La DMZ<\/strong> separa servicios p\u00fablicos del resto. El servidor web p\u00fablico<\/strong> acepta tr\u00e1fico de Internet, pero los accesos a back-end (p. ej., base de datos) viajan por un \u00fanico flujo expl\u00edcitamente permitido<\/strong>: ACLs\/Firewall que abren solo<\/em> el puerto necesario, solo<\/em> entre IPs concretas y normalmente de DMZ a interior<\/strong>. La base de datos jam\u00e1s es accesible desde Internet.<\/p>\n\n\n\n Para el movimiento este-oeste<\/strong> dentro del centro de datos, crea segmentos (VLAN\/VXLAN) y aplica microsegmentaci\u00f3n<\/strong> o firewalls internos<\/strong> entre capas (web\u2194app\u2194db). Complementa con deny por defecto<\/strong> y listas de servicios autorizados, de modo que cada nuevo flujo requiera una justificaci\u00f3n de negocio.<\/p>\n\n\n\n En el borde, un reverse proxy<\/strong> centraliza terminaci\u00f3n TLS, oculta IPs internas y aplica pol\u00edticas de cabeceras (HSTS, CSP) y rate-limiting<\/strong>. Facilita rotaci\u00f3n de certificados y offloading<\/strong> para que los backends se centren en la l\u00f3gica de negocio.<\/p>\n\n\n\n Un WAF<\/strong> a\u00f1ade inspecci\u00f3n de capa 7 frente a patrones de abuso (inyecci\u00f3n, XSS, control de acceso roto) y puede integrarse con el proxy para descartar tr\u00e1fico malicioso antes de llegar a la aplicaci\u00f3n. No sustituye desarrollo seguro, pero reduce exposici\u00f3n<\/strong> mientras se corrigen defectos.<\/p>\n\n\n\n Un CDN<\/strong> acerca contenido est\u00e1tico al usuario, absorbe picos y ayuda frente a DDoS en la capa de aplicaci\u00f3n. Mant\u00e9n 443\/TCP<\/strong> como servicio publicado por defecto y eval\u00faa cuidadosamente la exposici\u00f3n de 80\/TCP<\/strong> (redirecci\u00f3n segura a HTTPS).<\/p>\n\n\n\n La administraci\u00f3n debe pasar por un bastion\/jump host<\/strong> ubicado en una zona controlada. Desde Internet nunca exponemos SSH 22<\/strong> o RDP 3389<\/strong> directamente; en su lugar, usamos un RDP Gateway<\/strong> o un proxy SSH que encapsula<\/strong> las sesiones, centraliza la autenticaci\u00f3n con MFA<\/strong> y registra actividad.<\/p>\n\n\n\n Este patr\u00f3n permite concentrar controles<\/strong>: pol\u00edticas de acceso, revisi\u00f3n de cuentas privilegiadas, bloqueo por IP\/pa\u00eds, registro centralizado<\/strong> y grabaci\u00f3n de sesi\u00f3n<\/strong> cuando procede. Adem\u00e1s, facilita rotaci\u00f3n de claves y credenciales ef\u00edmeras.<\/p>\n\n\n\n Siempre aplica principio de m\u00ednimo privilegio<\/strong> y separaci\u00f3n de funciones<\/strong>. El bastion es el \u00fanico punto expuesto, con actualizaciones y hardening<\/em> estrictos. Desde \u00e9l, el flujo a activos internos se controla con ACLs y listas de destinos permitidos.<\/p>\n\n\n\n En IPv6, la autoconfiguraci\u00f3n SLAAC<\/strong> usa Router Advertisements (RA)<\/strong>. Un atacante puede enviar Rogue RA<\/strong> y secuestrar tr\u00e1fico. En switches de acceso, activa RA Guard<\/strong> y pol\u00edticas que solo acepten RA de puertos de router autorizados. Complementa con DHCPv6 Guard<\/strong> y ND Inspection<\/strong> para validar mensajes de vecindad.<\/p>\n\n\n\n En IPv4, evita servidores DHCP falsos con DHCP Snooping<\/strong> y bloquea ARP spoofing<\/strong> con Dynamic ARP Inspection (DAI)<\/strong>, apoy\u00e1ndote en la base de arrendamientos de Snooping. Limita MACs por puerto<\/strong> con Port-Security y aplica BPDU Guard<\/strong> para impedir que un usuario introduzca un switch malicioso que altere STP.<\/p>\n\n\n\n Estas funciones de First-Hop Security<\/strong> detienen ataques locales antes de que escalen. A\u00f1ade storm control<\/strong> y client isolation<\/strong> donde aplique, y registra los eventos para detectar intentos de abuso en el borde.