Lo que la VPN de red completa concede de más

Una red privada virtual tradicional (VPN) opera en capa 3 o 4, asignando una dirección IP de la red corporativa al dispositivo remoto. Este modelo asume que quien supera la autenticación inicial puede tener visibilidad de enrutamiento sobre toda la subred, permitiendo el escaneo de puertos y el movimiento lateral hacia activos no relacionados con la función laboral.

En arquitecturas modernas basadas en Zero Trust (NIST SP 800-207), la conectividad debe reducirse a la aplicación específica y no a la red física, eliminando el descubrimiento pasivo de hosts.

Cuando se analizan tablas de enrutamiento asignadas a grupos de usuarios, es frecuente hallar perfiles con máscaras amplias que conectan segmentos con equipamiento de soporte y telefonía.

Abre el laboratorio y examina tabla-enrutamiento-vpn.txt. Identifica el perfil que recibe enrutamiento hacia la subred 10.45.0.0/16 donde conviven teléfonos VoIP y consolas de gestión IPMI.

El principio de mínimo privilegio exige limitar el tránsito a los puertos estrictamente necesarios para la aplicación. Un túnel permisivo deja abiertos vectores de riesgo como SMB y RPC hacia servidores de base de datos.

Revisa matriz-accesos.txt y localiza el servicio requerido por el perfil de consultoría cuyos puertos expuestos figuran como ANY sobre la red 10.46.0.0/16.

Para mitigar este riesgo estructural, el arquitecto debe reemplazar el enlace de capa de red por intermediarios de aplicación que terminen la sesión en un proxy y verifiquen el contexto en cada transacción.