¿Por qué se divide una red en zonas?
La segmentación de una red es dividirla en zonas que solo hablan entre sí cuando una regla lo permite. Así, un equipo infectado no alcanza todo lo demás.
En una biblioteca municipal, los puestos del personal, la wifi pública y las cámaras comparten un solo cable. Un móvil con un virus, conectado a la wifi pública, llega a los ordenadores del catálogo. Con zonas, no.
Al final de esta lección
Nota
Puedo separar una red en zonas y decir quién puede hablar con quién.
Palabras clave
| Palabra | Qué significa | Ejemplo |
|---|---|---|
| Segmentación | dividir una red en zonas separadas | |
| Zona | un grupo de equipos con las mismas necesidades de confianza | invitados |
| VLAN | una red virtual dentro de un conmutador | |
| Movimiento lateral | saltar de un equipo ya vencido a otro de la misma red | |
| Tráfico entre zonas | el que cruza de una zona a otra, y pasa por un router |
Las celdas que rellenan los estudiantes quedan en blanco en esta vista previa.
En una red plana todo se alcanza
En una red plana, todos los equipos se ven entre sí. Si un atacante entra por el más débil, por ejemplo una cámara con la clave de fábrica, puede probar suerte con todos los demás.
A ese salto de un equipo a otro se le llama movimiento lateral. La segmentación no impide que el primer equipo caiga, pero lo deja solo.
Ejemplo resuelto: las zonas de una biblioteca
| Zona | Qué hay | Nivel de confianza |
|---|---|---|
| personal | Puestos de bibliotecarios | Alto |
| servidores | Catálogo y base de datos de socios | Alto, y muy valioso |
| publico | Wifi y ordenadores de consulta | Bajo |
| cctv | Cámaras de seguridad | Bajo, con programa que no se actualiza |
Las celdas que rellenan los estudiantes quedan en blanco en esta vista previa.
Conoce las máquinas y la tabla de VLAN
vlanlab statusSe muestra aquí y no se ejecuta. Crea una cuenta gratuita para pulsar Ejecutar y escribirlo en el terminal de tu propio laboratorio.
Mira por dónde sale h10 de su red
sudo ip netns exec h10 ip routeSe muestra aquí y no se ejecuta. Crea una cuenta gratuita para pulsar Ejecutar y escribirlo en el terminal de tu propio laboratorio.
Qué dicen los dos Run
El primer Run lista cinco máquinas: el conmutador, el router y tres equipos. Debajo imprime la tabla de VLAN del conmutador.
El segundo muestra que h10 tiene dos rutas: la de su red, 10.10.0.0/24, y una ruta por defecto por 10.10.0.1. Cualquier destino fuera de su red sale por esa puerta, que será el router.
Una VLAN separa equipos que comparten un conmutador
Un conmutador conecta equipos en una misma red. Una VLAN lo divide en varias redes virtuales: los equipos de una VLAN no ven los de otra, aunque estén enchufados al mismo aparato.
Para que dos VLAN hablen hace falta un router. Y un router es un buen sitio donde poner reglas.
El router entre zonas controla el paso
Todo lo que cruza de una zona a otra pasa por el router. Allí se aplican las reglas de la lección anterior: cada pareja de zonas tiene su política, y la de partida es denegar.
Una regla habitual: el personal puede abrir conexiones hacia los servidores, pero los servidores no abren hacia el personal. Es una regla de un solo sentido.
Ejemplo resuelto: quién abre conexión hacia quién
| Desde / hacia | personal | servidores | publico | cctv |
|---|---|---|---|---|
| personal | Sí | Sí | No | Sí |
| servidores | No | Sí | No | No |
| publico | No | No | Sí | No |
| cctv | No | No | No | Sí |
Las celdas que rellenan los estudiantes quedan en blanco en esta vista previa.
Cuenta cuántas reglas hablan de los servidores
printf "personal>servidores\npublico>internet\npersonal>cctv\n" | grep -c "servidores"Se muestra aquí y no se ejecuta. Crea una cuenta gratuita para pulsar Ejecutar y escribirlo en el terminal de tu propio laboratorio.
Un error frecuente
Advertencia
Mucha gente cree que una VLAN es un cortafuegos. Una VLAN solo separa. En cuanto un router une dos VLAN sin reglas, todo el tráfico pasa. La separación protege solo si el router entre zonas deniega lo que no se ha permitido.
Las zonas se diseñan por confianza
Para decidir las zonas, agrupa los equipos por cuánto se puede confiar en ellos y por qué hacen. Pon aparte lo más valioso, los servidores, y lo menos fiable, la wifi pública y los aparatos del internet de las cosas.
Después escribe la matriz: de cada zona a cada otra, ¿hace falta algo? Solo permites lo que sale en la lista. Todo lo demás se deniega.