Servicios de Datos Corporativos
Intranets, Extranets, Redes Privadas Virtuales y Redes Corporativas: SARA y NEREA
📌 Introducción
Los servicios de datos corporativos constituyen el ecosistema tecnológico que permite a las organizaciones gestionar, compartir y proteger su información de manera eficiente y segura. Las intranets, extranets y redes privadas virtuales (VPN) representan los pilares fundamentales de la conectividad empresarial moderna, facilitando la colaboración interna, el intercambio con socios externos y el acceso remoto seguro a recursos corporativos. En el contexto de la administración pública española, redes como SARA y NEREA ejemplifican la implementación práctica de estos conceptos, interconectando a todas las administraciones públicas y garantizando interoperabilidad, seguridad y eficiencia en los servicios digitales ciudadanos.
1. Servicios de Datos Corporativos: Conceptos Fundamentales
1.1. Definición y Alcance
Los servicios de datos corporativos engloban el conjunto de aplicaciones, plataformas, infraestructuras y procesos que permiten a una organización gestionar sus activos de información y proporcionar conectividad segura entre usuarios, sistemas y datos, independientemente de su ubicación física. Estos servicios son esenciales para soportar las operaciones diarias, la toma de decisiones estratégicas y la transformación digital de las organizaciones.
1.2. Componentes Principales
Los servicios de datos corporativos se estructuran en múltiples capas tecnológicas:
- Capa de red: Infraestructura de comunicaciones (LAN, WAN, VPN) que proporciona conectividad física y lógica
- Capa de servicios de directorio: Sistemas de autenticación y autorización centralizados (Active Directory, LDAP)
- Capa de aplicaciones: Soluciones empresariales (ERP, CRM, gestión documental, colaboración)
- Capa de datos: Bases de datos, almacenamiento corporativo, sistemas de backup
- Capa de seguridad: Firewalls, sistemas de detección de intrusiones, cifrado, control de accesos
- Capa de gestión: Herramientas de monitorización, administración y análisis
1.3. Objetivos y Beneficios
✅ Objetivos Clave de los Servicios de Datos Corporativos
- Productividad: Facilitar el acceso inmediato a información y herramientas necesarias
- Colaboración: Permitir trabajo en equipo efectivo sin barreras geográficas
- Seguridad: Proteger la información sensible y garantizar confidencialidad
- Disponibilidad: Asegurar acceso 24/7 a servicios críticos
- Escalabilidad: Adaptarse al crecimiento y evolución organizacional
- Eficiencia: Optimizar recursos tecnológicos y operacionales
- Cumplimiento normativo: Satisfacer requisitos legales y regulatorios (RGPD, ENS, ENI)
2. Intranets Corporativas
2.1. Concepto y Características
Una intranet es una red privada de ámbito corporativo que utiliza tecnologías y protocolos de Internet (TCP/IP, HTTP, HTML) pero que permanece aislada del acceso público externo. Funciona como un espacio digital interno donde los empleados acceden a información, aplicaciones y servicios corporativos de forma centralizada y segura.
Las intranets modernas han evolucionado desde simples repositorios de documentos estáticos hacia plataformas dinámicas, interactivas y personalizadas que integran múltiples servicios y aplicaciones empresariales en un único portal unificado.
2.2. Componentes Técnicos de una Intranet
Infraestructura de Red
- Red de área local (LAN) o red de área amplia (WAN) privada
- Servidores web internos (Apache, IIS, Nginx)
- Sistemas de balanceo de carga para alta disponibilidad
- Firewalls internos para segmentación de red
Plataforma de Portal
- Sistema de gestión de contenidos (CMS) como SharePoint, Liferay, Drupal
- Motor de búsqueda empresarial (Elasticsearch, Solr)
- Framework de single sign-on (SSO) para autenticación unificada
- APIs para integración con sistemas backend
Servicios y Aplicaciones
- Repositorio documental: Almacenamiento centralizado con control de versiones
- Colaboración: Wikis, foros, espacios de equipo
- Comunicación interna: Noticias, anuncios, boletines
- Autoservicio de empleados: Gestión de ausencias, nóminas, formación
- Directorio corporativo: Información de contacto y organigrama
- Aplicaciones integradas: Acceso web a ERP, CRM, sistemas específicos
2.3. Arquitectura Típica de Intranet
| Capa | Componentes | Tecnologías Comunes | Función |
|---|---|---|---|
| Presentación | Navegador web, apps móviles | HTML5, CSS3, JavaScript, React, Angular | Interfaz de usuario |
| Web | Servidores web, balanceadores | IIS, Apache, Nginx, HAProxy | Servir contenido web |
| Aplicación | Servidores de aplicaciones | Tomcat, WebLogic, .NET Framework | Lógica de negocio |
| Servicios | APIs, microservicios | REST, SOAP, GraphQL | Integración de sistemas |
| Datos | Bases de datos, almacenamiento | SQL Server, Oracle, PostgreSQL, MongoDB | Persistencia de información |
| Seguridad | Autenticación, autorización | Active Directory, LDAP, OAuth, SAML | Control de acceso |
2.4. Beneficios y Casos de Uso
ℹ️ Beneficios Clave de una Intranet
- Centralización de información: Punto único de acceso a todos los recursos corporativos
- Mejora de la comunicación: Canal directo y bidireccional con empleados
- Reducción de silos: Fomenta intercambio de conocimiento entre departamentos
- Eficiencia operacional: Automatización de procesos administrativos
- Cultura organizacional: Refuerza valores y cohesión del equipo
- Onboarding: Facilita integración de nuevos empleados
- Cumplimiento: Garantiza acceso a políticas y procedimientos actualizados
3. Extranets Corporativas
3.1. Definición y Diferencias con Intranet
Una extranet es una extensión controlada de la intranet corporativa que permite el acceso a usuarios externos específicos (socios comerciales, proveedores, clientes, colaboradores) a determinados recursos y servicios de la organización. Mientras que la intranet es exclusivamente interna, la extranet establece un «espacio intermedio» seguro para la colaboración B2B (Business-to-Business) o B2C (Business-to-Customer).
La extranet mantiene el mismo principio de red privada, pero extiende selectivamente sus beneficios fuera del perímetro organizacional tradicional, implementando controles de seguridad adicionales y modelos de acceso granulares.
3.2. Casos de Uso de Extranets
Gestión de la Cadena de Suministro
- Proveedores acceden a previsiones de demanda y lanzan pedidos automáticamente
- Seguimiento en tiempo real de órdenes de compra y entregas
- Gestión colaborativa de inventarios (VMI – Vendor Managed Inventory)
- Intercambio de especificaciones técnicas y catálogos de productos
Portales de Distribuidores y Partners
- Acceso a materiales de marketing y formación comercial
- Configuradores de productos y herramientas de ventas
- Gestión de leads y oportunidades compartidas
- Programas de incentivos y tracking de comisiones
Portales de Clientes
- Autoservicio para consulta de pedidos y facturación
- Descarga de documentación técnica y certificados
- Apertura y seguimiento de tickets de soporte
- Acceso a dashboards personalizados con KPIs
Colaboración en Proyectos
- Espacios de trabajo compartidos con consultores externos
- Gestión documental colaborativa con control de versiones
- Coordinación de plazos y entregables
- Comunicación segura entre equipos mixtos
3.3. Arquitectura y Seguridad de Extranets
⛔ Consideraciones Críticas de Seguridad en Extranets
- Autenticación multifactor (MFA): Obligatoria para todos los usuarios externos
- Segregación de redes: DMZ (zona desmilitarizada) para aislar recursos de extranet
- Principio de mínimo privilegio: Acceso restringido estrictamente a lo necesario
- Cifrado de datos: TLS 1.3 para tránsito, cifrado en reposo para almacenamiento
- Auditoría exhaustiva: Registro detallado de todas las actividades de usuarios externos
- Gestión de identidades: Procesos rigurosos de alta, modificación y baja de accesos
- Monitorización continua: Detección de comportamientos anómalos
- Acuerdos legales: NDAs y términos de uso firmados por todos los participantes
3.4. Comparativa Intranet vs Extranet
| Aspecto | Intranet | Extranet |
|---|---|---|
| Usuarios | Empleados internos exclusivamente | Usuarios externos autorizados (partners, clientes, proveedores) |
| Acceso | Desde red corporativa o VPN | Desde Internet con autenticación reforzada |
| Contenido | Información interna completa | Información específica y limitada |
| Seguridad | Perimetral + controles internos | Múltiples capas adicionales (MFA, DMZ, auditoría) |
| Propósito | Comunicación y colaboración interna | Colaboración B2B/B2C controlada |
| Gestión identidades | Active Directory corporativo | Sistema federado o directorio externo |
| Disponibilidad | Horario laboral típicamente | 24/7 generalmente requerido |
4. Redes Privadas Virtuales (VPN)
4.1. Conceptos Fundamentales
Una Red Privada Virtual (VPN – Virtual Private Network) es una tecnología que crea un túnel cifrado sobre una red pública (típicamente Internet) permitiendo transmisiones seguras de datos como si los dispositivos estuvieran conectados directamente a una red privada. Las VPNs proporcionan tres garantías fundamentales: confidencialidad (mediante cifrado), integridad (mediante hashing) y autenticación (mediante certificados o credenciales).
