Redes virtuales
y privacidad
Una referencia visual para entender protocolos TCP/IP, Wi-Fi, cortafuegos, servidores proxy, VPN y SD-WAN. Con ejemplos, esquemas y autoevaluación.
Las 6 piezas de una red protegida
No son conceptos aislados: cada tecnología resuelve un problema diferente.
Reglas
Hacen posible la comunicación entre dispositivos.
Acceso
Protege la conexión inalámbrica.
Control
Permite o bloquea tráfico según reglas.
Intermediación
Recibe solicitudes y las reenvía.
Túnel
Cifra la comunicación entre dos extremos.
Conectividad
Gestiona conexiones entre sedes y enlaces.
¿Qué es un protocolo de red?
Es un conjunto de reglas para intercambiar información entre dispositivos.
Transportar datos
TCP, UDP, HTTP y SMTP definen distintas formas de comunicación.
Diagnosticar
ICMP transmite mensajes de control y ayuda a detectar problemas.
Proteger
TLS e IPsec permiten autenticar y proteger comunicaciones.
Son categorías didácticas: algunos protocolos cumplen varias funciones.
El modelo TCP/IP en 4 capas
Cada capa presta servicios a la superior. Esta es la referencia rápida.
ARP relaciona direcciones IPv4 con direcciones MAC en la red local. Su ubicación exacta en las capas varía según el modelo.
TCP frente a UDP
Ambos pertenecen a la capa de transporte, pero ofrecen garantías distintas.
Fiable y ordenado
Orientado a conexión: retransmite pérdidas, mantiene el orden y controla el flujo. Usos: web sobre HTTP/1.1 y HTTP/2, SSH y correo.
Ligero y flexible
Envía datagramas sin garantizar entrega ni orden. Usos: consultas DNS, voz, videojuegos y QUIC.
Truco: TCP gestiona confirmaciones y orden; UDP no ofrece esas garantías por sí solo.
HTTP, HTTPS, DNS y SMTP
Servicios de aplicación que utilizas constantemente.
HTTP / HTTPS
HTTP intercambia contenido web. HTTPS añade TLS para proteger la comunicación y autenticar el servidor.
DNS
Resuelve nombres como ejemplo.com en direcciones IP. Habitualmente usa UDP/53, pero también TCP y opciones cifradas.
SMTP
Envía y retransmite correo entre clientes y servidores; puede protegerse mediante TLS.
ARP e ICMP: funciones distintas
ARP ayuda a localizar dispositivos en la LAN; ICMP informa y diagnostica.
IP → MAC local
Resuelve una dirección IPv4 a su dirección MAC en el mismo segmento.
Diagnóstico
ping utiliza ICMP Echo Request y Echo Reply; también existen mensajes de error.
ARP no cruza routers para resolver la MAC de un equipo remoto; ICMP viaja encapsulado en IP.
Seguridad Wi-Fi: de WEP a WPA3
Tener contraseña no significa que todos los mecanismos sean igual de seguros.
WEP
Obsoleto y vulnerable. No debe utilizarse.
WPA
Superado por WPA2 y WPA3.
WPA2
Preferible con AES-CCMP y contraseña robusta.
WPA3
Incluye mejoras de autenticación; WPA3-Personal usa SAE.
Personal y Enterprise
La principal diferencia es cómo se autentica cada dispositivo o usuario.
WPA2/WPA3 Personal
Clave compartida en WPA2-Personal; SAE en WPA3-Personal. Adecuado para hogares y redes pequeñas.
WPA2/WPA3 Enterprise
Autenticación individual, normalmente con 802.1X y un servidor RADIUS.
Buenas prácticas: WPA3 si todos los equipos lo soportan, firmware actualizado y WPS desactivado si no lo necesitas.
¿Qué hace un cortafuegos?
Permite, rechaza o registra tráfico aplicando políticas.
Ejemplo: permitir TCP/443 hacia un servidor web y bloquear accesos entrantes no autorizados.
Stateless frente a Stateful
La diferencia es si el firewall recuerda conexiones existentes.
Stateless
Evalúa cada paquete por separado según reglas fijas. Puede necesitar reglas explícitas para ambos sentidos.
Stateful
Mantiene una tabla de conexiones y reconoce respuestas asociadas a conexiones permitidas.
Si tu PC inicia una conexión web permitida, un firewall stateful normalmente deja pasar el tráfico de respuesta.
NGFW: firewall de nueva generación
Añade inspección y controles avanzados al filtrado tradicional.
