Cortafuegos y ArcGIS Server
Un cortafuegos es una herramienta de seguridad que limita el número de puertos de tu equipo a través de los cuales se puede enviar y recibir tráfico con otros equipos. Cuando se utiliza un cortafuegos para restringir la comunicación a un número reducido de puertos, se puede limitar el acceso a los equipos y garantizar que solo los programas deseados sean accesibles para personas ajenas a la organización. Por ejemplo, es habitual permitir que solo el tráfico web pase a un servidor web e impedir el resto de tipos de tráfico. Los cortafuegos pueden implementarse mediante hardware, software o una combinación de ambos.
Los cortafuegos ayudan a prevenir algunos ataques, como los gusanos y algunos troyanos. Estos ataques entran o salen del sistema a través de puertos abiertos que quedan expuestos por programas que se ejecutan en el equipo, pero que no están destinados a estar expuestos a la red pública de Internet. Los cortafuegos no le protegen de los virus adjuntos a los correos electrónicos ni de las amenazas que se encuentran dentro de su red. Por lo tanto, aunque los cortafuegos son importantes, no deberían ser el único componente de su estrategia global de seguridad. El software antivirus y las técnicas sólidas de autenticación y autorización son ejemplos de otras estrategias de seguridad que deben implementarse junto con los cortafuegos.
Nota:
Los cortafuegos que funcionan limitando los puertos abiertos se diferencian de los cortafuegos de aplicaciones web, que analizan de forma activa el tráfico web entrante y pueden bloquear contenidos sospechosos. Los cortafuegos de aplicaciones web pueden ser herramientas útiles dentro de su estrategia global de seguridad, pero no son el tema central de este artículo.
Una buena práctica de seguridad consiste en implementar una red perimetral, también conocida como zona desmilitarizada (DMZ) o subred filtrada, para evitar que los usuarios externos accedan directamente a su sitio de ArcGIS Server. Una red perimetral es el único punto expuesto de su red al que pueden acceder los usuarios externos. Aporta una capa adicional de seguridad a la red de su organización.
En este tema se aborda el uso de cortafuegos para proteger los sitios independientes de ArcGIS Server (aquellos que no están federados con ArcGIS Enterprise). Para obtener más información sobre la seguridad de red para ArcGIS Enterprise y los sitios de ArcGIS Server federados, consulta Acerca de la seguridad del portal.
Proteger ArcGIS Server con cortafuegos
Existen varias estrategias adecuadas que puede aplicar para proteger su sitio de ArcGIS Server independiente mediante cortafuegos. Las siguientes estrategias utilizan cortafuegos para separar la red interna (en la que la seguridad está controlada) de la red externa (en la que no se puede garantizar la seguridad).
Varios cortafuegos con proxy inverso y ArcGIS Web Adaptor en una red perimetral
Si su organización aún no utiliza un servidor proxy inverso, puede configurarlo junto con ArcGIS Web Adaptor dentro de una red perimetral. En este caso, ArcGIS Web Adaptor recibe las solicitudes entrantes a través del puerto 443. A continuación, envía la solicitud a través de otro cortafuegos a ArcGIS Server, utilizando el puerto 6443. ArcGIS Web Adaptor hace que el equipo actúe como un proxy inverso.
A continuación se ofrece una descripción detallada de cada componente de este escenario:
Una red perimetral está formada por equipos a los que los usuarios de Internet pueden acceder a través de un cortafuegos, pero que no forman parte de su red interna segura. La xarxa perimetral aïlla la xarxa interna de l'accés directe dels usuaris d'Internet.
ArcGIS Web Adaptor de la red perimetral recibe solicitudes de Internet a través de un puerto común, como el puerto 443. Un cortafuegos impide el acceso a través de cualquier otro puerto. A continuación, ArcGIS Web Adaptor envía la solicitud a la red interna segura a través de otro cortafuegos utilizando el puerto 6443 de ArcGIS Server.
ArcGIS Server y otros componentes de ArcGIS Enterprise se encuentran en la red interna segura. Una solicitud que acceda a la red segura debe proceder de ArcGIS Web Adaptor y atravesar un cortafuegos. Una respuesta que sale de la red segura vuelve al cliente por el mismo camino por el que llegó. En primer lugar, la respuesta vuelve a pasar a través del cortafuegos hasta ArcGIS Web Adaptor. A continuación, ArcGIS Web Adaptor lo envía al cliente a través de otro cortafuegos.
Si, por cualquier motivo, un equipo de la red perimetral resultara comprometido, el segundo cortafuegos reduce la probabilidad de que dicho equipo pueda causar daños a los equipos de la red interna.
Integración de un proxy inverso ya existente
Si su organización ya utiliza un proxy inverso, puede configurarlo para que redirija las solicitudes a ArcGIS Server a través de su red interna segura.
Para garantizar que el puerto entre el proxy inverso y su red interna segura permanezca oculto a los usuarios externos, instale ArcGIS Web Adaptor en otro servidor web dentro de su red interna segura.
Para obtener más información sobre cómo integrar ArcGIS Server con su servidor proxy inverso, consulte utilizar un servidor proxy inverso con ArcGIS Server.
Cortafuegos único
Una opción menos segura consiste en utilizar un único cortafuegos para restringir el tráfico hacia tu servidor web. Por lo general, solo se deja abierto el puerto 443. Su servidor web, ArcGIS Web Adaptor, ArcGIS Server y sus datos se encuentran todos detrás del cortafuegos, en la red interna segura.
Para garantizar una seguridad de red sólida, establezca varias capas de defensa entre los clientes externos y su red interna. Si un único cortafuegos es la única capa de defensa, cualquier brecha en esa capa deja su red segura expuesta a posibles actividades maliciosas. Por este motivo, no se recomienda este tipo de configuración de seguridad.
Cortafuegos entre equipos de ArcGIS Server
Por lo general, no es necesario instalar cortafuegos entre los equipos de un sitio de ArcGIS Server ni entre varios sitios de ArcGIS Server. No obstante, si hay cortafuegos entre los equipos, abra los puertos que se indican en Puertos utilizados por ArcGIS Server.