Las VPNs son especialmente relevantes para organizaciones distribuidas geográficamente, teletrabajo, conexión de sucursales, y acceso remoto seguro a recursos corporativos.
4.2. Tipos de VPN
VPN de Acceso Remoto (Remote Access VPN)
Permite a usuarios individuales conectarse de forma segura a la red corporativa desde ubicaciones remotas:
- Cliente VPN: Software instalado en dispositivo del usuario (AnyConnect, GlobalProtect, OpenVPN)
- Concentrador VPN: Gateway corporativo que termina conexiones VPN
- Autenticación: Credenciales corporativas + MFA típicamente
- Casos de uso: Teletrabajo, acceso desde dispositivos móviles, trabajadores itinerantes
VPN Sitio a Sitio (Site-to-Site VPN)
Conecta dos o más redes corporativas (oficinas, data centers) creando una WAN virtual sobre Internet:
- Túneles permanentes: Conexión always-on entre routers o firewalls
- Transparencia: Usuarios no requieren software adicional, conectividad automática
- Protocolos: IPsec típicamente, también GRE over IPsec
- Casos de uso: Interconexión de sucursales, acceso a CPD central, replicación de datos
VPN SSL/TLS (WebVPN)
Proporciona acceso sin cliente mediante navegador web:
- Sin software: Acceso desde cualquier dispositivo con navegador
- Portal web: Presenta aplicaciones y recursos disponibles
- Limitaciones: Funcionalidad reducida comparado con cliente VPN completo
- Casos de uso: Acceso ocasional, dispositivos no corporativos, escenarios BYOD limitados
4.3. Protocolos VPN
| Protocolo | Capa OSI | Cifrado | Ventajas | Desventajas |
|---|---|---|---|---|
| IPsec | Capa 3 (Red) | 3DES, AES-128/256 | Muy seguro, estándar industrial, soportado nativamente | Configuración compleja, problemas con NAT |
| SSL/TLS | Capa 4/7 (Aplicación) | TLS 1.2/1.3 | Fácil despliegue, atraviesa firewalls, acceso web | Mayor overhead, menos eficiente para sitio-a-sitio |
| L2TP/IPsec | Capa 2 (Enlace) | IPsec para cifrado | Buen balance seguridad/rendimiento | Doble encapsulación reduce velocidad |
| OpenVPN | Capa 2/3 | OpenSSL (AES-256) | Código abierto, muy flexible, altamente seguro | Requiere software third-party |
| WireGuard | Capa 3 | ChaCha20, Poly1305 | Muy rápido, código simplificado, moderno | Relativamente nuevo, menos maduro |
| PPTP | Capa 2 | MPPE (débil) | Fácil configuración, amplio soporte | Obsoleto, inseguro, NO recomendado |
4.4. Arquitectura de Infraestructura VPN
ℹ️ Componentes de una Solución VPN Corporativa
- Concentradores VPN: Dispositivos especializados (Cisco ASA, Palo Alto, Fortinet) que terminan túneles
- Servidor de autenticación: RADIUS/TACACS+ integrado con Active Directory
- Servidor de certificados (PKI): Para autenticación basada en certificados digitales
- Sistema de gestión centralizada: Configuración, monitorización y reporting de VPN
- Balanceadores de carga: Distribución de conexiones entre múltiples concentradores
- Sistemas de logging: SIEM para análisis de logs y detección de anomalías
- Portal de autoservicio: Descarga de clientes VPN y gestión de credenciales
4.5. Consideraciones de Diseño y Planificación
Dimensionamiento
- Usuarios concurrentes: Calcular picos de conexión simultánea (típicamente 30-50% de plantilla total)
- Ancho de banda: Provisionar túneles con capacidad suficiente considerando overhead de cifrado (15-20%)
- Latencia aceptable: <50ms para aplicaciones interactivas, <100ms para aplicaciones generales
- Capacidad de procesamiento: CPUs con aceleración AES-NI para cifrado/descifrado eficiente
Alta Disponibilidad
- Concentradores VPN en clúster activo-activo o activo-pasivo
- Múltiples enlaces de Internet desde diferentes proveedores
- Sesiones persistentes con failover transparente
- Monitorización proactiva con alertas automáticas
Seguridad
- Autenticación multifactor obligatoria para todos los accesos remotos
- Políticas de acceso basadas en postura del dispositivo (antivirus actualizado, parches, EDR)
- Segmentación de acceso: usuarios remotos en VLANs separadas con políticas restrictivas
- Split-tunneling controlado: definir qué tráfico va por VPN y qué directo a Internet
- Certificados con caducidad automática y revocación centralizada
5. Evolución Tecnológica: SD-WAN y SASE
5.1. Software-Defined WAN (SD-WAN)
SD-WAN representa la evolución natural de las VPNs tradicionales y circuitos MPLS, aplicando principios de software-defined networking a las redes de área amplia corporativas. Permite gestionar múltiples tipos de conectividad (MPLS, Internet, LTE/5G) de forma inteligente y centralizada mediante controladores software.
Características Principales de SD-WAN
- Gestión centralizada: Configuración y políticas desde controlador cloud o on-premise
- Inteligencia de enrutamiento: Selección dinámica de mejor path según aplicación, latencia, pérdida de paquetes
- Optimización de aplicaciones: QoS y priorización automática de tráfico crítico (VoIP, videoconferencia)
- Múltiples transportes: Agregación de enlaces MPLS + Internet(s) + LTE para resiliencia y capacidad
- Zero-touch provisioning: Despliegue automático de nuevas sedes sin intervención técnica local
- Visibilidad end-to-end: Dashboards con métricas de rendimiento por aplicación y enlace
- Reducción de costes: Sustitución de costosas líneas MPLS por Internet commodity
Beneficios de SD-WAN
✅ Ventajas de SD-WAN sobre VPN/MPLS Tradicionales
- Ahorro económico: 30-50% reducción de costes WAN utilizando enlaces Internet
- Agilidad: Despliegue de nuevas sedes en días en lugar de semanas/meses
- Rendimiento: Mejora de experiencia de usuario para aplicaciones cloud (Office 365, Salesforce)
- Resiliencia: Failover automático en milisegundos entre enlaces
- Simplicidad: Gestión unificada vs. configuración router-by-router
- Visibilidad: Analytics detallados de tráfico y rendimiento de aplicaciones
5.2. SASE (Secure Access Service Edge)
SASE es un framework arquitectónico definido por Gartner en 2019 que converge capacidades de red (SD-WAN) y seguridad (SWG, CASB, FWaaS, ZTNA) en un único servicio cloud-native. Reconoce que el perímetro de seguridad tradicional ha desaparecido con la adopción de cloud, movilidad y teletrabajo, requiriendo un nuevo modelo donde la seguridad se entrega «como servicio» desde el borde (edge).
