Acceso público y reglas de red de una base

En AWS, una instancia de RDS tiene una marca de acceso público. Si está en «sí», su nombre se resuelve a una dirección pública, pero eso no la hace alcanzable por sí solo. Para que alguien en internet llegue hasta ella hacen falta tres cosas a la vez: que la marca esté en «sí», que su subred tenga una ruta con salida directa a internet, y que su grupo de seguridad acepte el puerto desde el origen de quien intenta conectar. Si falta una, la base no es alcanzable desde internet.

Eso no quiere decir que lo demás esté bien. Una regla abierta a cualquier origen en una base privada es un error de configuración que se corrige igualmente, porque basta que alguien cambie la subred o la marca para que se vuelva un problema real. Pero al priorizar, la base alcanzable hoy va primero.

Abre el laboratorio. Cruza las tres tablas de AWS: instancias (marca de acceso público y subred), subredes (si hay ruta a internet) y reglas_de_entrada (desde dónde se acepta el puerto). Busca la instancia que cumple las tres condiciones con un origen abierto a cualquiera. Hay otras que cumplen una o dos y son distractores.

Azure SQL tiene un firewall a nivel de servidor que bloquea todo hasta que se añaden reglas. Existe una opción, llamada «permitir servicios y recursos de Azure», que crea una regla con la dirección inicial y la final iguales a 0.0.0.0. Parece decir «solo mis servicios», pero admite conexiones de cualquier servicio de Azure, incluidos los que corren en suscripciones de otros clientes. La regla no limita el acceso a tu suscripción ni a tu grupo de recursos; solo el inicio de sesión y los permisos de la base frenan lo que venga detrás.

Una alternativa más estrecha son los puntos de conexión de servicio de red virtual o los puntos de conexión privados, que limitan la conectividad a subredes o redes concretas.

Las bases con datos Restringidos no deberían declarar acceso público en ninguna nube, esté o no cerrado el resto de capas. Contar las que lo declaran es una primera cifra para la gerencia. Incluye las de AWS y las de Azure: en Azure la columna acceso_publico indica si el servidor tiene habilitado su punto de conexión público.

La aplicación de informes de Nemocon vive en la red 198.51.100.0/24 y consulta la base que encontraste en la tarea 2. Hay que quitar la exposición sin dejar a la aplicación sin servicio.