Bienvenida al curso

Bienvenido a Arquitectura de red segura y zero trust. Cuando un ransomware cifra una empresa entera, la pregunta de siempre es ¿cómo llegó desde la computadora de recepción hasta el servidor de respaldos? Casi siempre, porque nada se lo impedía. Este curso enseña a dibujar la red para que un equipo comprometido no alcance todo lo demás, a decidir quién entra y a llegar, sin humo, a lo que NIST llama zero trust.

Qué va a lograr

• Diseñar una segmentación por zonas (usuarios, servidores, DMZ, invitados) con su matriz de flujos permitidos.
• Escribir reglas entre zonas con nftables y comprobar en su máquina qué pasa y qué no.
• Explicar cómo funciona 802.1X con RADIUS y en qué se diferencia WPA3-Enterprise de una clave compartida.
• Reconocer un punto de acceso gemelo (evil twin) en una captura Wi-Fi, desde el lado del defensor.
• Levantar un túnel WireGuard entre dos sitios y limitar qué viaja por él.
• Aplicar los principios de zero trust de NIST SP 800-207 y ubicar SASE, SSE y ZTNA sin creerse el folleto.

Para quién es y qué necesita

Es para quien ya sabe qué es una IP, una máscara y un puerto. Conviene haber hecho Redes para ciberseguridad y Puertos y protocolos: qué se ataca y qué se defiende. Para los laboratorios ayuda Virtualización: su primer laboratorio en VirtualBox y moverse en la terminal como se enseña en Linux básico: 15 comandos para empezar.

Para practicar necesita:

• Una máquina virtual con Ubuntu 24.04 LTS o 26.04 LTS (2 GB de RAM alcanzan) y permisos de sudo.
• Wireshark o tshark para el laboratorio Wi-Fi. No hace falta antena ni switch: zonas, routers y sitios se simulan dentro de la VM con espacios de nombres de red de Linux.

Cómo está organizado

Módulo	Qué aprende	Laboratorio
1. Segmentación clásica	Zonas de confianza, DMZ, VLAN y 802.1Q, matriz de flujos, nft e ip netns	Tres zonas con nftables y revisión de la política de Distribuidora Guayabo
2. Control de acceso a la red	NAC, 802.1X y RADIUS, WPA3-Enterprise, rogue AP y evil twin	FreeRADIUS local y caza de un AP gemelo en un pcap
3. Perímetro moderno y VPN	NGFW, registro del firewall hacia el SOC, WireGuard y cryptokey routing	Túnel WireGuard entre dos sitios
4. Zero trust	NIST SP 800-207, microsegmentación, PEP y PDP, CISA ZTMM 2.0, SASE y ZTNA	Decisiones de acceso en escenarios
Evaluación	10 preguntas sobre todo el curso	Aprueba con 70 %

Cómo aprovecharlo

Las lecciones de texto cierran con una pregunta corta que no suma nota. De los tres laboratorios, dos terminan con una bandera secwing{...} que usted saca de los archivos de Distribuidora Guayabo y verifica en la misma página; el de WireGuard termina con una prueba que usted mismo comprueba con curl.

Escriba los comandos en vez de pegarlos: cuando una regla falla, el error suele estar en una letra de la interfaz o en una máscara, y eso se aprende tecleando. Si se traba, abra las pistas de una en una.

Al aprobar la evaluación final con 70 % o más recibe el certificado y la insignia; cada lección suma XP.

Tiempo estimado

El curso completo toma unas 3 horas y media. Una lección por sesión funciona bien; para cada laboratorio reserve 40 minutos seguidos, para no dejar las zonas armadas a medias.