Durante años la seguridad de red se resumió en un firewall en el perímetro. Hoy, una vez dentro, un atacante suele moverse con libertad. La segmentación reduce ese margen.
Por qué importa
Segmentar no es solo separar redes: es decidir qué comunicaciones son necesarias y bloquear el resto. Un equipo comprometido en la red de usuarios no debería poder hablar con la base de datos.
Un ejemplo mínimo con nftables
table inet filter {
chain forward {
type filter hook forward priority 0; policy drop;
ct state established,related accept
iifname "vlan_usuarios" oifname "vlan_servidores" tcp dport 443 accept
}
}La política por defecto es descartar. Cada regla de permiso es una decisión consciente y documentada.
Si no puedes explicar por qué dos sistemas se comunican, probablemente no deberían hacerlo.