Durante décadas, la seguridad de red se pensó como un castillo: un muro grueso por fuera —el firewall perimetral— y, una vez dentro, confianza. Las máquinas de la red interna se hablaban entre sí sin apenas control, porque «ya están dentro, son de los nuestros». Ese modelo tenía un problema que hoy es el problema: el día que un atacante cruza el muro —un phishing, una credencial robada, una VM vulnerable expuesta—, se encuentra una llanura sin obstáculos. Compromete una máquina y desde ahí salta a la siguiente, y a la siguiente. Es lo que se llama movimiento lateral, y es como un incidente pequeño se convierte en una brecha total.
La microsegmentación le da la vuelta a la idea: en lugar de un muro exterior y confianza interior, muchos muros pequeños dentro. Cada zona de la red se trata como potencialmente hostil para las demás. Comprometer una máquina ya no regala el resto: cada salto entre zonas topa con una regla que hay que superar. Es la aplicación práctica del principio zero-trust —nunca confíes, verifica siempre— a la red interna de tu cloud privado.
Este artículo explica cómo montar esto sobre Proxmox en producción con sus herramientas integradas —el firewall y el SDN—, sin appliances caros de terceros, y por qué la directiva NIS2 empuja en esta dirección.
Vale la pena ver el ataque que esto previene, porque explica todo lo demás. Un escenario típico:
El daño no lo hace la primera intrusión. Lo hace la libertad de movimiento una vez dentro. La microsegmentación ataca exactamente ese paso: aunque el atacante entre en la VM web, esa VM solo puede hablar con lo que su zona permite —quizá solo con la base de datos, por un puerto concreto—. El servidor de ficheros, los backups y el resto quedan fuera de su alcance, porque una regla lo impide. El incidente se contiene en una habitación en vez de incendiar el edificio.
Lo bueno es que Proxmox trae de serie lo necesario. No hace falta un producto de seguridad aparte para empezar.
El firewall de Proxmox funciona en tres capas que se combinan:
La potencia real aparece con este último nivel: defines, por máquina, que la VM web solo acepta tráfico del balanceador en el 443 y solo puede salir hacia la base de datos en el 5432. Nada más. Aunque un atacante la tome, esa VM es una celda con dos puertas vigiladas, no una puerta abierta a toda la red.
Proxmox añade dos herramientas que hacen esto manejable a escala:
El firewall filtra; el SDN (Software-Defined Networking, integrado en Proxmox VE) construye la topología. Permite crear zonas y redes virtuales por software —VLANs, redes VXLAN, zonas aisladas— sin recablear ni reconfigurar switches físicos a mano. Defines una zona «producción», otra «desarrollo», otra «DMZ», cada una su red, y las VMs se colocan en la que corresponde.
Combinar ambas es donde está la gracia: el SDN dibuja las zonas, el firewall controla el tráfico entre ellas. Producción y desarrollo en redes separadas que, por defecto, no se hablan; y cuando necesitan hacerlo, una regla explícita y auditada lo permite para lo justo. Eso es microsegmentación: no un muro, sino un mapa de zonas con puertas controladas.
No hay que microsegmentar máquina a máquina desde el día uno —eso agobia y se abandona—. Se empieza por zonas con sentido de negocio:
| Zona | Qué contiene | Regla por defecto |
|---|---|---|
| DMZ / pública | Lo expuesto a Internet (web, proxies inversos) | Entra solo lo público; hacia dentro, solo lo imprescindible |
| Aplicación | Lógica de negocio, APIs internas | Habla con DMZ y datos por puertos concretos; nada más |
| Datos | Bases de datos, almacenamiento sensible | Solo acepta de la zona de aplicación; jamás de la DMZ |
| Gestión | Acceso administrativo, interfaz de Proxmox, monitorización | Acceso muy restringido, idealmente por VPN/bastión |
| Backups | Servidor de backup | Recibe de las zonas a respaldar; aislado del resto |
La regla de oro que se repite en toda la tabla: denegar por defecto, permitir lo explícito. Cada zona rechaza todo lo que no esté expresamente autorizado. Y la zona de datos nunca acepta tráfico directo de la DMZ: si la web necesita datos, pasa por la capa de aplicación. Ese único principio corta la mayoría de los caminos de movimiento lateral.
