DMZ: ¿Qué es? Tipos y usos

Lo más probable que en algún momento hayamos accedido al menú de configuración de nuestro router para activar o desactivar alguna de las opciones que desde allí se controlan. Y también es bastante probable que hayamos reparado en una característica llamada “DMZ”, la cual también a veces se presenta como “Demilitarized Zone”.

Como cualquier usuario de computadoras curioso, lo más seguro es que hayamos intentado habilitarla o modificarla, sin embargo los parámetros que allí residen no son claros, además no sabemos para qué sirve dicha opción, y menos aún los problemas o ventajas que nos puede aportar activarla o desactivar la opción de DMZ.

Es por ello que en este post vamos a aclarar todas las dudas que podamos tener acerca de la opción DMZ de los routers, con el propósito de poder conocer en qué circunstancias podremos utilizarla a nuestro favor y que ventajas nos ofrecería activarlo en nuestra red.

¿Qué es DMZ?

Básicamente, la sigla DMZ proviene de las palabras inglesas “Demilitarized Zone”, que en español significan “Zona desmilitarizada”, que aunque remita en nuestro pensamiento a algún tipo de procedimiento militar oculto, lo cierto es que poco tiene que ver con la milicia.

La sigla DMZ se utiliza en los ámbitos de las empresas y el IT para llamar a un grupo de computadoras conectadas en red las cuales forman una especie de “zona segura” con menores restricciones de acceso.

Como sabemos, Los firewall permiten definir reglas de acceso entre dos redes. Sin embargo, en la práctica, las empresas tienen generalmente varias subredes con políticas de seguridad diferentes. Es la razón por la cual es necesario instalar arquitecturas de sistemas firewall que permitan aislar las diferentes redes de la empresa: se habla entonces de “compartir las redes”, siendo también utilizado en el mismo sentido el término “aislar”.

Este es el escenario más frecuente para utilizar la mencionada “Zona desmilitarizada”, sin embargo esta terminología tan usada en entre los profesionales de IT se ha trasladado al usuario doméstico, que también puede aprovecharse de sus ventajas, siempre y cuando sepa realmente que está haciendo, lo cual definiremos más adelante en este mismo post.

En el ámbito hogareño o de la pequeña oficina, la característica DMZ es utilizada para evitar cualquier problema que pueda surgir en la ejecución o el acceso desde el exterior a servicios o aplicaciones que se encuentren en cualquiera de las computadoras o periféricos que formen parte de una red implementada bajo los lineamientos DMZ.

En este sentido, cuando los profesionales hacen referencia a un host DMZ, están hablando básicamente a un dispositivo de una red LAN en la cual el router ha dejado todos los puertos libres, salvo aquellos puertos que específicamente se encuentren definidos en la tabla NAT.

¿Para qué configurar DMZ?

En la mayoría de los casos, el usuario promedio utiliza las ventajas de DMZ para mejorar el rendimiento de las aplicaciones, sobre todo videojuegos, programas, P2P, servicios web y otras aplicaciones y servicios online que hacen mucho uso de la red.

Muchos usuarios, un poco más avezados en el tema de la seguridad de redes, utilizan DMZ por ejemplo para acceder a un servidor NAS desde el exterior, sin embargo, cuentan con la protección de firewalls, para evitar accesos no autorizados, además de que los servicios que no se utilizan no se encuentran activados. Todo ello apunta a evitar accesos no autorizados que busquen infiltrarse en la red para extraer cualquier información importante que pueda tener dicho equipo NAS.

Para poder configurar y poner a punto DMZ, una de las primeras cosas que se sugiere es que el usuario implemente una IP fija para la computadora que requiere el servicio. Si este primer paso no se lleva a cabo, puede suceder que cuando la computadora en cuestión se reinicie pierda esa IP, y termine asignándosela a otra computadora, con todos los peligros de seguridad que este problema conlleva consigo.

El resto de la configuración de DMZ es relativamente sencilla, ya que una vez que nos hemos asegurado de haber cumplido con el primer paso, sólo queda buscar acceder al menú de configuración DMZ de nuestro router, buscar la opción pertinente e ingresar la dirección IP sobre la cual queremos que se elimine el firewall.

¿Es recomendable usar DMZ?

Si bien este tipo de implementaciones son mucho más cómodas de realizar, lo cierto es que son puestas a punto por personas con amplios conocimientos sobre seguridad en redes. El resto de los usuarios es mejor que vaya sobre seguro y siga utilizando las características del NAT del router, redirigiendo los puertos a la IP que se necesite cuando necesario.

La consecuencia más importante y peligrosa de dejar completamente abiertos todos los puertos del router es que cualquier usuario, simplemente utilizando una conexión a Internet, con las herramientas y conocimientos necesarios puede rastrear vulnerabilidades en los servicios que utilizamos usualmente como por ejemplo FTP o SSH.

Te recomendamos leer este completo post sobre Que es FTP, SFTP y FTPS.

Esto significa que si no sabemos utilizar las ventajas de DMZ, sigamos utilizando los métodos a los cuales estamos acostumbrados, por lo menos hasta que conozcamos a fondo las ventajas y desventajas de la “Zona desmilitarizada”.

Seguridad DMZ

Cuando ciertas computadoras de la red interna tienen que ser accesibles desde el exterior, como por ejemplo un servidor web, un servidor de mensajería, un servidor FTP público u otros servicios, normalmente es necesario crear una nueva política para una nueva red, accesible tanto desde la red interna como desde el exterior, sin correr el riesgo de comprometer la seguridad de la empresa.

Es en este punto que se habla entonces de la mencionada “Zona desmilitarizada”, que como vimos sirve para designar esta zona aislada que aloja aplicaciones a disposición del público. El DMZ sirve como una zona intermedia entre la red a proteger y la red hostil.

Usualmente, a los servidores situados en la DMZ se llaman "bastiones" debido a su posición anterior en la red de la empresa.

La política de seguridad aplicada en la DMZ, normalmente es la siguiente:

• Tráfico de la red externa hacia la DMZ autorizada
• Tráfico de la red externa hacia la red interna prohibida
• Tráfico de la red interna hacia la DMZ autorizada
• Tráfico de la red interna hacia la red externa autorizada
• Tráfico de la DMZ hacia la red interna prohibida
• Tráfico de la DMZ hacia la red externa rechazada

La DMZ tiene un nivel de protección intermedio. Su nivel de seguridad no es suficiente para almacenar datos críticos de la empresa. Es necesario notar que es posible instalar una DMZ internamente, para compartir la red interna de acuerdo a los diferentes niveles de protección y así evitar las intrusiones que vienen desde el interior.

Como pudimos ver, poner a punto DMZ en una computadora es sencillo, a lo que más debemos prestarle atención es a la configuración de seguridad del router y al resto de las computadoras que conforman la red, para evitar problemas que pueden ser muy difíciles de resolver si implementamos DMZ de manera incorrecta.