ZONAS DMZ

SEGURIDAD DE SISTEMAS
COMPUTACIONALES

ZONAS DMZ
En seguridad informtica, una zona desmilitarizada (DMZ) o red
perimetral es una red local (una subred) que se ubica entre la red interna
de una organizacin y una red externa, generalmente Internet.
El objetivo de una DMZ es que las conexiones desde la red interna y la
externa a la DMZ estn permitidas, mientras que las conexiones desde la
DMZ slo se permitan a la red externa -- los equipos (hosts) en la DMZ no
pueden conectar con la red interna.
Esto permite que los equipos (hosts) de la DMZ's dar servicios a la red
externa a la vez que protegen la red interna en el caso de que intrusos
comprometan la seguridad de los equipos (host) situados en la zona
desmilitarizada.
Para cualquiera de la red externa que quiera conectarse ilegalmente a la
red interna, la zona desmilitarizada se convierte en un callejn sin salida.

ZONAS DMZ
La DMZ se usa habitualmente para ubicar servidores que
es necesario que sean accedidos desde fuera, como
servidores de e-mail, Web y DNS.
Las conexiones que se realizan desde la red externa hacia
la DMZ se controlan generalmente utilizando port address
translation (PAT).
Una DMZ se crea a menudo a travs de las opciones de
configuracin del cortafuegos, donde cada red se conecta a
un puerto distinto de ste - esta configuracin se llama
cortafuegos de tres patas? (three-legged firewall).
Un planteamiento ms seguro es usar dos cortafuegos,
donde la DMZ se sita en medio y se conecta a ambos
cortafuegos, uno conectado a la red interna y el otro a la
red externa.

ZONAS DMZ
Ejemplo de DMZ en un Firewall de tres puertas

ZONAS DMZ
Ejemplo de DMZ en un Firewall IPCOP de tres
puertas

ZONAS DMZ
Ejemplo de DMZ con dos firewalls

NAT- PAT
La Traduccin de Direcciones de Red, o NAT (Network

Address Translation), es un sistema que se utiliza para asignar

una red completa (o varias redes) a una sola direccin IP. NAT
es necesario cuando la cantidad de direcciones IP que nos
haya asignado nuestro proveedor de Internet sea inferior a la
cantidad de computadores que queramos que accedan a
Internet. NAT se describe en el RFC 1631.
Existen dos tipos de NAT:
Asignacin dinmica de direcciones, en este caso, las
direcciones externas son asignadas a las mquinas de la red
privada, o viceversa, de manera dinmica, basndose en los
requisitos de uso y el flujo de sesin que el NAT determine
heursticamente.
Asignacin esttica de direcciones, en el caso de
asignacin esttica de direcciones, existe un mapeo uno a uno
de direcciones para las mquinas entre una direccin privada
de red y una direccin externa de red durante el tiempo en

NAT- PAT
Port Address Translation (PAT) es una caracterstica del

estndar NAT, que traduce conexiones TCP y UDP hechas por

un host y un puerto en una red externa a otra direccin y
puerto de la red interna. PAT permite que una sola direccin IP
sea utilizada por varias mquinas de la intranet. Con PAT, una
IP externa puede responder hasta a ~64000 direcciones
internas.
ste mtodo permite a varias mquinas de la intranet
compartir una sola direccin en Internet, cualquier paquete ip
contiene la direccin y el puerto tanto del origen como del
destino. En el destino, el puerto le dice al receptor cmo
procesar el paquete, un paquete con puerto 80 indica que
contiene una pgina web, mientras que el puerto 25 es usado
para transmitir correo electrnico entre servidores de correo.
La traduccin de los puertos, llamada PAT para distinguirla de
la traduccin de direcciones (NAT), se apoya en el hecho de
que el puerto de origen carece de importancia para la mayora

Conclusiones
Para mantener aisladas las redes seguras (LAN) de las
inseguras (WAN), (internet) es necesario segmentar las redes
y generar una zona de intercambio (DMZ) que es donde se
implementan los servicios que deben salir a internet, de esta
forma si ellos son atacados, no pasan havia la red interna
protegiendo la confidencialidad de la informacion.
Tambin es importante considerar que para proteger los
servicios, estos se ocultan del exterior configurndolos con
ips no ruteables , pero para ser publicados necesitan una ip
pblica, para estos efectos generalmente es el firewall el
que se presenta hacia internet con una direccion, la cual se
redirecciona al servidor en cuestion mediante la tecnica del
NAT y/o PAT.