Componentes de SASE
- SD-WAN: Conectividad inteligente y optimizada
- FWaaS (Firewall as a Service): Firewall de próxima generación en cloud
- SWG (Secure Web Gateway): Filtrado de contenido web y protección contra amenazas
- CASB (Cloud Access Security Broker): Seguridad y visibilidad para aplicaciones SaaS
- ZTNA (Zero Trust Network Access): Acceso condicional basado en identidad y contexto
- DLP (Data Loss Prevention): Prevención de fuga de datos en tránsito
Modelo Zero Trust
SASE se fundamenta en el principio Zero Trust: «nunca confíes, siempre verifica». Cada acceso a recursos corporativos require:
- Verificación de identidad del usuario (MFA)
- Evaluación de postura del dispositivo (parches, compliance)
- Contexto de acceso (ubicación, hora, riesgo)
- Autorización granular por recurso específico
- Monitorización continua durante la sesión
| Aspecto | VPN Tradicional | SD-WAN | SASE |
|---|---|---|---|
| Conectividad | Túneles estáticos | Multi-path dinámico | Cloud-native global |
| Seguridad | Perimetral (on-premise) | Básica (túneles cifrados) | Integrada nativa (FWaaS, ZTNA) |
| Gestión | Por dispositivo | Centralizada (controlador) | Cloud management unificado |
| Acceso cloud | Backhauling a CPD | Breakout Internet local | Directo optimizado |
| Usuarios remotos | Cliente VPN dedicado | Cliente VPN + SD-WAN | Cliente SASE unificado |
| Escalabilidad | Limitada (HW) | Buena | Elástica (cloud) |
| Coste | CAPEX alto | CAPEX + OPEX | OPEX (subscripción) |
6. Estrategias de Implantación
6.1. Metodología de Proyecto
La implantación de servicios de datos corporativos requiere una metodología estructurada que minimice riesgos y garantice adopción exitosa:
Fase 1: Análisis y Diseño
- Levantamiento de requisitos: Entrevistas con stakeholders, análisis de procesos actuales
- Inventario de activos: Aplicaciones, datos, ubicaciones, usuarios
- Análisis de tráfico: Caracterización de flujos de red y anchos de banda necesarios
- Evaluación de seguridad: Identificación de riesgos y requisitos de cumplimiento
- Diseño de arquitectura: Topología de red, componentes, integración con sistemas existentes
- Definición de políticas: Acceso, seguridad, uso aceptable
Fase 2: Preparación
- Adquisición e instalación de hardware/software
- Configuración de entornos de desarrollo y pruebas
- Desarrollo de documentación técnica y procedimientos
- Preparación de materiales de formación
- Establecimiento de plan de migración y rollback
Fase 3: Piloto
- Despliegue en grupo reducido de usuarios/sedes piloto
- Validación funcional de todos los casos de uso
- Pruebas de rendimiento y carga
- Identificación y resolución de problemas
- Ajuste de configuraciones basado en feedback
Fase 4: Despliegue
- Rollout progresivo por fases (departamentos, geografías)
- Migración de usuarios y servicios según planificación
- Formación de usuarios finales
- Soporte intensivo durante periodo de estabilización
- Monitorización continua de métricas de adopción
Fase 5: Estabilización y Mejora Continua
- Resolución de incidencias residuales
- Optimización de rendimiento
- Análisis de métricas y KPIs
- Recopilación de feedback de usuarios
- Planificación de mejoras y nuevas funcionalidades
6.2. Estrategias de Migración VPN
⚠️ Enfoques de Migración
Big Bang (Corte directo):
- Ventaja: Rápido, sin periodo de coexistencia
- Riesgo: Alto impacto si hay problemas
- Adecuado: Organizaciones pequeñas, ventana de mantenimiento amplia
Paralelo (Coexistencia temporal):
- Ventaja: Rollback inmediato si problemas
- Riesgo: Complejidad de gestionar dos sistemas
- Adecuado: Entornos críticos, organizaciones medianas
Faseado (Por grupos):
- Ventaja: Riesgo distribuido, aprendizaje iterativo
- Riesgo: Periodo de migración prolongado
- Adecuado: Grandes organizaciones, despliegues complejos
6.3. Factores Críticos de Éxito
- Sponsorship ejecutivo: Apoyo visible de dirección
- Comunicación clara: Información transparente y frecuente sobre cambios
- Gestión del cambio: Programa estructurado para facilitar adopción
- Formación adecuada: Capacitación técnica y de usuario final
- Soporte dedicado: Help desk reforzado durante transición
- Monitorización proactiva: Detección temprana de problemas
- Flexibilidad: Capacidad de ajustar plan según feedback
7. Gestión y Operación de VPNs
7.1. Gestión del Ciclo de Vida
Aprovisionamiento de Usuarios
- Proceso automatizado de alta vinculado a onboarding
- Asignación de perfiles de acceso según rol/departamento
- Generación y distribución segura de credenciales/certificados
- Provisión de software cliente VPN preconfigurado
Gestión de Cambios
- Control de cambios en configuraciones de VPN
- Versionado y backup de configuraciones
- Procedimientos de testing antes de aplicar en producción
- Ventanas de mantenimiento planificadas
Gestión de Incidentes
- Procedimientos de troubleshooting escalonados (nivel 1, 2, 3)
- Base de conocimiento con problemas comunes y soluciones
- Tiempos de resolución definidos según severidad
- Escalado automático para incidentes críticos
7.2. Monitorización y Análisis
ℹ️ Métricas Clave de Monitorización VPN
Disponibilidad:
- Uptime de concentradores VPN (objetivo: >99.9%)
- Disponibilidad de enlaces de conectividad
- Tiempo de respuesta de servicios de autenticación
Rendimiento:
- Throughput de túneles VPN (Mbps)
- Latencia end-to-end (<50ms objetivo)
- Pérdida de paquetes (<0.1% objetivo)
- Utilización de CPU/memoria en concentradores
Capacidad:
- Número de túneles activos vs. capacidad máxima
- Usuarios concurrentes (pico, medio)
- Consumo de ancho de banda por túnel/usuario
Seguridad:
- Intentos de autenticación fallidos
- Conexiones desde ubicaciones inusuales
- Tráfico anómalo (volumen, destinos)
- Dispositivos sin compliance (antivirus desactualizado)
7.3. Optimización Continua
- Análisis de patrones de uso: Identificar aplicaciones más consumidas, horarios pico
- Ajuste de políticas de QoS: Priorización de aplicaciones críticas
- Optimización de split-tunneling: Balance entre seguridad y rendimiento
- Compresión de datos: Reducir ancho de banda en enlaces limitados
- Cacheo de aplicaciones: Proxies para aplicaciones frecuentes
8. La Red Corporativa de la Junta de Andalucía
8.1. Contexto y Objetivos
La Junta de Andalucía, como administración autonómica que gestiona servicios públicos para más de 8.5 millones de habitantes en un territorio extenso (87,268 km²), requiere una infraestructura de comunicaciones robusta, segura y eficiente. La Red Corporativa de la Junta de Andalucía (RCJA) constituye la columna vertebral tecnológica que interconecta todas las consejerías, organismos autónomos, empresas públicas y centros de servicios distribuidos por toda la comunidad autónoma.
8.2. Arquitectura de la RCJA
La RCJA se estructura en tres niveles jerárquicos principales:
Nivel 1: Core (Núcleo)
- Centros de Proceso de Datos principales en Sevilla
- Conectividad de alta velocidad redundante (10 Gbps+)
- Infraestructura crítica con disponibilidad TIER III
- Concentración de servidores, sistemas de almacenamiento y aplicaciones corporativas
Nivel 2: Distribución Provincial
- Nodos provinciales en las 8 capitales andaluzas
- Enlaces de alta capacidad con el core (1-10 Gbps)
- Agregación de tráfico de delegaciones provinciales
- Servicios de backup y contingencia distribuidos
Nivel 3: Acceso Local
- Delegaciones territoriales, oficinas comarcales, centros educativos, sanitarios
- Enlaces de capacidad variable según dimensión del centro (10 Mbps – 1 Gbps)
- VPN para ubicaciones sin conectividad dedicada
- Acceso de empleados remotos mediante VPN corporativa
8.3. Servicios Proporcionados por la RCJA
✅ Servicios Clave de la Red Corporativa
- Conectividad IP: Comunicación entre todas las sedes
- Acceso a Internet: Salida centralizada con seguridad perimetral
- Telefonía VoIP: Sistema unificado de comunicaciones
- Videoconferencia: Salas y soluciones de colaboración virtual
- Servicios de directorio: Active Directory corporativo
- Correo electrónico: Sistema de mensajería unificado
- Aplicaciones corporativas: ERP (SAP), gestión documental, sistemas sectoriales
- Backup centralizado: Copias de seguridad de sistemas críticos
- Seguridad perimetral: Firewalls, IDS/IPS, antimalware
- Monitorización: NOC (Network Operations Center) 24/7
8.4. Tecnologías Implementadas
- Núcleo MPLS: Red multiprotocolo con QoS y alta disponibilidad
- VPN IPsec: Para conexión de sedes remotas y usuarios móviles
- SD-WAN: Implementación progresiva para optimización de conectividad
- IPv6: Despliegue dual-stack para cumplir con ENI
- Segmentación de red: VLANs por servicios y niveles de seguridad
- Cifrado de comunicaciones: TLS/SSL para tráfico web y aplicaciones
9. Red SARA (Sistema de Aplicaciones y Redes para las Administraciones)
9.1. Concepto y Marco Legal
La Red SARA es la infraestructura de comunicaciones que interconecta a todas las Administraciones Públicas españolas y las instituciones europeas, facilitando el intercambio seguro de información y el acceso a servicios comunes de administración electrónica. Su existencia y uso están establecidos por mandato legal:
- Ley 11/2007: Ley de Acceso Electrónico de los Ciudadanos a los Servicios Públicos (artículo 43)
- Real Decreto 4/2010: Regula el Esquema Nacional de Interoperabilidad (artículo 13)
- Resolución de 19 de julio de 2011: Norma Técnica de Interoperabilidad de requisitos de conexión a SARA
SARA es gestionada por el Ministerio para la Transformación Digital y de la Función Pública (anteriormente Ministerio de Hacienda y Administraciones Públicas) y su uso es obligatorio para todas las administraciones que necesiten intercambiar información o acceder a servicios comunes.
