Arquitectura de red DMZ y su rol en la seguridad

Lectura de 2 min aprox.

Una DMZ (DeMilitarized Zone, zona desmilitarizada) es una zona de amortiguación situada entre la red interna y la red externa (internet). Al colocar en la DMZ los servidores que necesitan ser accesibles desde el exterior, como los servidores web y de correo, se puede evitar la intrusión directa en la red interna aunque esos servidores se vean comprometidos. Combinada con un firewall, es un patrón de diseño de red fundamental para lograr la defensa en profundidad. A fecha de 2025, en los entornos en la nube la configuración de subredes públicas/privadas de una VPC hereda el concepto de DMZ, y se recomienda su uso combinado con la arquitectura de confianza cero.

Dónde se detiene un servidor expuesto comprometido

El valor de una DMZ se aprecia con mayor claridad cuando un servidor expuesto al exterior se ve realmente comprometido. Los servidores que aceptan accesos desde internet, como los servidores web, están constantemente expuestos a ataques, por lo que el diseño debe partir de la premisa de que pueden verse comprometidos. Si hay un firewall entre la DMZ y la red interna, un atacante que haya tomado el control de un servidor de la DMZ queda detenido allí y no puede llegar directamente a los sistemas internos, como la base de datos de clientes. En cambio, en una configuración sin DMZ, donde los servidores expuestos se sitúan directamente en la red interna, comprometer un servidor conduce directamente al interior de la red. El papel de la DMZ es contener el daño dentro del segmento expuesto al público y evitar que se propague hacia dentro.

Arquitectura de red DMZ

Patrones de configuración de DMZ

En una configuración de un solo firewall, se establecen tres interfaces de red en un firewall para separar los segmentos externo, DMZ e interno. En una configuración de doble firewall, la DMZ se coloca entre un firewall externo y uno interno, logrando una separación más sólida. En los entornos en la nube, la subred pública de una VPC corresponde a la DMZ, y el tráfico se controla con grupos de seguridad y ACL de red.

Un escenario de diseño real

Una empresa que opera un sitio de comercio electrónico coloca sus servidores web y proxies inversos en la DMZ, mientras que los servidores de aplicaciones y de base de datos residen en la red interna. El tráfico desde la DMZ hacia la red interna solo se permite en puertos específicos (por ejemplo, el puerto 8080 del servidor de aplicaciones), y se prohíbe el acceso directo a la base de datos. Con este diseño, aunque un servidor web se vea comprometido, se puede evitar el acceso directo a la base de datos de clientes. Una política de seguridad corporativa también define las reglas de control de acceso para los servidores dentro de la DMZ.

Aspectos clave del diseño

Restrinja al mínimo la comunicación desde los servidores de la DMZ hacia la red interna, y limite el acceso administrativo desde la red interna a la DMZ para que se realice a través de un host bastión. Proteja todos los servidores y dispositivos de red de la DMZ con contraseñas aleatorias robustas, y haga obligatoria la autenticación multifactor para el acceso administrativo. Bajo los principios de la seguridad de confianza cero, se recomienda un diseño que verifique no solo la defensa del perímetro de la DMZ, sino también la comunicación entre los servidores individuales.