<\/p>\n\n\n\n DNSSEC<\/strong> no cifra; aporta integridad y autenticidad<\/strong> mediante firmas digitales en los registros. Protege contra cache poisoning<\/em> y suplantaci\u00f3n de respuestas. Mant\u00e9n las claves al d\u00eda y monitorea el chain of trust<\/em>.<\/p>\n\n\n\n Usa Split-Horizon DNS<\/strong> para ofrecer respuestas distintas a internos y externos (p. ej., IP privada para intranet y p\u00fablica para Internet). Controla las transferencias de zona<\/strong> (TSIG\/ACLs) y registra consultas para detectar anomal\u00edas o exfiltraci\u00f3n DNS.<\/p>\n\n\n\n Para la confidencialidad de consultas<\/strong>, emplea DoT<\/strong> (DNS-over-TLS, 853\/TCP) o DoH<\/strong> (DNS-over-HTTPS, 443\/TCP). Integra con filtros\/validadores en recursivos y aplica pol\u00edticas de resoluci\u00f3n seguras.<\/p>\n\n\n\n IPsec<\/strong> (con IKEv2) protege capa 3<\/strong> y es com\u00fan en site-to-site<\/strong> entre sedes. Las SSL\/TLS VPN<\/strong> son habituales para usuarios remotos<\/strong> y pueden operar a nivel de app o red. La elecci\u00f3n depende de dispositivos, rendimiento y visibilidad requerida.<\/p>\n\n\n\n Define si el t\u00fanel ser\u00e1 full<\/strong> (todo el tr\u00e1fico por la VPN) o split<\/strong> (solo redes corporativas). Full ofrece mayor control\/filtrado; split reduce carga y mejora experiencia, pero requiere endpoints endurecidos<\/strong> y controles en el dispositivo.<\/p>\n\n\n\n Busca Perfect Forward Secrecy (PFS)<\/strong> mediante Diffie-Hellman ef\u00edmero (DHE\/ECDHE) para que la exposici\u00f3n de una clave a futuro no descifre sesiones pasadas. Usa certificados y MFA<\/strong> para elevar la seguridad del acceso remoto.<\/p>\n\n\n\n Para entornos corporativos, usa WPA3-Enterprise<\/strong> con 802.1X\/EAP-TLS<\/strong> (certificados) en lugar de PSK compartidas. Esto proporciona autenticaci\u00f3n fuerte por dispositivo\/usuario y elimina el riesgo de claves conocidas por muchos.<\/p>\n\n\n\n Separa SSIDs por prop\u00f3sito (corporativo, invitados, dispositivos IoT) y aplica VLANs<\/strong> y client isolation<\/strong> donde aplique. Evita WEP\/WPA\/WPA2-TKIP<\/strong> y desactiva WPS<\/strong>. Considera Management Frame Protection (802.11w)<\/strong> para proteger planos de control.<\/p>\n\n\n\n Integra la Wi-Fi con pol\u00edticas de NAC\/802.1X<\/strong> (postura, pertenencia a grupos) y telemetr\u00eda para detectar anomal\u00edas de roaming, intentos de asociaciones sospechosas o picos an\u00f3malos de tr\u00e1fico.<\/p>\n\n\n\n Zero Trust<\/strong> asume red hostil y verificaci\u00f3n continua<\/strong>. La identidad (usuario, dispositivo, contexto) decide el acceso, no la mera ubicaci\u00f3n IP. Microsegmentaci\u00f3n<\/strong> y pol\u00edticas din\u00e1micas<\/strong> limitan cada flujo al m\u00ednimo necesario y se reeval\u00faan con cambios de contexto.<\/p>\n\n\n\n Un NAC<\/strong> con 802.1X controla qui\u00e9n y qu\u00e9 entra en la red seg\u00fan postura (parches, cifrado, EDR) y asigna VLAN\/perfil. En entornos remotos, ZTNA\/SDP<\/strong> publica solo aplicaciones espec\u00edficas tras autenticaci\u00f3n fuerte.<\/p>\n\n\n\n La telemetr\u00eda<\/strong> (NetFlow\/IPFIX, logs del proxy\/WAF, eventos de firewall) aporta visibilidad. NetFlow da metadatos de flujo<\/strong> (qui\u00e9n, a d\u00f3nde, cu\u00e1nto) sin paquetes completos, \u00fatil para detecci\u00f3n y capacidad. Centraliza y correlaciona para ver patrones de abuso.