9.2. Alcance y Cobertura
La Red SARA conecta a:
- Administración General del Estado (AGE): Todos los ministerios y organismos adscritos
- Comunidades Autónomas: Las 17 CCAA y las 2 ciudades autónomas (Ceuta y Melilla)
- Administración Local: A través de las CCAA, ayuntamientos, diputaciones, cabildos
- Órganos constitucionales: Congreso, Senado, Tribunal Constitucional, etc.
- Universidades: A través de RedIRIS (red académica y de investigación)
- Instituciones europeas: Conexión con la red transeuropea sTESTA
9.3. Características Técnicas
| Característica | Descripción | Especificaciones |
|---|---|---|
| Fiabilidad | Red completamente mallada sin puntos únicos de fallo | Disponibilidad >99.9%, soporte 24x7x365 |
| Seguridad | Tráfico cifrado extremo a extremo | IPsec, integración con CCN-CERT |
| Capacidad | Anchos de banda escalables según necesidades | 10 Gbps ministerios, 100 Mbps+ CCAA |
| Calidad de Servicio | QoS diferenciada por tipo de tráfico | Priorización de aplicaciones críticas |
| Interoperabilidad | Gateway IPv6 común | Dual-stack IPv4/IPv6 |
| Gestión | Administración centralizada | NOC central, monitorización continua |
9.4. Servicios Proporcionados
Servicios de Comunicaciones
- Conectividad IP: Comunicación entre todas las organizaciones conectadas
- Interconexión de redes: Pasarela entre redes corporativas de diferentes administraciones
- Acceso a Internet: Salida controlada y segura
- Multicast: Para aplicaciones de videoconferencia y streaming
Servicios Comunes de Administración Electrónica
- @firma: Plataforma de validación y firma electrónica
- Cl@ve: Sistema de identificación y autenticación común
- Plataforma de intermediación: Interoperabilidad entre sistemas
- Registro electrónico común: Presentación telemática de documentos
- Notificaciones electrónicas: Sistema de notificación segura
- Carpeta ciudadana: Acceso a expedientes y datos personales
- SIR (Sistema de Interconexión de Registros): Intercambio de asientos registrales
- ORVE (Oficina de Registro Virtual): Registro distribuido
Servicios de Verificación y Consulta
- Plataforma de validación y consulta de datos (SVDI)
- Consulta de datos de identidad (SCSP)
- Verificación de datos de residencia, titulaciones, etc.
- Intercambio de información catastral
9.5. Modelo de Gobernanza
La Red SARA se estructura mediante Proveedores de Acceso (PAS) que actúan como nodos de agregación:
ℹ️ Estructura de Proveedores de Acceso (PAS)
- PAS de primer nivel: Ministerios, CCAA, órganos constitucionales – Conexión directa a SARA
- Organismos dependientes: Se conectan a través del PAS de su organismo superior
- Administraciones Locales: Se conectan a través de la CCAA correspondiente
- Requisitos técnicos: Área de Conexión (AC) en sus instalaciones con equipamiento homologado
- Procedimiento de alta: Solicitud formal al Centro de Soporte SARA con justificación técnica
10. Red NEREA (Red de Entidades Regionales de Andalucía)
10.1. Origen y Misión
La Red NEREA es un proyecto estratégico de la Junta de Andalucía, gestionado por la Consejería de la Presidencia, Administración Pública e Interior, cuya misión es impulsar una red de telecomunicaciones que permita la interconexión telemática de todas las Administraciones Públicas presentes en Andalucía (ámbito estatal, autonómico y local), facilitando la compartición segura de aplicaciones, recursos e información.
NEREA representa la implementación regional de los principios de interoperabilidad establecidos en el Esquema Nacional de Interoperabilidad, actuando como capa de acceso local que conecta entidades locales andaluzas con la RCJA, SARA y, a través de ésta, con el resto de administraciones españolas y europeas.
10.2. Arquitectura de NEREA
Componentes Principales
Centro de Servicios Comunes (CSC):
- Ubicado en infraestructura central de la Junta de Andalucía
- Punto de interconexión con la RCJA y la Red SARA
- Agrega comunicaciones de las ocho Áreas de Conexión Provinciales
- Proporciona servicios comunes (DNS, NTP, antivirus, filtrado web)
Áreas de Conexión Provinciales (AC):
- Ocho nodos provinciales, típicamente alojados en Diputaciones Provinciales
- Agregan tráfico de ayuntamientos de la provincia
- Proporcionan conectividad a entidades locales de su ámbito territorial
- Servicios de contingencia y backup locales
Centro de Accesos Remotos (CAR):
- Integra entidades locales sin conectividad dedicada
- VPN sobre Internet para ayuntamientos pequeños o ubicaciones aisladas
- Garantiza acceso universal independientemente del tamaño del municipio
10.3. Características Distintivas
✅ Características Clave de NEREA
- Uso exclusivo administrativo: Red privada para administraciones públicas únicamente
- Seguridad inherente: Aislada de Internet, sin exposición a amenazas públicas
- Software Libre: Todos los servicios básicos de red implementados con herramientas open source
- Neutralidad tecnológica: Sin dependencia de fabricantes propietarios
- Escalabilidad provincial: Modelo replicable en cada provincia
- Inclusión digital: Acceso garantizado para todos los municipios, incluidos pequeños
- Gobernanza colaborativa: Participación de Diputaciones en gestión
10.4. Servicios NEREA
Servicios de Conectividad
- Acceso a RCJA y recursos corporativos de la Junta de Andalucía
- Interconexión con Red SARA y AGE
- Comunicación entre administraciones locales andaluzas
- Acceso controlado a Internet con seguridad centralizada
Servicios Comunes
- Infraestructura básica: DNS, DHCP, NTP (sincronización horaria)
- Seguridad: Antivirus, filtrado de contenidos, firewall corporativo
- Directorio: LDAP para gestión de identidades
- Correo electrónico: Sistema de mensajería corporativa
- Almacenamiento: Espacios de almacenamiento compartido
- Backup: Copias de seguridad centralizadas
Aplicaciones y Plataformas
- Acceso a plataformas de la Junta: @RIES (Sistema de Información de la Red de Entidades Locales de Andalucía)
- Portal de servicios comunes de e-administración
- Aplicaciones sectoriales (urbanismo, medio ambiente, servicios sociales)
- Plataforma de contratación pública
10.5. Modelo de Adhesión y Gestión
Las entidades locales andaluzas que desean conectarse a NEREA deben:
- Formalizar adhesión mediante convenio con la Junta de Andalucía
- Cumplir requisitos técnicos mínimos (conectividad, equipamiento)
- Designar responsable técnico y de seguridad
- Comprometerse al uso exclusivo administrativo de la red
- Participar en formación y gobernanza de la red
10.6. Impacto y Beneficios
| Beneficio | Para Entidades Locales | Para la Junta de Andalucía |
|---|---|---|
| Económico | Acceso a servicios TIC sin inversión propia significativa | Economía de escala en contratación de servicios |
| Técnico | Infraestructura profesional gestionada centralmente | Estandarización y homogeneización tecnológica |
| Seguridad | Protección avanzada sin recursos propios | Control centralizado y cumplimiento ENS |
| Interoperabilidad | Acceso directo a servicios autonómicos y estatales | Facilitación de procedimientos interadministrativos |
| Ciudadano | Mejora de servicios electrónicos al ciudadano | Cohesión territorial en administración digital |
11. Mapa Conceptual
Mapa Conceptual: Servicios de Datos Corporativos y Redes Administrativas
Red privada interna con tecnologías Internet
- Servidores web internos
- CMS (SharePoint, Liferay, Drupal)
- Repositorio documental
- Directorio corporativo (AD, LDAP)
- Portal del empleado
- Colaboración y wikis
- Autoservicio RRHH
- Comunicación interna
Extensión controlada de intranet para usuarios externos
- Portal de proveedores
- Portal de distribuidores/partners
- Portal de clientes (B2C)
- Colaboración en proyectos externos
- MFA obligatorio
- DMZ (zona desmilitarizada)
- Auditoría exhaustiva
- Acceso granular por recurso
Túneles cifrados sobre redes públicas
- Remote Access: Usuario → Red corporativa
- Site-to-Site: Red ↔ Red (sucursales)
- SSL/TLS VPN: Acceso web sin cliente
