La DMZ, lo que aloja y lo que puede alcanzar

Un servidor que atiende a internet será intentado por cualquiera, a cualquier hora. Se asume que tarde o temprano alguno caerá por un fallo propio o de un componente. La DMZ no evita la caída: limita lo que se puede hacer desde ahí después. Por eso su regla de oro es que lo interno inicie hacia la DMZ y no al revés, y que lo poco que la DMZ inicie hacia dentro sea estrecho, justificado y vigilado.

De esa regla salen las preguntas de la revisión. Qué equipos están en la DMZ y por qué. Si alguno guarda datos que no necesita servir. Qué reglas permiten salir de la DMZ hacia las zonas internas, con qué origen, qué destino y cuántos puertos. Una DMZ con muchas salidas anchas hacia dentro es una red interna con otro nombre.

La base de datos es lo que más duele perder, y su regla de entrada es una de las primeras que se lee. Que una base reciba conexiones desde la DMZ no es un error de configuración, es una decisión de arquitectura: significa que si el sitio cae, el atacante llega con las mismas credenciales de acceso a los datos que el sitio. Se describe como arquitectura, con su origen y su puerto.

Busca en las reglas cuál tiene como destino la base de datos de pedidos y anota quién origina las conexiones. El destino de la base aparece con su nombre de equipo, no con su dirección.

Hay reglas que nacen como excepción: una carga de datos que debía durar un mes, un acceso para una migración. Si nadie las cierra, se vuelven permanentes y, por ser «temporales», nadie las revisa. En el cortafuegos de Cartonera Valle Hondo hay una: una regla de la DMZ hacia los servidores internos, escrita hace más de un año, sin límite de puertos.

Una regla ancha en el papel es un riesgo; una regla ancha usada es un hecho. El registro del cortafuegos permite pasar de «podría» a «ocurrió»: cada conexión dice qué regla la decidió. Para el informe hace falta la cifra del extracto, con el filtro correcto: solo lo que decidió esa regla.

Una recomendación útil dice qué se cambia y por qué alcanza. Para una DMZ que consulta directamente una base interna, lo habitual es poner un componente intermedio dentro de la red interna: una pequeña interfaz que acepte solo las consultas que el sitio necesita y se las pase a la base. Así la base solo acepta conexiones desde ese componente, y lo que cae en la DMZ no recibe credenciales de la base.

Una recomendación que dependa de que nadie se acuerde, o que no cambie lo que permite la regla, no es una recomendación: es un recordatorio.