Proteger los recursos dentro de una VPC es uno de los pilares fundamentales para cualquier arquitectura en AWS y, además, uno de los dominios con mayor peso en el examen de certificación. Comprender cómo funcionan las capas de seguridad disponibles marca la diferencia entre una infraestructura vulnerable y una sólida.
¿Qué es un security group y cómo protege tus servidores?
El security group es la primera capa de seguridad dentro de una VPC [0:18]. Funciona como un firewall que controla el tráfico permitido hacia los recursos desplegados en AWS. Su característica principal es que solo contiene reglas de permitir: no existen reglas de bloqueo explícito. Si un puerto no está habilitado, el tráfico simplemente no pasa.
Imagina que tienes una base de datos corriendo en un servidor y necesitas que otros componentes se conecten por el puerto 3306 [0:42]. Para lograrlo, debes ir al security group y abrir ese puerto de forma explícita. Lo mismo aplica para cualquier otro servicio:
- Puerto 22 para conexiones SSH.
- Puerto 80 para tráfico HTTP.
- Puerto 443 para tráfico HTTPS.
Cada servidor desplegado en una subred privada estará envuelto por su security group [1:03]. Si algo no funciona al desplegar un servidor, el security group debe ser el primer lugar donde hagas troubleshooting: verificar si el tráfico realmente está permitido es el paso más básico y más frecuentemente olvidado [1:30].
¿Qué es una network ACL y en qué se diferencia del security group?
La network ACL (Access Control List o lista de control de acceso) es una capa de seguridad adicional que protege toda la subred, no solo un servidor individual [1:42]. A diferencia del security group, la network ACL permite configurar tanto reglas de permitir como reglas de bloquear, y lo hace en ambas direcciones: tráfico de entrada y tráfico de salida [2:00].
¿Cómo trabajan juntos estos dos componentes?
Gráficamente, si tienes dos servidores en una subred privada, la network ACL actúa como un escudo que cubre a ambos servidores por completo [2:16]. Si un atacante logra sobrepasar la network ACL, cada servidor todavía cuenta con su propio security group como segunda barrera de protección [2:30]. Los servidores también pueden compartir un mismo security group si la configuración lo requiere.
Esta defensa en profundidad es esencial: no dependes de una sola capa, sino de dos mecanismos complementarios que refuerzan la postura de seguridad de la VPC.
¿Cómo entender la diferencia con una analogía sencilla?
Piensa en un conjunto residencial con múltiples casas [2:55]:
- El security group es la puerta de tu casa. Las reglas permitidas son las llaves que entregas a personas específicas para que accedan por determinados puertos.
- La network ACL es el perímetro cercado del conjunto junto con el personal de seguridad. Protege a todas las casas que están adentro.
Si un intruso quiere entrar a tu casa, primero debe vulnerar el perímetro (network ACL) y luego abrir tu puerta (security group) [3:24]. Este modelo de doble barrera es exactamente lo que ocurre dentro de una VPC en AWS.
Las diferencias clave para recordar son:
- Security group: opera a nivel de instancia, solo reglas de permitir, stateful (recuerda las conexiones).
- Network ACL: opera a nivel de subred, reglas de permitir y bloquear, evalúa tráfico de entrada y salida por separado.
Dominar estos dos componentes no solo te prepara para el examen, sino que te da las herramientas para diseñar arquitecturas seguras desde el primer día. Si ya tienes clara la teoría, el siguiente paso es poner las manos en la consola y configurar todo desde cero en un laboratorio práctico.