- IPsec: Estándar industrial capa 3
- SSL/TLS: Capa 4/7 aplicación
- OpenVPN: Flexible, open source
- WireGuard: Moderno, alto rendimiento
- Cifrado: AES-256, ChaCha20
- Autenticación: MFA, certificados PKI
- Integridad: HMAC-SHA256
Evolución de conectividad corporativa
- Gestión centralizada controlador software
- Multi-path inteligente (MPLS+Internet+LTE)
- Enrutamiento dinámico por aplicación
- QoS automático y optimización
- Reducción costes 30-50%
- Convergencia Red + Seguridad en cloud
- SD-WAN + FWaaS + SWG + CASB + ZTNA
- Modelo Zero Trust: nunca confíes, siempre verifica
- Seguridad desde el edge, no perímetro
Infraestructura interadministrativa nacional
- AGE: Todos los ministerios
- CCAA: 17 comunidades + 2 ciudades autónomas
- Administración Local: vía CCAA
- Órganos constitucionales
- Universidades: vía RedIRIS
- UE: conexión sTESTA
- Red mallada, sin SPOF
- Tráfico cifrado IPsec
- 10 Gbps ministerios, 100 Mbps CCAA
- QoS diferenciado
- Disponibilidad >99.9%
- Soporte 24x7x365
- @firma: Firma electrónica
- Cl@ve: Identificación ciudadanos
- Plataforma intermediación
- Registro electrónico común
- Notificaciones electrónicas
- SIR, ORVE
- Ley 11/2007: Acceso electrónico (art. 43)
- RD 4/2010: ENI (art. 13)
- Resolución 19/07/2011: NTI conexión
- Uso obligatorio para interoperabilidad
Red autonómica andaluza interadministrativa
- CSC: Centro Servicios Comunes → RCJA + SARA
- 8 AC Provinciales: Agregación provincial
- CAR: Accesos remotos VPN
- Conectividad universal municipios
- Uso exclusivo administrativo
- Aislada de Internet (seguridad)
- Software Libre en servicios básicos
- Gobernanza colaborativa Diputaciones
- Inclusión digital pequeños municipios
- Conectividad: RCJA, SARA, AGE, Internet
- Infraestructura: DNS, DHCP, NTP
- Seguridad: Antivirus, firewall, filtrado
- Aplicaciones: @RIES, e-administración
- Almacenamiento y backup centralizado
Infraestructura interna Junta de Andalucía
- Core: CPD Sevilla (TIER III, 10 Gbps+)
- Distribución: 8 nodos provinciales (1-10 Gbps)
- Acceso: Delegaciones, centros (10 Mbps-1 Gbps)
- MPLS con QoS
- VPN IPsec
- SD-WAN (implementación progresiva)
- IPv6 dual-stack
Leyenda del Mapa Conceptual:
Nivel 1: Concepto principal Nivel 2: Categorías principales Nivel 3: Componentes y detalles12. Preguntas de Evaluación
Pregunta 1
¿Cuál es la principal diferencia entre una intranet y una extranet?
Explicación: La diferencia fundamental entre intranet y extranet radica en los usuarios autorizados a acceder. Una intranet es una red privada corporativa de uso exclusivo para empleados internos de la organización, proporcionando acceso a información, aplicaciones y recursos corporativos. Una extranet, por el contrario, es una extensión controlada de la intranet que permite el acceso selectivo a usuarios externos específicos como proveedores, socios comerciales, clientes o colaboradores, estableciendo un espacio seguro de colaboración B2B o B2C. Ambas pueden utilizar tecnologías similares (HTTP/HTTPS, protocolos Internet), pero difieren radicalmente en su alcance de usuarios y controles de seguridad adicionales que la extranet requiere por exponer recursos a entidades externas.
Pregunta 2
¿Qué protocolo VPN opera en la capa 3 del modelo OSI y es considerado el estándar industrial para VPNs sitio-a-sitio?
Explicación: IPsec (Internet Protocol Security) es el protocolo VPN que opera en la capa 3 (red) del modelo OSI y representa el estándar industrial más utilizado para VPNs sitio-a-sitio. IPsec proporciona autenticación, integridad y confidencialidad cifrando paquetes IP completos, soportando múltiples algoritmos de cifrado (3DES, AES-128/256) y métodos de autenticación. Su implementación a nivel de red lo hace transparente para aplicaciones, eficiente para tráfico entre redes corporativas, y ampliamente soportado por routers y firewalls empresariales. SSL/TLS opera en capas superiores (4/7), PPTP está obsoleto e inseguro, y L2TP típicamente se combina con IPsec para el cifrado, operando en capa 2.
Pregunta 3
¿Qué tecnología permite gestionar múltiples tipos de conectividad (MPLS, Internet, LTE) de forma inteligente mediante controladores software?
Explicación: SD-WAN (Software-Defined Wide Area Network) es la tecnología que permite gestionar y orquestar múltiples tipos de enlaces de conectividad (MPLS, Internet, LTE/5G) de forma centralizada e inteligente mediante controladores software. SD-WAN aplica principios de redes definidas por software a las WAN corporativas, permitiendo selección dinámica del mejor path según características de la aplicación (latencia, pérdida de paquetes, ancho de banda), agregación de múltiples enlaces para capacidad y resiliencia, y failover automático en milisegundos. Esta inteligencia de enrutamiento por aplicación, combinada con gestión centralizada y visibilidad end-to-end, representa una evolución significativa sobre VPNs estáticas tradicionales y costosos circuitos MPLS, reduciendo costes operacionales en 30-50% y mejorando agilidad de despliegue.
Pregunta 4
¿Qué significa el acrónimo SASE y cuál es su principal característica?
Explicación: SASE (Secure Access Service Edge) es un framework arquitectónico definido por Gartner en 2019 que converge capacidades de red (SD-WAN) y seguridad (Firewall as a Service, Secure Web Gateway, CASB, ZTNA) en un único servicio cloud-native entregado desde el edge. La característica principal de SASE es que reconoce la desaparición del perímetro de seguridad tradicional debido a la adopción masiva de cloud, movilidad y teletrabajo, proponiendo un modelo donde la seguridad se entrega «como servicio» desde puntos de presencia globales cercanos a usuarios y aplicaciones. SASE se fundamenta en el principio Zero Trust («nunca confíes, siempre verifica»), evaluando continuamente identidad, postura del dispositivo y contexto antes de permitir acceso a recursos específicos, transformando radicalmente la arquitectura de seguridad y conectividad corporativa.
Pregunta 5
¿Cuál es el objetivo principal de la Red SARA?
Explicación: La Red SARA (Sistema de Aplicaciones y Redes para las Administraciones) tiene como objetivo principal interconectar a todas las Administraciones Públicas españolas (AGE, CCAA, administración local, órganos constitucionales) y las instituciones europeas, facilitando el intercambio seguro de información y proporcionando acceso a servicios comunes de administración electrónica. SARA actúa como la «autopista de información» que permite la interoperabilidad entre administraciones, soportando servicios críticos como @firma (firma electrónica), Cl@ve (identificación), plataforma de intermediación, registro electrónico común, y sistemas de verificación de datos. Su uso está establecido por mandato legal (Ley 11/2007, RD 4/2010 ENI) y es obligatorio para todas las administraciones que necesiten intercambiar información o acceder a servicios comunes de e-administración.
Pregunta 6
¿Qué característica distintiva tiene la Red NEREA de la Junta de Andalucía?
Explicación: La Red NEREA (Red de Entidades Regionales de Andalucía) se caracteriza por ser una red privada de uso exclusivo administrativo para todas las administraciones públicas presentes en Andalucía (autonómica y local), aislada completamente de Internet para garantizar máxima seguridad, y con todos sus servicios básicos de red implementados mediante herramientas de Software Libre, garantizando neutralidad tecnológica y ausencia de dependencia de fabricantes propietarios. NEREA actúa como capa de acceso regional que conecta entidades locales andaluzas con la Red Corporativa de la Junta de Andalucía (RCJA) y, a través de ésta, con la Red SARA nacional. Su modelo de gobernanza colaborativa incluye participación de las Diputaciones Provinciales en la gestión de las Áreas de Conexión Provinciales, garantizando inclusión digital incluso para los municipios más pequeños mediante el Centro de Accesos Remotos (CAR) que proporciona VPN sobre Internet.
