¿Qué es una regla de acceso?

Una regla de acceso es un objeto de política, configurado a nivel de sistema o de cliente en Versa Director, que compara el tráfico o las solicitudes de acceso con determinados criterios —como el nombre de usuario, el rol, el estado de seguridad del dispositivo o la ubicación de origen— y devuelve una decisión de permitir o denegar el acceso. Las reglas se evalúan de arriba abajo, por lo que su orden determina qué coincidencia se aplica.

Puntos clave

• Las reglas de acceso filtran el tráfico según el usuario, el grupo, el rol, el dispositivo o la ubicación.
• Las reglas se evalúan de arriba abajo; un control «Reordenar» modifica el orden de prioridad.
• La acción principal es «Permitir» o «Denegar», que se aplica a la primera regla que coincida.
• SASE Las implementaciones utilizan tanto tipos de reglas de acceso basadas en cliente como sin cliente.
• Concerto crea reglas de acceso como parte de su flujo de trabajo integral de « SASE ».

En esta página: Por qué es importante · Cómo funciona · Tipos · Regla de acceso y Versa · Preguntas frecuentes

¿Por qué son importantes las normas de acceso?

Las reglas de acceso convierten una política de seguridad general en una aplicación específica para cada usuario y cada dispositivo. Sin ellas, un administrador solo dispone de controles generales: un servicio está activado o desactivado para todos los usuarios que se encuentran detrás de una pasarela. Con ellas, el acceso puede depender de quién lo solicita, desde qué dispositivo y desde dónde, y cada condición puede concederse o revocarse de forma independiente. Esa precisión es el núcleo operativo de un enfoque «Zero Trust»: no se confía en nada por defecto solo porque una conexión haya llegado al perímetro de la red.

El orden de las reglas es tan importante como su contenido. Dado que las reglas de acceso se evalúan de arriba abajo y prevalece la primera que coincida, unas reglas idénticas en un orden diferente pueden dar lugar a resultados opuestos. Existe un control específico para reordenarlas —primera, última o en una posición concreta— porque establecer el orden correcto forma parte del diseño tanto como redactar las reglas.

¿Qué es una regla de acceso?

Desde el punto de vista estructural, una regla de acceso asocia unos criterios de coincidencia con una acción. Los criterios de coincidencia suelen incluir el sistema operativo, los usuarios o grupos de usuarios implicados, el estado de seguridad del terminal —un perfil de información del terminal, el estado de cumplimiento del dispositivo o la banda de riesgo de la entidad— y la ubicación de origen o la dirección IP. La acción es «Permitir» o «Denegar»; una solicitud permitida pasa por otros ajustes, como qué grupo de puertas de enlace la transmite, mientras que una solicitud denegada se descarta directamente.

Los administradores crean una regla mediante un asistente paso a paso que abarca cada criterio de coincidencia y cada categoría de acción; a continuación, se lleva a cabo un paso de «Revisión y configuración» antes de guardarla. La regla guardada se añade a una lista ordenada que Director o Concerto evalúa de arriba abajo, y se dispone de las operaciones «Añadir», «Clonar», «Reordenar» y «Eliminar» para gestionar la lista posteriormente.

Tipos de reglas de acceso

Hay dos familias de reglas que regulan el acceso seguro a SASE . Las reglas de acceso basadas en cliente controlan el cliente Versa SASE instalado en los dispositivos de los usuarios finales —Windows, macOS, iOS, Android y Linux— mediante filtros por sistema operativo, usuario o grupo, estado de seguridad del dispositivo y ubicación, y, a continuación, dirigen el tráfico permitido a una puerta de enlace en la nube de Versa , directamente a Internet, o lo bloquean. Las reglas de acceso sin cliente aplican el mismo modelo de permiso/denegación al acceso a través del navegador, para los usuarios que acceden a aplicaciones protegidas sin instalar software de cliente.

Dentro de las reglas basadas en el cliente, existe una división adicional a nivel de tráfico y acción: la opción «Breakout to Internet» envía el tráfico privado a través del túnel, mientras que el tráfico destinado a Internet sale localmente (túnel dividido); y la opción «Send Apps to Versa Cloud Gateway» redirige todo el tráfico a la pasarela, con las exclusiones seleccionadas. Las opciones disponibles dependen del tipo de suscripción del inquilino.

Norma de acceso y Versa

Concerto crea reglas de acceso como un paso definido en su flujo de trabajo « SASE », una vez que ya se han configurado los usuarios y grupos, los túneles de sitio a sitio y los perfiles de acceso seguro basados en cliente. La creación se realiza siguiendo los siguientes pasos: criterios de coincidencia (sistema operativo, usuarios/grupos de usuarios, estado del terminal mediante perfiles de información de terminales, y ubicación geográfica de origen y dirección IP); a continuación, acciones (acción de tráfico, puertas de enlace, configuración del cliente —incluida la autenticación multifactorial (MFA) y el tipo de VPN— y un perfil de agente de EIP); y, por último, revisión y configuración.

La guía de configuración de extremo a extremo de Concerto SASE describe paso a paso toda esta secuencia, y el documento sobre la configuración de las reglas de acceso seguro basadas en cliente de SASE detalla cada paso en profundidad, incluyendo los mecanismos de reordenación que rigen el orden de evaluación.

Preguntas frecuentes

¿Cuál es la diferencia entre los criterios de coincidencia de una regla de acceso y su acción?

Los criterios de coincidencia determinan a qué tráfico se aplica una regla: sistema operativo, usuario o grupo, estado de seguridad del terminal y ubicación de origen o dirección IP. La acción determina qué ocurre con el tráfico que cumple los criterios: «Permitir», con opciones adicionales de enrutamiento, o «Denegar», que lo rechaza directamente.

¿Por qué es importante el orden de las reglas de acceso?

Las reglas de acceso se evalúan de arriba abajo, y la primera regla que se cumpla determina el resultado. Las reglas se pueden reordenar —procesarlas primero, al final o en una posición concreta—, por lo que cambiar la posición de una de ellas modifica el tráfico que captura antes de que se aplique una regla posterior más amplia.

¿Cuál es la diferencia entre las reglas de acceso basadas en cliente y las que no lo están?

Las reglas de acceso basadas en cliente regulan el tráfico procedente del cliente de Versa SASE instalado en el dispositivo del usuario, basándose en el sistema operativo, el usuario y el estado de seguridad del terminal. Las reglas de acceso sin cliente aplican el mismo modelo de permiso o denegación al acceso a través del navegador, para aquellos usuarios que acceden a aplicaciones protegidas sin necesidad de instalar ningún software de cliente.

¿Puede una regla de acceso basarse en el estado de seguridad del dispositivo, y no solo en la identidad del usuario?

Sí. Los criterios de coincidencia del estado de seguridad de los terminales permiten que una regla haga referencia a un perfil de información del terminal, al estado de cumplimiento de un dispositivo o a un nivel de riesgo de una entidad, de modo que el acceso pueda depender del estado de seguridad actual del dispositivo, además de quién solicita el acceso y desde dónde.

¿Qué ocurre con el tráfico cuando la acción de una regla de acceso es «Denegar»?

La regla descarta inmediatamente todo el tráfico que cumpla sus criterios, y los pasos de configuración posteriores —como la selección de la puerta de enlace y los ajustes del cliente— se omiten para esa regla, ya que no queda tráfico permitido sobre el que puedan actuar. No se evalúan más reglas para esa solicitud.

Más información sobre las normas de acceso

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre las normas de acceso, te conviene echarles un vistazo a continuación.