Pasarela, intermediario y bastión: la frontera controlada

La pasarela de API recibe peticiones de otros sistemas, autentica a quien llama, valida el formato, limita la tasa y reenvía solo a las rutas que se publicaron. El servicio interno nunca queda expuesto: lo que llega desde fuera habla con la pasarela.

El intermediario de acceso a aplicaciones hace lo mismo para personas: verifica la identidad y el estado del equipo y entrega una aplicación, no una ruta de red. El usuario no «entra a la red»; usa una aplicación concreta y nada más.

El bastión es el único camino para administrar: segundo factor, sesión grabada y destinos acotados. Su valor está en ser el único y en no servir de túnel.

La forma más común de saltarse una pasarela no es técnica: es una regla «temporal» del cortafuegos que se abrió mientras se integraba a alguien y nunca se cerró. El servicio interno queda expuesto directamente, sin autenticación de la pasarela ni límite de tasa, y el inventario lo sigue contando como integrado.

Abre el laboratorio y lee flujos-de-frontera.txt. Fíjate en la columna «por dónde entra» de cada flujo que viene de internet.

El bastión controla lo que pasa dentro de la sesión: quién entra, con qué factor, qué hace y queda grabado. Si además permite reenvío de puertos, la persona puede abrir desde su propio equipo un canal hacia el destino y usar ahí cualquier herramienta: lo que viaja por ese canal ya no se ve en la grabación y el destino queda alcanzable desde un equipo que el bastión no controla. El bastión pasa de frontera a puente.

Lee perfiles-bastion.txt.

El intermediario protege porque publica aplicaciones, una por una. Cuando una publicación apunta a un segmento entero y a todos los puertos, el usuario vuelve a tener una ruta de red, como con un túnel tradicional, y si además no se exige nada al equipo, el patrón queda vacío: tiene el nombre, pero no hace lo que promete.

Lee publicaciones-intermediario.txt y compara el destino de cada publicación.

Cuando un patrón se degrada, lo primero no es cambiarlo por otro, sino devolverlo a su forma: la publicación del proveedor de medidores sigue necesitando el intermediario, solo que bien usado. Para eso hay que saber qué aplicación usa de verdad ese proveedor, publicarla sola y exigir algo al equipo desde el que entra.