Manual de Despliegue de Zona Desmilitarizada (DMZ) en WatchGuard Firebox

Para configurar una DMZ (Zona Desmilitarizada) en un WatchGuard Firebox, el proceso consiste en crear una interfaz de tipo Optional (Opcional) para aislar físicamente o lógicamente los servidores públicos (como servidores web o de correo) del resto de la red local (Trusted).

Paso 1: Configurar la interfaz DMZ (Optional)

1. Abre Fireware Web UI o WatchGuard System Manager (WSM) y conéctate al Firebox.

2. Ve a Network > Interfaces (Red > Interfaz).

3. Selecciona la interfaz física que asignarás a la DMZ y haz clic en Edit (Editar).

4. En Interface Type (Tipo de Interfaz), cambia el valor a Optional.

5. Configura los datos de red:

• Interface Name: Escribe un nombre identificativo (ej. DMZ o Servidores).

• IP Address: Asigna una IP estática en una subred diferente a tu red Trusted (ejemplo: 192.168.2.1/24).

6. Si requieres que la DMZ entregue direcciones IP automáticas a los servidores, habilita DHCP Server en esta interfaz.

7. Haz clic en Save (Guardar).

Paso 2: Configurar las Reglas de Firewall (Políticas)

Por defecto, WatchGuard aplica el principio de menor privilegio. La interfaz Optional permite tráfico hacia la zona External (Internet), pero bloquea por defecto todo tráfico entrante desde Internet hacia la DMZ y entre la zona Optional y la zona Trusted.

Debes crear políticas explícitas según las necesidades de tu red:

A. Permitir acceso desde Internet a un servidor en la DMZ (DNAT / Port Forwarding)

Para exponer un servidor interno (ejemplo: Web HTTP/HTTPS):

1. Ve a Firewall > Firewall Policies y añade una nueva regla del protocolo necesario (ej. HTTP o HTTPS).

2. En la sección From (Desde), deja únicamente Any-External.

3. En la sección To (Hacia):

• Elimina las entradas existentes.

• Haz clic en Add > Add SNAT (o Static NAT).

• Configura la dirección IP pública de entrada y la dirección IP privada real del servidor en la DMZ.

4. Guarda la política.

B. Permitir tráfico de la red Local (Trusted) a la DMZ

Si los usuarios internos necesitan administrar los servidores de la DMZ:

1. Añade una política personalizada (ejemplo: Any o reglas específicas de administración como RDP, SSH o HTTPS).

2. En From, añade la zona Trusted.

3. En To, añade la zona Optional (o la IP específica del servidor DMZ).

C. Bloquear tráfico iniciado desde la DMZ hacia la red Trusted

Aunque el Firebox lo deniega por defecto, es recomendable añadir una regla explícita de bloqueo al inicio de la lista si tienes políticas permissivas globales:

1. Crea una política denegada (Deny).

2. En From, añade Optional.

3. En To, añade Trusted.

Paso 3: Guardar y Aplicar Cambios

• Si estás usando Fireware Web UI, los cambios se aplican automáticamente al guardar.

• Si estás usando Policy Manager (WSM), guarda la configuración en el Firebox (File > Save > To Firebox).

Verificación

• Desde la DMZ: Haz ping a la IP del gateway (192.168.2.1) para confirmar conectividad básica de la interfaz.

• Prueba de aislamiento: Comprueba que un equipo en la zona DMZ no pueda hacer ping ni conectarse a direcciones IP de la zona Trusted.

• Acceso público: Comprueba el acceso desde una red externa hacia la IP pública configurada en la regla DNAT.

Aquí tienes un diagrama de red que ilustra la configuración de una DMZ en un WatchGuard Firebox, siguiendo los pasos y principios de seguridad que te he descrito.

Este diagrama muestra:

1. Tres Zonas Separadas: Internet (External), Red Local (Trusted) y la DMZ (Optional).

2. Flujos de Tráfico y Políticas: Las flechas de colores (rojo, verde, naranja) indican cómo se aplica la seguridad.

• Flecha A (Naranja/Verde punteada): Acceso desde Internet a un servidor específico en la DMZ (NAT estático).

• Flecha B (Verde punteada): Acceso de administración desde la red Local a la DMZ.

• Marcas de Bloqueo (Cruces rojas): Muestran el aislamiento fundamental: Internet no entra a Trusted, y la DMZ tampoco puede iniciar tráfico hacia Trusted.

3. Ejemplos de Direccionamiento IP: Usando los rangos sugeridos en el paso 1 y 2.

Ventajas de Implementar una DMZ en WatchGuard Firebox

• Aislamiento y Contención de Amenazas: Si un servidor público (ej. servidor web) resulta comprometido por un atacante, la DMZ impide que la amenaza se propague a la red local interna (Trusted).

• Control de Tráfico Granular: Permite aplicar políticas de seguridad estrictas (Firewall Policies) independientes para la zona Optional, regulando qué puertos y protocolos tienen acceso desde Internet y hacia la red interna.

• Protección de Datos Sensibles: Mantiene las bases de datos corporativas, equipos de usuarios y archivos confidenciales fuera del alcance directo de las conexiones entrantes desde Internet.

• Reducción de la Superficie de Ataque: Limita la exposición pública únicamente a los servidores y servicios estrictamente necesarios mediante reglas de Static NAT (DNAT).

• Cumplimiento Normativo y Estándares: Facilita la conformidad con marcos de seguridad y normativas (como PCI-DSS, ISO 27001 o GDPR) que exigen la segmentación de redes expuestas a Internet.

• Visibilidad y Monitoreo Mejorado: Facilita el análisis de tráfico y la detección de anomalías en los registros (Traffic Monitor / Dimension) al separar el tráfico web/público del tráfico operativo de la empresa.