ZONAS DMZ

SEGURIDAD DE SISTEMAS COMPUTACIONALES

ZONAS DMZ
En seguridad informtica, una zona desmilitarizada (DMZ) o red perimetral es una
red local (una subred) que se ubica entre la red interna de una organizacin y una
red externa, generalmente Internet.
El objetivo de una DMZ es que las conexiones desde la red interna y la externa a la
DMZ estn permitidas, mientras que las conexiones desde la DMZ slo se permitan
a la red externa -- los equipos (hosts) en la DMZ no pueden conectar con la red
interna.
Esto permite que los equipos (hosts) de la DMZ's dar servicios a la red externa a la
vez que protegen la red interna en el caso de que intrusos comprometan la
seguridad de los equipos (host) situados en la zona desmilitarizada.
Para cualquiera de la red externa que quiera conectarse ilegalmente a la red
interna, la zona desmilitarizada se convierte en un callejn sin salida.

ZONAS DMZ
La DMZ se usa habitualmente para ubicar servidores que es necesario
que sean accedidos desde fuera, como servidores de e-mail, Web y DNS.
Las conexiones que se realizan desde la red externa hacia la DMZ se
controlan generalmente utilizando port address translation (PAT).

Una DMZ se crea a menudo a travs de las opciones de configuracin del

cortafuegos, donde cada red se conecta a un puerto distinto de ste - esta
configuracin se llama cortafuegos de tres patas? (three-legged firewall).
Un planteamiento ms seguro es usar dos cortafuegos, donde la DMZ se
sita en medio y se conecta a ambos cortafuegos, uno conectado a la red
interna y el otro a la red externa.
Esta configuracin ayuda a prevenir configuraciones errneas
accidentales que permitan el acceso desde la red externa a la interna.

ZONAS DMZ
Ejemplo de DMZ en un Firewall de tres puertas

ZONAS DMZ
Ejemplo de DMZ en un Firewall IPCOP de tres puertas

ZONAS DMZ
Ejemplo de DMZ con dos firewalls

NAT- PAT
La Traduccin de Direcciones de Red, o NAT (Network Address Translation),

es un sistema que se utiliza para asignar una red completa (o varias redes) a
una sola direccin IP. NAT es necesario cuando la cantidad de direcciones IP
que nos haya asignado nuestro proveedor de Internet sea inferior a la
cantidad de computadores que queramos que accedan a Internet. NAT se
describe en el RFC 1631.
Existen dos tipos de NAT:
Asignacin dinmica de direcciones, en este caso, las direcciones externas
son asignadas a las mquinas de la red privada, o viceversa, de manera
dinmica, basndose en los requisitos de uso y el flujo de sesin que el NAT
determine heursticamente.
Asignacin esttica de direcciones, en el caso de asignacin esttica de
direcciones, existe un mapeo uno a uno de direcciones para las mquinas
entre una direccin privada de red y una direccin externa de red durante el
tiempo en funcionamiento del NAT.

NAT- PAT
Port Address Translation (PAT) es una caracterstica del estndar NAT, que

traduce conexiones TCP y UDP hechas por un host y un puerto en una red
externa a otra direccin y puerto de la red interna. PAT permite que una sola
direccin IP sea utilizada por varias mquinas de la intranet. Con PAT, una IP
externa puede responder hasta a ~64000 direcciones internas.
ste mtodo permite a varias mquinas de la intranet compartir una sola
direccin en Internet, cualquier paquete ip contiene la direccin y el puerto
tanto del origen como del destino. En el destino, el puerto le dice al receptor
cmo procesar el paquete, un paquete con puerto 80 indica que contiene una
pgina web, mientras que el puerto 25 es usado para transmitir correo
electrnico entre servidores de correo. La traduccin de los puertos, llamada
PAT para distinguirla de la traduccin de direcciones (NAT), se apoya en el
hecho de que el puerto de origen carece de importancia para la mayora de
los protocolos. Igual que NAT, PAT se sita en la frontera entre la red interna y
externa, y realiza cambios en la direccin del origen y del receptor en los
paquetes de datos que pasan a travs de ella.

Conclusiones
Para mantener aisladas las redes seguras (LAN) de las inseguras (WAN),
(internet) es necesario segmentar las redes y generar una zona de
intercambio (DMZ) que es donde se implementan los servicios que deben
salir a internet, de esta forma si ellos son atacados, no pasan havia la red
interna protegiendo la confidencialidad de la informacion.
Tambin es importante considerar que para proteger los servicios, estos se
ocultan del exterior configurndolos con ips no ruteables , pero para ser
publicados necesitan una ip pblica, para estos efectos generalmente es el
firewall el que se presenta hacia internet con una direccion, la cual se
redirecciona al servidor en cuestion mediante la tecnica del NAT y/o PAT.