<\/p>\n\n\n\n Resumen Dise\u00f1o de zonas y DMZ, per\u00edmetro con proxy\/WAF\/CDN, accesos de administraci\u00f3n seguros (bastion\/RDP Gateway), protecciones de acceso (SLAAC\/RA Guard, DHCP Snooping, DAI), DNS seguro (DNSSEC, Split-Horizon, DoT\/DoH), VPNs (IPsec, SSL, IKEv2, PFS), Wi-Fi empresarial (WPA3-Enterprise, 802.1X\/EAP-TLS) y principios de Zero Trust con telemetr\u00eda de red. Zonificaci\u00f3n, DMZ y flujos controlados Una red segura empieza […]<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[],"class_list":["post-24474","post","type-post","status-publish","format-standard","hentry","category-sin-categoria"],"blocksy_meta":[],"_links":{"self":[{"href":"https:\/\/sada.services\/index.php?rest_route=\/wp\/v2\/posts\/24474","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/sada.services\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/sada.services\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/sada.services\/index.php?rest_route=\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/sada.services\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=24474"}],"version-history":[{"count":4,"href":"https:\/\/sada.services\/index.php?rest_route=\/wp\/v2\/posts\/24474\/revisions"}],"predecessor-version":[{"id":24526,"href":"https:\/\/sada.services\/index.php?rest_route=\/wp\/v2\/posts\/24474\/revisions\/24526"}],"wp:attachment":[{"href":"https:\/\/sada.services\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=24474"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/sada.services\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=24474"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/sada.services\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=24474"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}![\"\"](\"https:\/\/sada.services\/wp-content\/uploads\/2026\/05\/image-223-1024x479.png\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/sada.services\/wp-content\/uploads\/2026\/05\/image-224-1024x480.png\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/sada.services\/wp-content\/uploads\/2026\/05\/image-225-1024x463.png\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/sada.services\/wp-content\/uploads\/2026\/05\/image-226-1024x478.png\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/sada.services\/wp-content\/uploads\/2026\/05\/image-227-1024x472.png\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/sada.services\/wp-content\/uploads\/2026\/05\/image-228-1024x323.png\")
<\/figure>\n\n\n\nPer\u00edmetro moderno: Reverse Proxy, WAF y CDN<\/h3>\n\n\n\n
![\"\"](\"https:\/\/sada.services\/wp-content\/uploads\/2026\/05\/image-229-1024x471.png\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/sada.services\/wp-content\/uploads\/2026\/05\/image-230-1024x472.png\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/sada.services\/wp-content\/uploads\/2026\/05\/image-231-1024x477.png\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/sada.services\/wp-content\/uploads\/2026\/05\/image-232-1024x475.png\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/sada.services\/wp-content\/uploads\/2026\/05\/image-233-1024x329.png\")
<\/figure>\n\n\n\nAcceso administrativo: Bastion y RDP Gateway<\/h3>\n\n\n\n
![\"\"](\"https:\/\/sada.services\/wp-content\/uploads\/2026\/05\/image-234-1024x480.png\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/sada.services\/wp-content\/uploads\/2026\/05\/image-235-1024x474.png\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/sada.services\/wp-content\/uploads\/2026\/05\/image-236-1024x468.png\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/sada.services\/wp-content\/uploads\/2026\/05\/image-237-1024x476.png\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/sada.services\/wp-content\/uploads\/2026\/05\/image-238-1024x321.png\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/sada.services\/wp-content\/uploads\/2026\/05\/image-239-1024x474.png\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/sada.services\/wp-content\/uploads\/2026\/05\/image-240-1024x475.png\")
<\/figure>\n\n\n\nCapa de acceso: IPv6\/IPv4 y protecci\u00f3n de primer salto<\/h3>\n\n\n\n