Pregunta 7
¿Qué tipo de VPN es más adecuada para conectar permanentemente dos oficinas corporativas separadas geográficamente?
Explicación: La VPN sitio-a-sitio (Site-to-Site VPN) es la solución adecuada para conectar de forma permanente dos o más redes corporativas separadas geográficamente, como oficinas, sucursales o centros de datos. Este tipo de VPN establece túneles permanentes (always-on) entre routers o firewalls de cada ubicación, creando una WAN virtual sobre Internet que es completamente transparente para los usuarios finales, quienes no requieren software adicional ni intervención manual para acceder a recursos de otras sedes. La conexión es automática, persistente y permite que las redes remotas funcionen como si estuvieran físicamente conectadas mediante enlaces dedicados privados. En contraste, las VPN de acceso remoto están diseñadas para usuarios individuales que se conectan ocasionalmente desde ubicaciones variables, no para interconexión permanente de redes completas.
Pregunta 8
En el contexto de SASE, ¿qué significa ZTNA?
Explicación: ZTNA (Zero Trust Network Access) es un componente fundamental de SASE que implementa el modelo de seguridad Zero Trust: «nunca confíes, siempre verifica». ZTNA reemplaza el concepto tradicional de VPN que, una vez autenticado el usuario, le otorga acceso amplio a la red corporativa (modelo castillo-foso). En su lugar, ZTNA proporciona acceso condicional y granular a aplicaciones y recursos específicos basándose en verificación continua de múltiples factores: identidad del usuario (autenticación multifactor), postura del dispositivo (parches, antivirus, compliance), contexto de acceso (ubicación, horario, nivel de riesgo), y políticas empresariales. Cada solicitud de acceso es evaluada independientemente, implementando microsegmentación donde usuarios solo pueden acceder a recursos explícitamente autorizados, minimizando superficie de ataque y movimiento lateral en caso de compromiso. ZTNA representa la evolución natural de acceso remoto seguro en la era cloud y movilidad.
Pregunta 9
¿Cuál de los siguientes servicios comunes NO es proporcionado por la Red SARA?
Explicación: La Red SARA proporciona servicios comunes de administración electrónica que facilitan la interoperabilidad entre administraciones y la prestación de servicios digitales a ciudadanos. Entre los servicios reales de SARA se encuentran: @firma (plataforma de validación y firma electrónica), Cl@ve (sistema de identificación y autenticación común para ciudadanos), plataforma de intermediación (intercambio de datos entre administraciones), registro electrónico común, notificaciones electrónicas, SIR (Sistema de Interconexión de Registros), ORVE (Oficina de Registro Virtual), servicios de verificación de datos (identidad, residencia, titulaciones), y múltiples sistemas de intercambio de información sectorial. Netflix corporativo no es, obviamente, un servicio administrativo y no forma parte de la oferta de SARA, cuya misión es exclusivamente facilitar la transformación digital de las administraciones públicas y la prestación eficiente de servicios públicos electrónicos.
Pregunta 10
¿Qué ley española establece el mandato legal de utilizar la Red SARA para intercambio de información entre administraciones?
Explicación: La Ley 11/2007, de 22 de junio, de Acceso Electrónico de los Ciudadanos a los Servicios Públicos, establece en su artículo 43 la Red de comunicaciones de las Administraciones Públicas españolas (Red SARA), definiendo su existencia legal y mandato de uso. Esta ley fue un hito fundamental en la transformación digital de las administraciones españolas al reconocer el derecho de los ciudadanos a relacionarse electrónicamente con las administraciones y establecer obligaciones correlativas para éstas. Posteriormente, el Real Decreto 4/2010 que regula el Esquema Nacional de Interoperabilidad (ENI) desarrolla en su artículo 13 los requisitos técnicos de interoperabilidad organizativa, estableciendo que las administraciones deben utilizar SARA para intercambio de información. La Resolución de 19 de julio de 2011 define la Norma Técnica de Interoperabilidad específica sobre requisitos de conexión a la Red SARA, completando el marco normativo que hace obligatorio su uso.
Pregunta 11
En una arquitectura SD-WAN, ¿qué ventaja proporciona la selección dinámica de path según la aplicación?
Explicación: La selección dinámica de path según aplicación es una de las capacidades más valiosas de SD-WAN. El controlador SD-WAN monitoriza continuamente características de cada enlace disponible (MPLS, Internet, LTE) midiendo latencia, jitter, pérdida de paquetes y ancho de banda disponible en tiempo real. Con esta inteligencia, puede dirigir automáticamente cada flujo de tráfico por el enlace más apropiado según los requisitos específicos de la aplicación: videoconferencia y VoIP (sensibles a latencia/jitter) por enlaces de baja latencia, transferencias de archivos grandes por enlaces de mayor capacidad, aplicaciones críticas de negocio por MPLS con SLA garantizado, tráfico general por Internet commodity. Esta optimización dinámica mejora significativamente la experiencia de usuario, maximiza utilización de inversión en conectividad, y proporciona resiliencia automática redirigiendo tráfico instantáneamente cuando un enlace degrada su rendimiento o falla completamente.
Pregunta 12
¿Cuál es el componente de la arquitectura NEREA que agrega el tráfico de los ayuntamientos de una provincia?
Explicación: Las Áreas de Conexión Provinciales (AC) son los ocho nodos distribuidos en las capitales de provincia andaluzas que agregan el tráfico de las entidades locales (ayuntamientos, mancomunidades) de su ámbito territorial provincial. Típicamente alojadas en infraestructuras de las Diputaciones Provinciales, las AC actúan como puntos de concentración provincial que recopilan todo el tráfico de los municipios de la provincia y lo encaminan hacia el Centro de Servicios Comunes (CSC) central, ubicado en Sevilla. Las AC también proporcionan servicios de contingencia y backup distribuidos geográficamente. El CSC es el núcleo central que interconecta con RCJA y SARA, mientras que el CAR (Centro de Accesos Remotos) proporciona conectividad VPN para municipios sin enlaces dedicados. Esta arquitectura jerárquica provincial permite escalabilidad, gestión descentralizada y aprovechamiento de infraestructuras existentes de las Diputaciones.
Pregunta 13
¿Qué protocolo VPN moderno destaca por su simplicidad de código, alto rendimiento y uso de cifrado ChaCha20?
Explicación: WireGuard es un protocolo VPN relativamente nuevo (publicado en 2020) que se ha ganado rápidamente reconocimiento por su diseño minimalista y rendimiento superior. Con aproximadamente 4,000 líneas de código (comparado con cientos de miles en IPsec/OpenVPN), WireGuard es significativamente más simple de auditar para seguridad, configurar y mantener. Utiliza criptografía moderna incluyendo ChaCha20 para cifrado simétrico, Poly1305 para autenticación, Curve25519 para intercambio de claves, y BLAKE2s para hashing. Esta simplificación se traduce en rendimiento excepcional, consumiendo menos CPU y proporcionando throughput superior, especialmente beneficioso en dispositivos móviles. WireGuard opera en capa 3, ha sido incorporado al kernel Linux oficial desde versión 5.6, y está siendo adoptado progresivamente por soluciones VPN empresariales, aunque su relativa juventud significa menor madurez en features empresariales comparado con IPsec u OpenVPN establecidos.
Pregunta 14
¿Cuál de las siguientes NO es una característica de una extranet bien diseñada?
Explicación: Una extranet bien diseñada NUNCA debe proporcionar acceso sin restricciones a toda la red corporativa interna. El principio de mínimo privilegio es fundamental en extranets: usuarios externos deben tener acceso exclusivamente a los recursos específicos necesarios para su función (documentos compartidos de proyecto, portal de pedidos, sistema de tickets, etc.), pero jamás navegación libre por redes internas. Las características correctas de una extranet incluyen: autenticación reforzada con MFA obligatorio para todos los usuarios externos, ubicación de servidores de extranet en DMZ segregada de la red interna corporativa mediante firewalls con reglas restrictivas, acceso granular controlado a nivel de aplicación y recurso específico, auditoría exhaustiva registrando todas las actividades para trazabilidad y detección de anomalías, cifrado de comunicaciones TLS 1.3, acuerdos de confidencialidad (NDA) firmados, y procesos rigurosos de alta, modificación y baja de accesos externos vinculados a necesidad empresarial justificada.
