Arquitectura inversa: cómo reconstruir lo que nadie documentó
Cuando una empresa no tiene documentación de su infraestructura, la arquitectura inversa permite reconstruir el mapa técnico completo antes de cualquier migración o cambio crítico.
"No tenemos documentación."
Es una frase que escuchamos con sorprendente frecuencia cuando llegamos a una empresa nueva. A veces viene acompañada de una disculpa avergonzada. Otras veces, de un encogimiento de hombros resignado. Siempre viene acompañada de un problema real: nadie sabe exactamente qué hay en la infraestructura, cómo está conectado ni por qué está configurado de esa manera.
La arquitectura inversa es la disciplina de reconstruir ese conocimiento desde cero — no desde documentos, sino desde la infraestructura misma.
¿Por qué las empresas no tienen documentación?
Antes de hablar de soluciones, vale la pena entender por qué este problema es tan común.
La documentación técnica tiene un enemigo natural: el tiempo. Una infraestructura que fue documentada hace tres años ya no refleja la realidad de hoy. Los servidores se agregan, las configuraciones cambian, los proyectos de emergencia dejan rastros que nadie registra. La documentación envejece más rápido de lo que se actualiza.
Además, documentar no genera valor inmediato visible. Un ingeniero que pasa dos días documentando la red no tiene nada tangible que mostrar al final — a diferencia de uno que resolvió diez tickets de soporte. En la mayoría de las organizaciones, la documentación siempre cede ante las urgencias del día a día.
El resultado es predecible: después de cinco o diez años, la infraestructura es un organismo vivo que solo dos o tres personas entienden parcialmente, y que nadie entiende completamente.
Cuándo la arquitectura inversa es crítica
Hay momentos en que la falta de documentación pasa de ser un inconveniente a ser un riesgo real:
- Antes de una migración a Azure o M365: No se puede migrar lo que no se conoce. Una migración sin inventario completo garantiza sorpresas desagradables.
- Cuando el "experto" se va: Cuando la persona que conocía la infraestructura sale de la empresa, el conocimiento se va con ella.
- Ante un incidente de seguridad: Responder a un ataque sin saber qué sistemas existen y cómo están conectados es como apagar un incendio con los ojos cerrados.
- Para cumplimiento regulatorio: Muchas certificaciones (ISO 27001, SOC 2) requieren documentación actualizada de la infraestructura.
- Antes de contratar un nuevo proveedor de TI: Un proveedor que hereda una infraestructura sin documentación tarda meses en ser productivo.
La metodología de arquitectura inversa
El proceso de arquitectura inversa tiene cuatro fases que se ejecutan de forma iterativa, no secuencial.
Fase 1: Descubrimiento de red
El punto de partida es siempre la red. Antes de entender qué hacen los sistemas, necesitamos saber qué sistemas existen.
Herramientas de escaneo activo:
- Nmap: El estándar de la industria para descubrimiento de hosts y puertos. Un escaneo
nmap -sn 192.168.0.0/16revela todos los dispositivos activos en la red en minutos. - Advanced IP Scanner: Más amigable para entornos Windows, muestra hostname, MAC address y fabricante del dispositivo.
- Angry IP Scanner: Rápido y ligero, ideal para un primer inventario.
El resultado de esta fase es una lista de todas las IPs activas con su hostname, sistema operativo (cuando es detectable) y puertos abiertos.
Herramientas de descubrimiento pasivo:
Para entornos donde el escaneo activo puede generar alertas o interrupciones, el análisis pasivo del tráfico de red con herramientas como Wireshark o ntopng revela los patrones de comunicación sin generar tráfico adicional.
Fase 2: Inventario de sistemas
Con la lista de hosts, el siguiente paso es entender qué es cada uno.
Para entornos Windows con Active Directory:
Active Directory es una mina de oro de información. Los siguientes comandos de PowerShell revelan el inventario completo en minutos:
# Todos los equipos del dominio
Get-ADComputer -Filter * -Properties * | Select Name, OperatingSystem, LastLogonDate
# Todos los servidores
Get-ADComputer -Filter {OperatingSystem -like "*Server*"} -Properties OperatingSystem
# Todos los usuarios y sus grupos
Get-ADUser -Filter * -Properties MemberOf | Select Name, MemberOf
Microsoft Assessment and Planning (MAP) Toolkit:
Esta herramienta gratuita de Microsoft es especialmente valiosa para preparar migraciones. Genera automáticamente un inventario detallado de hardware, software, roles de servidor y estado de licencias — sin necesidad de instalar agentes en los servidores.