![\"\"](\"https:\/\/sada.services\/wp-content\/uploads\/2026\/05\/image-241-1024x472.png\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/sada.services\/wp-content\/uploads\/2026\/05\/image-242-1024x482.png\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/sada.services\/wp-content\/uploads\/2026\/05\/image-243-1024x476.png\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/sada.services\/wp-content\/uploads\/2026\/05\/image-244-1024x475.png\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/sada.services\/wp-content\/uploads\/2026\/05\/image-245-1024x472.png\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/sada.services\/wp-content\/uploads\/2026\/05\/image-246-1024x338.png\")
<\/figure>\n\n\n\nDNS seguro: DNSSEC, Split-Horizon y canales cifrados<\/h3>\n\n\n\n
![\"\"](\"https:\/\/sada.services\/wp-content\/uploads\/2026\/05\/image-247-1024x475.png\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/sada.services\/wp-content\/uploads\/2026\/05\/image-248-1024x479.png\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/sada.services\/wp-content\/uploads\/2026\/05\/image-249-1024x482.png\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/sada.services\/wp-content\/uploads\/2026\/05\/image-250-1024x486.png\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/sada.services\/wp-content\/uploads\/2026\/05\/image-251-1024x318.png\")
<\/figure>\n\n\n\nVPNs y acceso remoto: IPsec, SSL, IKEv2 y PFS<\/h3>\n\n\n\n
![\"\"](\"https:\/\/sada.services\/wp-content\/uploads\/2026\/05\/image-252-1024x464.png\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/sada.services\/wp-content\/uploads\/2026\/05\/image-253-1024x465.png\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/sada.services\/wp-content\/uploads\/2026\/05\/image-254-1024x471.png\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/sada.services\/wp-content\/uploads\/2026\/05\/image-255-1024x471.png\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/sada.services\/wp-content\/uploads\/2026\/05\/image-256-1024x481.png\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/sada.services\/wp-content\/uploads\/2026\/05\/image-257-1024x319.png\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/sada.services\/wp-content\/uploads\/2026\/05\/image-258-1024x477.png\")
<\/figure>\n\n\n\nWi-Fi empresarial seguro: WPA3-Enterprise y 802.1X<\/h3>\n\n\n\n
![\"\"](\"https:\/\/sada.services\/wp-content\/uploads\/2026\/05\/image-259-1024x466.png\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/sada.services\/wp-content\/uploads\/2026\/05\/image-260-1024x476.png\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/sada.services\/wp-content\/uploads\/2026\/05\/image-261-1024x475.png\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/sada.services\/wp-content\/uploads\/2026\/05\/image-262-1024x471.png\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/sada.services\/wp-content\/uploads\/2026\/05\/image-263-1024x480.png\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/sada.services\/wp-content\/uploads\/2026\/05\/image-264-1024x341.png\")
<\/figure>\n\n\n\nZero Trust de red y telemetr\u00eda<\/h3>\n\n\n\n
![\"\"](\"https:\/\/sada.services\/wp-content\/uploads\/2026\/05\/image-265-1024x551.png\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/sada.services\/wp-content\/uploads\/2026\/05\/image-266-1024x482.png\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/sada.services\/wp-content\/uploads\/2026\/05\/image-267-1024x461.png\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/sada.services\/wp-content\/uploads\/2026\/05\/image-268-1024x447.png\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/sada.services\/wp-content\/uploads\/2026\/05\/image-269-1024x468.png\")
<\/figure>\n\n\n\n![\"\"](\"https:\/\/sada.services\/wp-content\/uploads\/2026\/05\/image-270-1024x330.png\")
<\/figure>\n","protected":false},"excerpt":{"rendered":"