece el aviso que casi nadie lee: «It is important to note that syslog traffic is not encrypted». Y el alojado tiene su techo escrito: por defecto se guardan «15 GB of logs per Enterprise or seven days of logs per Edge, whichever comes first», así que la ventana de la que dispondrás para investigar en una sucursal ruidosa puede ser de una semana o de menos. Hay otro aviso, más doméstico y igual de real: registrar de más «may cause unnecessary stress on the hard disk, potentially causing hard disk failure».

Y hay dos avisos más que no hemos visto citados en ninguna parte y que cambian la planificación. El primero es un CAUTION de la misma guía: «Activating or deactivating EFS may cause a disruption in network traffic». Encender el filtrado nuevo no es transparente, y desactivarlo para volver atrás tampoco: eso ya descarta hacerlo en la misma noche que la actualización de software. El segundo está en las limitaciones conocidas y pesa más de lo que parece, porque la 5.2 es justo el final del camino de la VNF: «In 5.2 release, traffic that hits a 1:1 NAT or Port Forwarding rule is not inspected by the IDPS Engine». Si en esa sucursal hay una cámara publicada, un servidor de recogidas o cualquier reenvío de puerto, ese tráfico entra sin pasar por el motor de inspección. La guía dice que se resolverá en una versión futura; el detalle es que esa versión futura ya no es la tuya si te quedas en 5.2 esperando a febrero.

Lo que de verdad se retira es un acoplamiento

Nuestra lectura, dicha como lectura y no como hecho del aviso: lo que termina en febrero de 2027 no es un producto, es un acoplamiento. El día que la seguridad de la sucursal pasó a ser una casilla dentro del producto que transporta el tráfico, su calendario dejó de depender de ti. No hay culpa de nadie en eso: retirar integraciones de terceros es una decisión de catálogo normal y un fabricante tiene todo el derecho a tomarla. Lo raro es que del otro lado casi nunca se contabiliza como riesgo.

El efecto secundario es más incómodo que la fecha. La caducidad de tu filtrado la marca ahora una versión de software de red, la 5.2.x. Eso empuja a hacer dos cambios en la misma ventana —actualizar el transporte y cambiar el motor de seguridad— en el sitio donde no hay nadie para levantar el teléfono y, si se tuerce, por la misma red que acabas de tocar. Cuando escribimos que el SD-WAN no se cae, te lo reconfiguran, íbamos por aquí: en estas arquitecturas el susto casi nunca viene de un cable cortado.

El fallo es inevitable y la avería es una decisión de diseño. Aquí ni siquiera hay fallo. Hay una decisión de catálogo ajena, anunciada con nueve meses de antelación, que se convertirá en avería propia solo si llega a febrero sin que nadie la haya mirado.

Cuándo el todo en uno sigue siendo la respuesta correcta

Nada de esto significa que separar sea siempre mejor. En una sede pequeña, sin servidores, sin TPV y con todo el trabajo en la nube, meter una caja más significa un mantenimiento más, un firmware más y una excusa más para que nadie la actualice. Ahí el todo en uno gana, y lo hemos recomendado nosotros. Ya lo discutimos en cuándo compensa el SD-WAN y cuándo sobra.

La línea que trazamos nosotros es otra: separamos transporte y filtrado cuando la sucursal tiene algo que perder por sí sola —cobro, almacén, máquina de producción, datos regulados—, cuando hay que demostrar la política y el registro ante alguien de fuera, o cuando el cortafuegos lo opera un equipo distinto del que opera la WAN. Si esas tres no se cumplen, el todo en uno es defendible. Si se cumple alguna, «integrado» describe la factura y el racking, no la responsabilidad.

Qué haríamos esta semana, no en febrero

• La lista de sedes con VNF activa, sacada del orquestador y no del diagrama. Marca, versión y quién paga esa licencia. Es media hora y es lo que decide todo lo demás; si el inventario sale del documento en vez del sistema, ya sabes cómo acaba: el Excel miente.
• Exportar la política mientras la consola siga viva. Reglas, objetos, grupos, NAT y, sobre todo, las excepciones. Guardarlo fuera del aparato. Esto no cuesta nada hoy y no se puede hacer el día que apagas la VNF.
• Medir qué reglas se usan de verdad antes de traducirlas. Contar impactos por regla durante dos semanas separa la política viva de la arqueología. Suele sobrar más de lo que nadie admite en una reunión, y lo que quede es lo que hay que comparar de verdad contra lo que EFS sabe hacer.
• Separar las dos ventanas. Primero la actualización de software, con la sucursal funcionando y el filtrado como estaba; después, en otro día, el cambio de motor de seguridad. Y ninguna de las dos sin una vía de acceso que no dependa de lo que estás tocando: un 4G, una línea de reserva, alguien con llave.
• Decidir dónde acaba el registro antes de encender nada. Si los logs de la sucursal alimentaban tu SIEM desde el cortafuegos de tu fabricante, van a cambiar de origen y de formato, y los cuadros de mando que dependían de ellos también. Y si salen por syslog, que salgan por dentro del túnel: la propia guía avisa de que ese tráfico no va cifrado.

Lo que no afirmamos

No decimos que Enhanced Firewall Services sea peor que un cortafuegos de tercero: son cosas distintas y para muchas sucursales la nueva es suficiente. No damos precios, porque una referencia de catálogo no es un precio y no tenemos las tarifas. No sabemos cuántos despliegues llevan la VNF activa —el fabricante no lo publica—, así que no medimos el tamaño del problema, solo señalamos que existe y a quién le toca. Y las fechas son las de la nota tal como estaba publicada hoy: las notas de fin de vida se revisan, y esta puede moverse. Tampoco somos parte: no revendemos ni VeloCloud ni ninguno de los tres cortafuegos citados.

Nota de fuentes

Todo consultado el 17 de septiembre de 2026. Uno: el aviso de Arista «End of Availability for VeloCloud Security VNF Services» (referencia 24027), con fecha de 15 de mayo de 2026, de donde salen los tres fabricantes afectados, la frase sobre la 5.2.x, el fin de soporte del 28 de febrero de 2027, la recomendación de pasar a Enhanced Firewall Services y las referencias escalonadas de 10 Mbps a 10 Gbps. Dos: la guía de diseño de VeloCloud SD-WAN 6.4 (Enhanced Firewall Services), de donde salen literalmente el motor Suricata, la consulta a la nube de Threat Intelligence cada 4 horas, el requisito de licencia Premium V2 o complemento, la frase de los pocos clics frente al conocimiento previo necesario, el aviso de impacto en rendimiento, la mención de PCI DSS y NIST las dos advertencias sobre syslog sin cifrar y el exceso de registro, el techo por defecto del registro alojado (15 GB por empresa o siete días por Edge), el CAUTION sobre la interrupción de tráfico al activar o desactivar EFS y la limitación conocida del IDPS con 1:1 NAT y reenvío de puertos en la 5.2. Tres: la guía de administración de VeloCloud 6.4, de donde salen la descripción del cortafuegos del Edge («stateful inspection along with application identification»), la lista de funciones de EFS, el alta de una VNF de seguridad en el Edge y la licencia por núcleos en el caso de Fortinet. El contexto de que el negocio de VeloCloud pasó de Broadcom a Arista procede de la cobertura del sector de 2025 y no de una fuente primaria; no lo usamos para ninguna afirmación técnica. Lo que es opinión nuestra y va marcado como tal en el cuerpo: que lo retirado es un acoplamiento y no un producto, el criterio de cuándo separar transporte y filtrado, y la recomendación de partir el cambio en dos ventanas.