Tema 7
El perímetro es el punto donde una red se relaciona con entornos menos confiables, especialmente internet. Controlarlo bien implica decidir cómo se publican servicios, cómo salen las conexiones y qué intermediarios ayudan a reducir exposición y a ordenar el tráfico.
Una organización necesita comunicarse con el exterior. Usuarios navegan por internet, aplicaciones consumen APIs, proveedores acceden remotamente y algunos servicios deben ser publicados para clientes o terceros. Esa interacción es inevitable, pero también representa uno de los puntos más delicados de la seguridad de red.
El perímetro no es simplemente "la salida a internet". Es el conjunto de mecanismos, zonas y políticas que controlan cómo la red interna se expone hacia afuera y cómo se permite el ingreso o la salida de tráfico. En ese contexto aparecen conceptos como NAT, proxies y DMZ.
Estos mecanismos no reemplazan a la segmentación ni al filtrado, sino que los complementan. Ayudan a reducir exposición directa, a ocultar o traducir direcciones, a intermediar comunicaciones y a separar mejor los servicios que deben convivir cerca de internet.
En seguridad clásica, el perímetro era la frontera clara entre la red interna y el exterior. Hoy ese límite puede ser más difuso por la nube, el acceso remoto y las integraciones con terceros, pero sigue existiendo como concepto de control.
En términos prácticos, el perímetro incluye:
NAT, o Network Address Translation, es un mecanismo que modifica direcciones IP y en algunos casos puertos cuando el tráfico atraviesa un dispositivo intermedio. Su uso más común es permitir que múltiples direcciones privadas compartan una o varias direcciones públicas, o publicar servicios internos mediante traducciones controladas.
Desde el punto de vista funcional, NAT ayuda a administrar el uso de direcciones y a simplificar ciertos esquemas de conectividad. Desde la seguridad, tiene beneficios y límites que conviene entender bien.
| Tipo | Descripción | Uso típico |
|---|---|---|
| Source NAT | Traduce la dirección de origen | Salida de usuarios o servidores a internet |
| Destination NAT | Traduce la dirección de destino | Publicación de servicios internos |
| PAT o NAT overload | Traduce también puertos para compartir IP pública | Navegación saliente masiva |
| Static NAT | Mapeo fijo entre IP interna y externa | Servicios que requieren correspondencia estable |
Un error frecuente es asumir que el solo hecho de usar NAT protege suficientemente la red. Es cierto que la traducción puede ocultar direcciones internas y dificultar cierta exposición directa, pero no reemplaza filtrado, segmentación ni control de acceso.
Limitaciones importantes:
Publicar un servicio significa hacerlo accesible desde una red menos confiable, normalmente internet. Eso convierte al servicio publicado en un punto de exposición prioritaria. Cuanto más crítico sea el sistema detrás del servicio, más importante es separar publicación y activos internos.
Publicar directamente un servidor interno sensible suele ser una mala práctica. El enfoque recomendable es interponer controles, limitar funciones, usar zonas específicas y evitar que la exposición externa toque innecesariamente a los sistemas más valiosos.
La DMZ, o zona desmilitarizada, es un segmento intermedio diseñado para alojar servicios que deben ser accesibles desde el exterior sin otorgar acceso directo a la red interna. Actúa como una zona de exposición controlada.
En una DMZ suelen ubicarse:
La lógica es clara: si un servicio expuesto sufre un incidente, el daño no debería extenderse automáticamente al resto de la infraestructura.
La DMZ aporta seguridad porque introduce una separación estructural entre servicios expuestos y sistemas internos. Esa separación permite aplicar reglas mucho más restrictivas.
Existen distintas formas de implementar una DMZ según la arquitectura y el equipamiento disponible.
| Modelo | Descripción general | Ventaja |
|---|---|---|
| Tres interfaces | Un firewall con zonas separadas para internet, DMZ e interior | Simplifica control centralizado |
| Dos firewalls | Un dispositivo hacia internet y otro hacia la red interna | Separa mejor funciones y capas |
| DMZ lógica | Separación mediante VLANs y políticas sobre infraestructura compartida | Mayor flexibilidad y menor costo |
Un proxy es un intermediario que recibe solicitudes en nombre de un cliente o de un servidor. En vez de existir comunicación directa entre dos extremos, el proxy participa en la conversación y puede aplicar controles, registrar actividad, reenviar solicitudes o filtrar contenido.
En seguridad, los proxies son valiosos porque permiten desacoplar a los extremos y ejercer un mayor control sobre el tráfico.
| Tipo | Para quién intermedia | Uso habitual |
|---|---|---|
| Forward proxy | Para clientes internos | Controlar salida web, navegación o acceso a destinos externos |
| Reverse proxy | Para servicios publicados | Proteger y distribuir acceso a aplicaciones expuestas |
El forward proxy ayuda a gobernar qué sale hacia internet. El reverse proxy ayuda a proteger qué entra hacia servicios expuestos.
Controlar el perímetro de entrada implica decidir qué servicios se publican, desde dónde se puede acceder, qué protecciones existen antes del sistema final y cómo se observa ese tráfico.
Buenas prácticas en este punto incluyen:
Muchas organizaciones protegen bien la entrada y descuidan la salida. Sin embargo, el tráfico saliente puede ser usado para exfiltración de datos, descarga de malware, comunicaciones de comando y control o abuso de servicios externos.
Controlar la salida significa:
Estos mecanismos suelen aparecer juntos, pero cumplen funciones distintas:
Confundir estos roles lleva a arquitecturas débiles. Una publicación bien hecha combina los cuatro conceptos de manera coherente cuando hace falta.
Controlar el perímetro significa mucho más que abrir puertos en un firewall. Implica decidir cómo se expone un servicio, qué intermediarios participan, qué zonas quedan involucradas y cómo se limita el impacto si algo falla. NAT, proxies y DMZ son herramientas clave para construir esa frontera de forma más ordenada y resiliente.
En el próximo tema estudiaremos protocolos inseguros y protocolos seguros, comparando pares como HTTP/HTTPS, Telnet/SSH y FTP/SFTP para entender cómo cambia el riesgo según el mecanismo de comunicación elegido.