Azure Migrate:
Para entornos que eventualmente migrarán a Azure, Azure Migrate puede descubrir y evaluar servidores on-premises automáticamente, generando un inventario con métricas de utilización de CPU, memoria y almacenamiento durante 30 días.
Fase 3: Mapeo de dependencias
El inventario dice qué existe. El mapeo de dependencias dice cómo está conectado — y esta es la parte más compleja y más valiosa.
Análisis de tráfico de red:
Herramientas como NetFlow, sFlow o el análisis de logs del firewall revelan qué sistemas se comunican entre sí, con qué frecuencia y en qué puertos. Un mapa de tráfico de 30 días es suficiente para identificar las dependencias críticas.
Análisis de logs de aplicaciones:
Los logs de IIS, SQL Server, Exchange y otras aplicaciones revelan qué sistemas las consultan y con qué frecuencia. Un servidor que recibe consultas de 15 sistemas diferentes es claramente crítico, aunque nadie lo haya documentado como tal.
Entrevistas técnicas estructuradas:
La tecnología no lo revela todo. Las entrevistas con los administradores de sistemas, los desarrolladores y los usuarios de negocio revelan el conocimiento tácito: "ese servidor no aparece en ningún lado pero si lo apagamos se cae la facturación", "esa tarea programada la creó alguien hace cinco años y nadie sabe qué hace pero tampoco nadie la toca".
Fase 4: Documentación y validación
Con el descubrimiento completo, el último paso es convertir los datos en documentación útil y validarla con los equipos técnicos.
Diagramas de arquitectura:
Usamos draw.io o Visio para crear diagramas en tres niveles:
- Diagrama de red lógica: Segmentos de red, VLANs, firewalls, DMZ.
- Diagrama de servidores: Todos los servidores con sus roles, sistemas operativos y relaciones.
- Diagrama de aplicaciones: Aplicaciones de negocio con sus dependencias de infraestructura e integraciones entre sí.
Inventario estructurado:
Un documento Excel o una base de datos con cada servidor, su rol, su sistema operativo, sus aplicaciones instaladas, sus dependencias y su criticidad para el negocio.
Runbooks básicos:
Para los sistemas más críticos, documentamos los procedimientos básicos de operación: cómo reiniciar el servicio si falla, qué verificar si hay un problema, a quién escalar.
Un caso real: 47 servidores, cero documentación
En un proyecto reciente para una empresa de servicios financieros en Centroamérica, llegamos a un entorno con 47 servidores físicos y virtuales, sin documentación de ningún tipo. El administrador de TI anterior había salido de la empresa seis meses antes.
El proceso de arquitectura inversa tomó tres semanas:
- Semana 1: Descubrimiento de red e inventario inicial con MAP Toolkit y Nmap. Resultado: 47 servidores identificados, 12 de los cuales nadie en el equipo actual sabía para qué servían.
- Semana 2: Análisis de dependencias con logs de firewall y entrevistas con usuarios de negocio. Resultado: mapa completo de integraciones, incluyendo tres servidores "fantasma" que resultaron ser críticos para procesos de nómina.
- Semana 3: Documentación, validación con el equipo técnico y clasificación por criticidad.
El entregable final fue un diagrama de arquitectura completo, un inventario de 47 servidores con roles y dependencias documentados, y una clasificación de criticidad que permitió priorizar la migración a Azure.
La migración posterior fue significativamente más fluida que cualquier migración que hayamos hecho sin este proceso previo.
Herramientas recomendadas por categoría
| Categoría | Herramienta | Costo | Mejor para |
|---|---|---|---|
| Descubrimiento de red | Nmap | Gratuito | Inventario inicial |
| Inventario Windows | MAP Toolkit | Gratuito | Preparación de migración |
| Evaluación Azure | Azure Migrate | Gratuito | Migraciones a Azure |
| Análisis de tráfico | Wireshark | Gratuito | Dependencias de red |
| Diagramas | draw.io | Gratuito | Documentación visual |
| Monitoreo continuo | Azure Monitor | Incluido en Azure | Post-migración |
La documentación como activo estratégico
La arquitectura inversa no es solo un ejercicio técnico — es la recuperación de un activo estratégico que la organización perdió gradualmente.
Una infraestructura bien documentada reduce el tiempo de resolución de incidentes, facilita la incorporación de nuevos miembros del equipo, permite tomar decisiones de inversión informadas y es un requisito previo para cualquier transformación tecnológica exitosa.
En Barona Enterprise, la arquitectura inversa es el primer paso de cualquier proyecto de migración o modernización. No porque sea obligatorio, sino porque hemos aprendido — a veces de la manera difícil — que intentar transformar lo que no se conoce completamente es una apuesta que raramente vale la pena.