Pregunta 15
En el marco de la Red Corporativa de la Junta de Andalucía, ¿qué tecnología de núcleo proporciona QoS y alta disponibilidad?
Explicación: MPLS (Multiprotocol Label Switching) es la tecnología de núcleo implementada en la Red Corporativa de la Junta de Andalucía para proporcionar conectividad con Calidad de Servicio (QoS) garantizada y alta disponibilidad. MPLS opera mediante etiquetado de paquetes que permite enrutamiento rápido basado en labels en lugar de análisis de cabeceras IP, habilitando ingeniería de tráfico sofisticada, túneles de tráfico con rutas predefinidas, y separación de tráficos mediante VPNs MPLS (VRFs). La QoS en MPLS permite priorización diferenciada de aplicaciones críticas (VoIP, videoconferencia, aplicaciones transaccionales) sobre tráfico menos sensible (correo, navegación web), garantizando latencia, jitter y pérdida de paquetes dentro de SLAs establecidos. La alta disponibilidad se logra mediante redundancia de enlaces, enrutamiento dinámico con reconvergencia rápida (OSPF, BGP), y protección Fast Reroute que conmuta tráfico a paths alternativos en menos de 50 milisegundos ante fallos, minimizando impacto en servicios críticos.
Pregunta 16
¿Qué componente de SASE proporciona seguridad y visibilidad específicamente para aplicaciones SaaS?
Explicación: CASB (Cloud Access Security Broker) es el componente de SASE específicamente diseñado para proporcionar seguridad, visibilidad y cumplimiento en aplicaciones SaaS (Software as a Service) como Office 365, Salesforce, Google Workspace, Dropbox, etc. CASB actúa como intermediario entre usuarios corporativos y proveedores cloud, proporcionando múltiples capacidades: visibilidad completa de Shadow IT (aplicaciones cloud no autorizadas utilizadas por empleados), control granular de acceso a aplicaciones SaaS específicas, prevención de fuga de datos (DLP) analizando contenido compartido/descargado, detección de amenazas mediante análisis de comportamiento (UEBA – User and Entity Behavior Analytics), cifrado de datos sensibles antes de subir a cloud, y enforcement de políticas de compliance (RGPD, HIPAA, PCI-DSS). FWaaS proporciona firewall general, SWG filtra navegación web, y DLP es función transversal, pero CASB es el componente especializado para asegurar específicamente el uso corporativo de aplicaciones cloud SaaS.
Pregunta 17
¿Cuál es el objetivo principal del modelo «hot aisle / cold aisle» mencionado en algunos entornos corporativos como CPDs?
Explicación: Aunque esta pregunta relacionada con CPDs no es el foco central del tema 66 (servicios de datos corporativos y VPN), es relevante porque los CPDs alojan la infraestructura que soporta intranets, extranets y concentradores VPN. La configuración hot aisle / cold aisle es una práctica fundamental en diseño de CPDs para maximizar eficiencia energética de refrigeración. Consiste en orientar filas de racks alternadamente de modo que los frontales (que toman aire frío) se enfrenten creando pasillos fríos, mientras los traseros (que expulsan aire caliente) se enfrenten creando pasillos calientes. Esta disposición previene mezcla de aire caliente y frío, permitiendo que aire refrigerado llegue directamente a entradas de servidores y aire caliente sea extraído eficientemente. Combinado con contención (cortinas/puertas cerrando pasillos), puede reducir PUE en 20-40%, permitir mayores densidades de equipamiento, y eliminar puntos calientes que reducen fiabilidad de hardware crítico de red.
Pregunta 18
¿Qué significa «split-tunneling» en el contexto de VPNs corporativas?
Explicación: Split-tunneling es una configuración VPN que permite dividir el tráfico del usuario remoto en dos caminos: tráfico destinado a recursos corporativos (red interna, aplicaciones empresariales) se envía a través del túnel VPN cifrado hacia la red corporativa, mientras que tráfico destinado a Internet general (navegación web, streaming, aplicaciones personales) va directamente desde el dispositivo del usuario a Internet sin pasar por la VPN ni la red corporativa. Las ventajas incluyen: reducción significativa de carga en concentradores VPN y ancho de banda corporativo, mejora de rendimiento para aplicaciones Internet (sin el retorno «hairpin» a través del CPD corporativo), y mejor experiencia de usuario. Sin embargo, presenta riesgos de seguridad: el dispositivo tiene simultáneamente conexión directa no protegida a Internet y acceso a red corporativa, potencialmente permitiendo que malware adquirido navegando comprometa recursos corporativos. Por ello, split-tunneling debe configurarse cuidadosamente con listas de destinos permitidos, requerir postura de seguridad del dispositivo (antivirus, firewall personal), y monitorizarse estrechamente.
Pregunta 19
En NEREA, ¿qué componente proporciona conectividad VPN sobre Internet para ayuntamientos pequeños sin enlaces dedicados?
Explicación: El Centro de Accesos Remotos (CAR) es el componente específico de la arquitectura NEREA diseñado para garantizar conectividad universal a TODOS los municipios andaluces, independientemente de su tamaño o ubicación geográfica. Muchos ayuntamientos pequeños o ubicaciones remotas no justifican económicamente instalación de enlaces dedicados de fibra óptica o MPLS. Para estas situaciones, el CAR proporciona conectividad mediante VPN sobre Internet: el ayuntamiento contrata conexión Internet comercial estándar (ADSL, fibra, incluso LTE/5G) y establece túnel VPN IPsec hacia el CAR, que actúa como concentrador VPN centralizado integrándolos en NEREA. Esto permite que incluso el municipio más pequeño de Andalucía acceda a servicios comunes de NEREA (correo, almacenamiento, aplicaciones), conecte con la RCJA y SARA, y participe en la administración electrónica regional sin requerir inversión prohibitiva en conectividad dedicada, cumpliendo así el objetivo de inclusión digital territorial completa.
Pregunta 20
¿Qué servicio común de SARA permite la verificación automatizada de datos de identidad de ciudadanos entre administraciones?
Explicación: El SCSP (Sistema de Consulta de datos de Soporte) o SVDI (Sistema de Verificación de Datos de Identidad) es la plataforma de SARA que permite a las administraciones verificar automatizada y electrónicamente datos de identidad y otros datos de ciudadanos mediante consulta a fuentes oficiales, sin requerir que el ciudadano aporte documentación física. Por ejemplo, cuando un ciudadano realiza un trámite en un ayuntamiento, éste puede consultar automáticamente vía SCSP/SARA datos de identidad (DNI) al Ministerio del Interior, datos de residencia al padrón municipal correspondiente, datos de titulaciones al Ministerio de Educación, datos de discapacidad a IMSERSO, etc. Esto implementa el principio de «una sola vez» del ENI: el ciudadano no debe aportar datos que ya obran en poder de alguna administración. @firma es para firma electrónica, Cl@ve para identificación del ciudadano ante portales públicos, y SIR para intercambio de asientos registrales, no específicamente para verificación de datos de identidad.
Pregunta 21
¿Cuál es la principal ventaja de una VPN SSL/TLS (WebVPN) frente a una VPN con cliente dedicado?
Explicación: La principal ventaja de VPN SSL/TLS (también llamada WebVPN o clientless VPN) es que proporciona acceso a recursos corporativos desde cualquier dispositivo con navegador web moderno, sin necesidad de instalar software cliente VPN específico. El usuario simplemente navega a un portal HTTPS, se autentica con sus credenciales (habitualmente MFA), y accede a aplicaciones web-publicadas, recursos compartidos mediante cliente web, o lanza sesiones RDP/SSH mediante applets. Esto es invaluable para: acceso desde dispositivos no corporativos (quioscos públicos, dispositivos personales en escenarios BYOD limitados), acceso ocasional donde no justifica instalación de cliente completo, situaciones donde el usuario no tiene permisos administrativos para instalar software, o contingencias donde el cliente VPN tradicional falla. Sin embargo, WebVPN tiene limitaciones: funcionalidad reducida (no todas las aplicaciones accesibles), menor rendimiento por overhead adicional, y dependencia de capacidades del navegador. Para acceso frecuente y completo, VPN con cliente dedicado sigue siendo superior, pero WebVPN proporciona flexibilidad crítica para casos de uso específicos.
Pregunta 22
¿Qué principio de seguridad establece que usuarios externos de una extranet deben tener acceso exclusivamente a los recursos mínimos necesarios?