Inspección profunda
Analiza patrones y, cuando es posible, contenido del tráfico.
Control granular
Distingue aplicaciones más allá del número de puerto.
Prevención
Detecta y puede bloquear intentos de intrusión.
Protección adicional
Filtrado web, funciones antimalware y reglas centralizadas.
Algunas funciones requieren licencias o configuración. La inspección de TLS también plantea consideraciones de privacidad.
Proxy directo: en nombre del cliente
Intermedia peticiones salientes desde la red hacia servicios externos.
Puede filtrar accesos, aplicar políticas o almacenar caché. Un proxy no es necesariamente una VPN ni realiza siempre NAT.
Proxy inverso: delante de tus servidores
Recibe tráfico público y lo envía a las aplicaciones internas.
Un solo punto HTTPS
Nginx gestiona certificados y conexiones públicas.
Varios servicios
Cada dominio o subdominio puede apuntar a una app distinta.
Ejemplo cercano: rds77.net y steam.rds77.net pueden publicarse mediante Nginx mientras Flask escucha solo en localhost.
¿Cómo funciona una VPN?
Crea un túnel protegido entre un cliente y un servidor o red remota.
Una VPN protege el tramo del túnel; no garantiza anonimato ni cifrado extremo a extremo en todos los tramos. Si el tráfico sale a Internet por la VPN, el sitio suele ver la IP pública de ese servidor.
VPN, proxy y NAT: no son lo mismo
Pueden coexistir, pero cumplen funciones distintas.
| Tecnología | Función principal | ¿Cifra por sí misma? |
|---|---|---|
| VPN | Crea un túnel entre extremos | Sí, en una VPN cifrada bien configurada |
| Proxy | Intermedia peticiones | No necesariamente |
| NAT | Traduce direcciones o puertos | No |
NAT no sustituye a un firewall.
WireGuard frente a IPsec
Dos enfoques para establecer comunicaciones seguras.
WireGuard
Protocolo VPN compacto con algoritmos criptográficos seleccionados. Muy útil para acceso remoto y túneles sencillos.
IPsec + IKEv2
Conjunto de protocolos para proteger tráfico IP, habitual en enlaces entre sedes y entornos corporativos.
La gestión de claves, la configuración y las políticas importan tanto como la tecnología elegida.
Zonas de seguridad y segmentación
Separar equipos y servicios limita el movimiento lateral y el impacto de incidentes.
Aplica mínimo privilegio entre zonas. Puedes usar VLAN, subredes, ACL y reglas de firewall; una VLAN por sí sola no define toda la seguridad.
SD-WAN: conectar sedes con inteligencia
Administra rutas y enlaces WAN mediante software y políticas.
Selección dinámica
Puede combinar fibra y conexiones móviles.
Priorización
Favorece aplicaciones importantes según políticas.
Visibilidad
Centraliza administración y supervisión.
SD-WAN no equivale a VPN, aunque puede usar túneles cifrados.
¿Qué ocurre al abrir una web HTTPS?
Un recorrido conceptual desde tu equipo hasta el servidor.
Tu dispositivo se asocia a la red con WPA2 o WPA3.
Resuelve el nombre de dominio a una dirección IP.
Se establece TCP o QUIC (que funciona sobre UDP).
Se autentica el servidor y se cifra la comunicación.
Las reglas permiten o bloquean el tráfico.
Si existe, reenvía la petición a la aplicación final.
El orden mostrado es didáctico. En la práctica los controles actúan en varios momentos; HTTP/3 usa QUIC sobre UDP.
Chuleta exprés
Doce conceptos para recordar en segundos.
Comprueba lo aprendido
Abre cada pregunta para descubrir la respuesta.
1. ¿Por qué HTTPS no es lo mismo que HTTP?
Porque HTTPS transporta HTTP sobre TLS, añadiendo protección criptográfica y autenticación del servidor.
2. ¿Qué diferencia principal hay entre TCP y UDP?
TCP ofrece entrega ordenada y retransmisión; UDP no garantiza por sí mismo entrega ni orden.
3. ¿Qué recuerda un firewall stateful?
El estado de las conexiones o sesiones activas, para reconocer el tráfico de respuesta.
4. ¿En qué se distingue un proxy inverso de una VPN?
El proxy inverso publica y enruta servicios; una VPN crea un túnel protegido entre extremos.
5. ¿Para qué sirve una DMZ?
Para alojar servicios expuestos separándolos de la red interna y aplicar políticas específicas.