¿Qué es una zona?

Una zona —o zona de seguridad — es un concepto de « Versa » que agrupa interfaces de red y redes que comparten los mismos requisitos de seguridad en un único objeto con nombre. Las zonas sirven como criterios de coincidencia de origen y destino en las reglas de políticas de SD-WAN, control de acceso y descifrado TLS, y pueden incluir un perfil de protección de zona opcional que filtra el tráfico entrante en busca de inundaciones, escaneos y paquetes maliciosos.

Puntos clave

• Una zona agrupa interfaces y redes que comparten requisitos de seguridad.
• Las zonas se corresponden con el tráfico en las reglas de SD-WAN, de control de acceso y de descifrado TLS.
• Un único inquilino puede configurar hasta 1024 zonas para sus políticas.
• Un perfil opcional de protección por zonas protege contra inundaciones y escaneos.
• El tráfico entre zonas está bloqueado por defecto; el tráfico dentro de una misma zona está permitido.

En esta página: Por qué es importante · Cómo funciona · Tipos · Zonas y Versa · Preguntas frecuentes

¿Por qué son importantes las zonas?

Sin zonas, cada regla de política tendría que enumerar las interfaces una por una, y cada nuevo emplazamiento o punto de acceso Wi-Fi supondría tener que reescribir las reglas en su totalidad. Agrupar en una zona las interfaces que comparten una misma configuración de seguridad significa que la política se mantiene tal cual: una planta de puntos de acceso o un conjunto de enlaces WAN pueden ampliarse o reducirse sin necesidad de modificar ni una sola regla que haga referencia a la zona por su nombre.

Las zonas son también los límites que el cortafuegos de nueva generación de Versatiene en cuenta de forma predeterminada. Cuando las reglas del NGFW están activadas sin una configuración explícita, se deniega el tráfico entre dos zonas diferentes y se permite el tráfico dentro de la misma zona —una política de denegación implícita que obliga a los administradores a abrir conscientemente las rutas entre zonas en lugar de dejarlas expuestas—. Esa configuración predeterminada, junto con los perfiles de protección por zona, es lo que permite que un diseño separe los segmentos internos de confianza de los que no lo son con un número manejable de reglas, en lugar de una regla por cada par de interfaces.

¿Qué es una zona?

Una zona es una agrupación con nombre de una o más interfaces, redes, instancias de enrutamiento u organizaciones que comparten los mismos requisitos de seguridad. Las zonas se configuran por inquilino, y un inquilino puede definir hasta 1024 de ellas; dado que los inquilinos están aislados entre sí, dos inquilinos diferentes pueden reutilizar el mismo nombre de zona sin que se produzca ningún conflicto. Cada zona puede, de forma opcional, hacer referencia a un único perfil de protección de zona y a un perfil de registro para la exportación de alarmas.

Una zona es distinta de una red, el objeto VOS que agrupa interfaces similares en instancias de enrutamiento similares para que puedan gestionarse conjuntamente; una zona es la agrupación de políticas de seguridad que se establece sobre las redes y las interfaces, no un concepto de enrutamiento. Las zonas se configuran en Director en «Configuración > Redes > Zonas»; la guía «Configuración de zonas y perfiles de protección de zonas» describe el proceso paso a paso.

Tipos de zonas

Todos los dispositivos VOS se suministran con varias zonas generadas por el sistema —host, ptvi, remote-client, versa-fileexport y versa-speedtest— que nunca deben modificarse directamente, ya que respaldan funciones internas del sistema y no segmentos definidos por el administrador.

Además de estas, los administradores crean zonas definidas por el usuario para cualquier agrupación que requiera su política: una zona para las interfaces de LAN, otra para las interfaces de WAN conectadas a Internet o una por cada planta del edificio. Un patrón habitual consiste en asignar un rol de «de confianza» o «no de confianza» a estas zonas: se coloca un perfil de protección de zona entre una zona no de confianza (con conexión a Internet) y una zona de confianza (interna) y, a continuación, se añade una regla de cortafuegos con la zona no de confianza como origen y la zona de confianza como destino. Esta división es una convención de diseño basada en zonas y perfiles comunes, no un tipo de zona independiente.

Zonas y Versa

Las zonas son criterios de coincidencia que se aplican en tres ámbitos de políticas: las reglas de política de SD-WAN pueden coincidir con la zona de origen y la zona de destino (además de direcciones, emplazamientos y criterios de las capas 4 y 7); las reglas de control de acceso de NGFW utilizan la coincidencia entre zonas y dentro de las mismas para determinar qué se deniega implícitamente; y la política de descifrado TLS también puede basarse en la zona.

Un perfil de protección de zona, configurado en «Redes > Perfiles de protección de zona», se aplica únicamente al primer paquete de un nuevo flujo y abarca cuatro áreas: Inundación (umbrales de pps por protocolo para TCP, UDP, ICMP y otros, con niveles de alarma, activo y tasa máxima), Escaneo (detección de barrido de hosts y reconocimiento TCP y UDP), Protección contra ataques basados en paquetes (opciones de descarte como la suplantación de IP y la gestión de fragmentos) y comprobaciones específicas de ICMP. Una zona admite un perfil a la vez; la guía «Configuración de zonas y perfiles de protección de zona (NGFW) » explica paso a paso cada pestaña. Los eventos que coinciden aparecen en Versa Analytics, en «Registros > Detección de amenazas > Registros de amenazas DoS».

Preguntas frecuentes

¿Cuál es la diferencia entre una zona y una red en Versa?

Una red agrupa interfaces similares en instancias de enrutamiento similares con fines de gestión; una interfaz pertenece exactamente a una sola red. Una zona es una agrupación de políticas de seguridad —interfaces, redes, instancias de enrutamiento u organizaciones— que se utiliza como criterio de coincidencia en las reglas de política.

¿Cuántas zonas se pueden configurar por inquilino?

Hasta 1024 zonas por inquilino. Dado que los inquilinos están aislados entre sí en un dispositivo VOS compartido, los nombres de las zonas solo tienen que ser únicos dentro de cada inquilino, no en todo el sistema.

¿Qué ocurre por defecto con el tráfico entre zonas?

Cuando se activa el NGFW sin reglas explícitas, el tráfico entre zonas queda bloqueado por una regla implícita de denegación, mientras que el tráfico dentro de una misma zona (intrazona) se permite. Para bloquear el tráfico intrazona es necesaria una regla explícita que coincida con esa zona tanto como origen como destino.

¿Qué es un perfil de protección por zonas?

Un perfil opcional asociado a una zona que analiza el primer paquete de cada nuevo flujo en busca de avalanchas de tráfico, escaneos de puertos y de hosts, así como paquetes mal formados o falsificados, aplicando umbrales configurables y acciones de descarte antes de que el tráfico llegue a la red.

¿Se pueden editar las zonas generadas por el sistema?

No. Las zonas como «host», «ptvi», «remote-client», « versa-fileexport» y « versa-speedtest» respaldan funciones internas del sistema y no deben seleccionarse para su edición; las zonas definidas por el administrador se crean por separado para su uso en políticas.

Más información sobre las zonas y la segmentación de redes

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre las zonas, te conviene echarles un vistazo a continuación.