Explicación: El principio de mínimo privilegio (Principle of Least Privilege – PoLP) es un concepto fundamental de seguridad que establece que cualquier usuario, programa o proceso debe tener únicamente los permisos mínimos estrictamente necesarios para realizar su función legítima, nada más. En el contexto de extranets, este principio es absolutamente crítico: cada usuario externo (proveedor, socio, cliente) debe tener acceso exclusivamente a los recursos específicos que necesita para su relación comercial o colaboración, pero jamás navegación libre por sistemas corporativos. Por ejemplo, un proveedor accede solo al portal de pedidos y facturas de sus productos, no a sistemas de RRHH o financieros; un consultor externo accede solo al espacio de documentación del proyecto en el que colabora, no a proyectos de otros clientes. Implementar mínimo privilegio requiere: definición granular de roles y permisos, autenticación fuerte (MFA), autorización basada en atributos (ABAC), auditoría exhaustiva, revisiones periódicas de accesos, y revocación inmediata cuando finaliza la relación empresarial. Este principio minimiza superficie de ataque y daño potencial si credenciales externas son comprometidas.
Pregunta 23
En la Red SARA, ¿qué se entiende por «Proveedor de Acceso de primer nivel» (PAS)?
Explicación: En la gobernanza y arquitectura de la Red SARA, los Proveedores de Acceso de primer nivel (PAS) son las organizaciones de máximo nivel jerárquico que tienen conexión física directa al backbone de SARA y actúan como nodos de agregación para organismos dependientes. Los PAS de primer nivel incluyen: todos los ministerios de la Administración General del Estado, las 17 Comunidades Autónomas y 2 ciudades autónomas, órganos constitucionales (Congreso, Senado, Tribunal Constitucional, etc.), y algunas instituciones de relevancia nacional. Cada PAS instala un Área de Conexión (AC) en sus instalaciones con equipamiento homologado que establece el enlace con la red troncal SARA. Los organismos y entidades dependientes de un PAS (por ejemplo, agencias estatales dependientes de un ministerio, o entidades locales de una CCAA) se conectan a SARA a través del PAS de su organismo superior, formando una estructura jerárquica que optimiza gestión, seguridad y escalabilidad de la red nacional interadministrativa.
Pregunta 24
¿Cuál de las siguientes afirmaciones sobre SD-WAN es INCORRECTA?
Explicación: La afirmación C es totalmente incorrecta. SD-WAN NO elimina la necesidad de conectividad WAN; al contrario, SD-WAN es una tecnología de gestión y orquestación que optimiza el USO de conectividad WAN existente. SD-WAN requiere enlaces físicos subyacentes (MPLS, Internet de uno o varios proveedores, LTE/5G) para funcionar, pero añade una capa de inteligencia software que permite: gestionar centralizadamente múltiples enlaces mediante controlador cloud o on-premise, seleccionar dinámicamente el mejor path para cada aplicación según latencia/pérdida/ancho de banda medidos en tiempo real, agregar capacidad de múltiples enlaces, failover automático cuando un enlace falla, y aplicar políticas de QoS y seguridad consistentes. La propuesta de valor de SD-WAN es precisamente maximizar eficiencia de inversión en conectividad WAN, no eliminarla. Las afirmaciones A, B y D son todas correctas y representan capacidades y beneficios reales de SD-WAN: agregación multi-transporte, gestión centralizada, y reducción de costes (30-50% típicamente) al poder sustituir costosos circuitos MPLS por Internet commodity manteniendo rendimiento mediante inteligencia SD-WAN.
Pregunta 25
¿Cuál es el objetivo de implementar autenticación multifactor (MFA) en accesos VPN corporativos?
Explicación: La autenticación multifactor (MFA o 2FA) tiene como objetivo fundamental proporcionar seguridad adicional más allá de la autenticación tradicional usuario/contraseña, que es vulnerable a múltiples ataques: phishing, keyloggers, reutilización de contraseñas filtradas en brechas de terceros, ataques de fuerza bruta, o ingeniería social. MFA requiere que el usuario demuestre su identidad mediante DOS o MÁS factores de diferentes categorías: algo que SABE (contraseña, PIN), algo que TIENE (smartphone con app autenticadora, token hardware, smart card), o algo que ES (biometría: huella, facial, voz). Incluso si un atacante compromete la contraseña del usuario, no podrá acceder sin posesión física del segundo factor. Esto es especialmente crítico en VPNs corporativas que proporcionan acceso desde Internet a recursos internos sensibles. ENS (Esquema Nacional de Seguridad) requiere MFA para accesos remotos a sistemas de categoría media/alta. MFA no mejora velocidad ni reduce ancho de banda (opciones A/B), y añade paso adicional de autenticación, por lo que no «simplifica» el proceso (opción D), pero el incremento de seguridad justifica ampliamente este pequeño overhead en experiencia de usuario.
13. Referencias Bibliográficas y Documentación
Normativa Española
- Ley 11/2007, de 22 de junio, de acceso electrónico de los ciudadanos a los Servicios Públicos. BOE núm. 150, de 23 de junio de 2007
- Real Decreto 4/2010, de 8 de enero, por el que se regula el Esquema Nacional de Interoperabilidad en el ámbito de la Administración Electrónica. BOE núm. 25, de 29 de enero de 2010
- Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica. BOE núm. 25, de 29 de enero de 2010
- Resolución de 19 de julio de 2011, de la Secretaría de Estado para la Función Pública, por la que se aprueba la Norma Técnica de Interoperabilidad de requisitos de conexión a la red de comunicaciones de las Administraciones Públicas españolas. BOE núm. 178, de 26 de julio de 2011
Documentación Oficial Red SARA
- Portal PAe (Administración Electrónica AGE): https://administracionelectronica.gob.es – Documentación oficial Red SARA
- Centro de Transferencia de Tecnología (CTT): Guías técnicas de conexión a SARA
- Ministerio para la Transformación Digital y de la Función Pública: Servicios comunes de administración electrónica
- Guía de requisitos técnicos de conexión a la red de las Administraciones Públicas españolas (SARA)
Documentación Junta de Andalucía
- Red NEREA – Consejería de Presidencia: Documentación técnica y convenios de adhesión
- Especificaciones técnicas de la Red Corporativa de Telecomunicaciones de la Junta de Andalucía
- Portal @RIES (Red de Información de Entidades Locales de Andalucía)
- Documentos técnicos sobre interoperabilidad en administración local andaluza
Estándares y RFCs
- RFC 2401-2412: Suite de estándares IPsec (Security Architecture for the Internet Protocol)
- RFC 4301: Security Architecture for the Internet Protocol (actualización IPsec)
- RFC 5246: The Transport Layer Security (TLS) Protocol Version 1.2
- RFC 8446: The Transport Layer Security (TLS) Protocol Version 1.3
- RFC 7748: Elliptic Curves for Security (Curve25519, utilizado en WireGuard)
Bibliografía Técnica
- Ferguson, Paul & Huston, Geoff (1998). Quality of Service: Delivering QoS on the Internet and in Corporate Networks. John Wiley & Sons
- Doraswamy, Naganand & Harkins, Dan (2003). IPsec: The New Security Standard for the Internet, Intranets, and Virtual Private Networks. Prentice Hall
- Minoli, Daniel & Kouns, Jake (2007). Security Technologies for the World Wide Web, 2nd Edition. Artech House
- Stallings, William (2017). Cryptography and Network Security: Principles and Practice, 7th Edition. Pearson
- Cisco Systems (2020). SD-WAN Design and Deployment Guide. Cisco Press
- Gartner Research (2019). The Future of Network Security Is in the Cloud: SASE Convergence. Gartner Inc.
Recursos Online y Whitepapers
- WireGuard Project: https://www.wireguard.com/ – Documentación técnica del protocolo
- OpenVPN Community: https://openvpn.net/ – Guías de implementación y best practices
- NIST Special Publication 800-77: Guide to IPsec VPNs (National Institute of Standards and Technology)
- NIST Special Publication 800-113: Guide to SSL VPNs
- Gartner Magic Quadrant: WAN Edge Infrastructure (SD-WAN) – Análisis de mercado y tendencias
- Forrester Wave: Zero Trust eXtended Ecosystem Platform Providers
- CCN-CERT (Centro Criptológico Nacional): Guías de seguridad para VPN y accesos remotos
Cursos y Certificaciones
- Cisco CCNP Enterprise: Módulos SD-WAN y VPN technologies
- Fortinet NSE (Network Security Expert): Certificaciones en SD-WAN y SASE
- Palo Alto Networks: PCNSE (Palo Alto Networks Certified Network Security Engineer)
- CompTIA Security+: Fundamentos de VPN y acceso remoto seguro
- ISC² CISSP: Dominio de Seguridad en Comunicaciones y Redes