Qué hacemos · Red: Firewalls perimetrales gestionados
Los servicios públicos en Atenas están detrás de pares de firewalls redundantes y stateful, con una política default-deny por host, bloqueo por threat intelligence y por país, y la opción de abrir un servicio a un solo país. Cada regla lleva el nombre del host que protege, cada cambio pasa por una API con un backup previo, y cada firewall informa a nuestro registro centralizado.
Qué es
Un perímetro gestionado: los firewalls delante de sus direcciones públicas, operados por nosotros como parte de la red y no como una caja que usted configura solo. Usted nos dice qué necesita exponer cada servicio y a quién. Nosotros lo construimos como política con nombre y documentada, la mantenemos al día y la demostramos desde fuera.
Cómo lo construimos
- Alta disponibilidad por diseño. Los firewalls OPNsense funcionan como pares activo y standby. Las direcciones virtuales CARP cubren tanto el lado del upstream como su gateway, y pfsync replica el estado de las conexiones entre los nodos, de modo que el fallo de un nodo es un failover stateful de menos de un segundo.
- Una política que se documenta sola. Cada host incorporado recibe su propio alias con nombre y sus propias reglas.
- Una pila de bloqueos ordenada. El tráfico se encuentra primero con una lista combinada de threat intelligence construida a partir de varias fuentes de reputación, después con una lista unificada de bloqueo por país, después con un bloqueo de rangos de hosting abusivos, y solo entonces con los permisos por host. Si su audiencia está en un solo país, puede tener en su lugar una lista de permitidos con el espacio de direcciones de ese país.
- Ajustado para ataques reales. El procesamiento de paquetes se reparte entre los núcleos de la CPU con un número de hilos adaptado a cada appliance. Los servicios públicos con mucho UDP se tratan sin estado para que no agoten la tabla de conexiones, y la defensa contra SYN flood usa cookies y tiempos de espera adaptativos, dimensionados a partir de la aritmética de la tabla de estados.
- Cambios a través de la API, nunca a mano. Cada cambio se hace a través de la REST API de OPNsense y el resultado se comprueba desde un punto de observación externo.
- Caminos de backup en un solo sentido. La producción no tiene ningún camino de red hacia la infraestructura de backup. Los sistemas de backup tiran; la producción nunca empuja. Esto se aplica con reglas de denegación en los propios appliances de firewall, no en los hosts.
- Un registro que no puede quedarse mudo. Un watchdog vuelve a imponer la configuración de registro de cada firewall con un temporizador, de modo que un firewall nunca puede dejar de informar a Graylog sin que se note.
Operamos tanto Cisco Firepower como OPNsense, y cuando trasladamos un segmento de una plataforma de firewall a otra seguimos un método escrito y por fases: el nuevo firewall se incorpora al enrutamiento sin anunciar nada, y después toma una VLAN cada vez mediante un cutover con script y un rollback automático condicionado a ping.
De qué le protege
- Del tráfico de fuerza bruta y de escaneo desde orígenes conocidos como maliciosos, y desde países en los que no tiene audiencia.
- De que el fallo de un firewall tire todas las sesiones.
- Del agotamiento de la tabla de conexiones por avalanchas UDP o SYN.
- De reglas sin documentar que nadie se atreve a eliminar.
- De un registro de seguridad que en silencio no llega a ninguna parte hasta el día en que lo necesita.
En la práctica
Un CRM abierto a un solo país. El CRM y el entorno de pruebas de un cliente de retail se incorporaron con acceso web y de administración permitido únicamente desde el país al que sirve, todo lo demás denegado, y verificado en los dos nodos del firewall. Cuando el negocio necesitó dos países más, los añadimos al día siguiente.
Por qué EuroVPS
- Pares redundantes con failover stateful, no un único firewall.
- Política default-deny por host, con nombre, que usted puede leer.
- Threat intelligence, bloqueo por país y listas de permitidos de un solo país como opciones estándar.
- Cambios solo por API, y un registro centralizado que a su vez está vigilado.
- Redes de backup que la producción no puede alcanzar, aplicado en el firewall.
Preguntas frecuentes
¿Puedo restringir mi servicio a visitantes de un solo país? Sí. Sustituimos la pila de bloqueos por defecto por una lista de permitidos con el espacio de direcciones de ese país, y podemos añadir países más adelante.
¿Qué ocurre si falla un nodo del firewall? El standby asume las direcciones virtuales y el estado de las conexiones existentes, normalmente en menos de un segundo.
¿Puedo ver o solicitar cambios en las reglas? Sí. Las reglas llevan el nombre de cada host, así que podemos mostrarle exactamente qué está abierto para cada servicio y cambiarlo a petición.
¿Bloquean los ataques automáticamente? Sí. Las listas de threat intelligence, de países y de rangos abusivos se aplican antes que sus propias reglas y se mantienen al día.
Si quiere sus servicios públicos detrás de un perímetro construido y vigilado así, hable con un ingeniero.
Su próximo socio de infraestructura
Veamos su infraestructura.
Cuéntenos qué ejecuta hoy y qué necesita mejorar. Un ingeniero revisará su solicitud y le ayudará a planificar el siguiente paso.
+357 222 32280
Empecemos por su infraestructura.
Un poco de contexto nos ayuda a empezar la conversación adecuada.