Qué es una arquitectura de red segura: zonas, DMZ y la red plana · Arquitectura de red segura y zero trust

192.0.2.0/24   todo:  cajas, contabilidad, servidor de archivos, cámaras, Wi-Fi de visitas, impresora
gateway        192.0.2.1 (el router del proveedor de internet)
reglas internas: ninguna

Así se ve el diagrama de muchas pymes cuando alguien se anima a dibujarlo: una sola red donde todo habla con todo, la red plana. Funciona hasta el día en que cae un equipo y el atacante tiene a la mano el servidor de archivos y las cámaras sin cruzar un solo control.

Qué es una arquitectura de red segura

Es repartir los equipos de una organización en zonas según lo que valen y decidir por escrito qué tráfico pasa de una zona a otra. Todo lo demás se bloquea. El documento que recoge esas decisiones se llama matriz de flujos: origen, destino, protocolo, puerto y para qué.

La zona más conocida es la DMZ (demilitarized zone, zona desmilitarizada): una red intermedia para lo que se publica a internet, como una tienda web. Si alguien compromete ese servidor, queda en la DMZ, con pocos caminos hacia adentro. Otras zonas típicas son usuarios, servidores, administración e invitados.

Conceptos previos que conviene tener frescos: subred con su máscara (192.0.2.0/26), puerto y firewall con estado.

Un poco de historia

Año	Hito
1998	Se aprueba IEEE 802.1Q, el estándar de las VLAN
2004	El Jericho Forum habla de "desperimetrización": el muro de afuera ya no alcanza
2010	John Kindervag, en Forrester, populariza el término zero trust
2014	Google publica BeyondCorp: acceso sin VPN, por identidad y estado del equipo
2020	NIST publica la SP 800-207, Zero Trust Architecture; WireGuard entra al kernel Linux 5.6
2023	CISA publica la versión 2.0 de su modelo de madurez zero trust

Se pasó de "adentro es confiable" a "ninguna ubicación es confiable por sí sola".

Por qué importa en ciberseguridad

La segmentación no evita que entren; limita hasta dónde llegan. En casi todo ransomware hay movimiento lateral: el atacante entra por un correo o una VPN sin parche y desde ahí busca el controlador de dominio y los respaldos. Cada zona bien filtrada es un paso más que tiene que dar, y que deja rastro en el firewall.

Los CIS Controls v8.1 la piden en la salvaguarda 12.2, arquitectura de red segura, y en la 13.4, filtrar el tráfico entre segmentos. El arquitecto de redes, el analista de SOC que lee alertas del firewall y quien audita una zona franca trabajan con estos mismos dibujos.

Dónde se usa

Lugar	Cómo se ve la segmentación
Pyme con una sola oficina	Una VLAN para la Wi-Fi de visitas y otra para el resto ya es un avance
Empresa de zona franca	Zonas por cliente y por función, auditadas por los clientes extranjeros
Banco o cooperativa	Zonas para cajeros, servidores centrales y administración, con flujos revisados uno por uno
Nube	Las mismas zonas, con subredes y grupos de seguridad

Conceptos clave

Concepto	Qué significa
Zona	Grupo de equipos con el mismo nivel de confianza y las mismas reglas
DMZ	Zona para servicios publicados a internet, separada de la red interna
Matriz de flujos	Lista aprobada de lo que puede viajar entre zonas; lo que no está, se bloquea
VLAN	Red lógica dentro de un switch, separada de las demás en capa 2
Zero trust	Modelo que no concede confianza por estar "adentro" y verifica cada acceso
PEP	Punto que aplica la decisión de acceso: un firewall, un proxy, un agente

En las lecciones con comandos verá sintaxis como nft add rule FAMILIA TABLA CADENA [EXPRESIÓN] VEREDICTO: lo que está en MAYÚSCULAS lo reemplaza usted, lo que va entre corchetes es opcional. Ante la duda, man nft e ip netns help tienen la referencia.

Decida usted

Distribuidora Guayabo, una empresa ficticia de Heredia, lanza una tienda web de pedidos que consulta precios en el ERP.