Fíjate en la zona de backups. Aislarla es crítico: si un atacante que compromete producción puede además alcanzar y borrar los backups, tu última línea de defensa cae con el resto. La microsegmentación mantiene los backups fuera del alcance del incidente, que es justo lo que los hace útiles.
Conviene ser precisos, porque la directiva NIS2 no contiene la palabra «microsegmentación» como obligación literal. Lo que exige a las entidades esenciales e importantes son medidas de gestión de riesgos que incluyen, entre otras, el control de accesos, la seguridad de redes y sistemas, y medidas para contener incidentes.
La microsegmentación es una forma concreta y demostrable de cumplir varias de esas exigencias a la vez:
Dicho de otro modo: cuando un supervisor pregunte «¿cómo evitan que una brecha en un servidor web llegue a los datos personales?», poder responder «están en zonas separadas con filtrado explícito entre ellas, denegando por defecto» es una respuesta sólida. «Confiamos en que el firewall perimetral aguante» ya no lo es. Es la diferencia entre soberanía del dato demostrable y una promesa.
No es un proyecto de una tarde, pero tampoco requiere comprar nada nuevo: las piezas ya están en tu Proxmox. Lo que aporta es que el próximo incidente se quede en una habitación en lugar de recorrer todo el edificio.
¿Qué es exactamente la microsegmentación? Dividir la red interna en zonas pequeñas que no se fían entre sí y filtrar explícitamente el tráfico entre ellas. En lugar de un firewall fuerte por fuera y confianza total por dentro, hay muchos controles internos. El objetivo es que comprometer una máquina no dé acceso automático a las demás.
¿Necesito comprar un producto de seguridad para hacerlo en Proxmox? No para empezar. Proxmox trae de serie un firewall en tres niveles (datacenter, nodo, VM) y un SDN para crear redes y zonas por software. Con esas dos piezas se monta una microsegmentación efectiva. Productos externos añaden funciones a gran escala, pero no son requisito.
¿En qué se diferencia del firewall perimetral de siempre? El perimetral controla lo que entra y sale de la red hacia Internet; una vez dentro, no controla nada. La microsegmentación añade control dentro de la red, entre máquinas y zonas. Son complementarios: el perímetro sigue existiendo, pero deja de ser la única defensa.
¿Esto me obliga NIS2? NIS2 no usa la palabra «microsegmentación», pero exige gestión de riesgos, control de accesos y contención de incidentes. La microsegmentación es una forma concreta y demostrable de cumplir esas exigencias, especialmente la de evitar que una brecha se propague. Ante una auditoría, tener zonas separadas es una respuesta mucho más sólida que confiar solo en el perímetro.
¿Por dónde empiezo sin complicarme? Por zonas amplias con sentido de negocio (pública, aplicación, datos, gestión, backups), no máquina a máquina. Aísla primero lo crítico —datos, backups y gestión—, aplica «denegar por defecto» y ve afinando. Segmentar en exceso de golpe suele acabar en abandono; empezar por zonas grandes es sostenible.
¿Tu red interna es una llanura donde un solo servidor comprometido lo pone todo en riesgo? Diseñamos contigo la microsegmentación sobre Proxmox —zonas, firewall y aislamiento de lo crítico— para que un incidente se quede contenido. Empieza por nuestra comparativa de cloud o hablemos de tu proyecto.
Un disco cifrado no protege del ransomware ni del atacante que ya está dentro. Protege de un escenario concreto y muy real: que el hardware salga de tu control. Explicamos las dos formas de cifrar datos en reposo en Proxmox —LUKS y ZFS nativo—, cómo se gestionan las claves sin pegarte un tiro en el pie y qué exigen de verdad el ENS, el RGPD y NIS2.
La guía BP/36 del CCN-CERT (junio de 2026) confirma que el pentest anual ya no basta frente a atacantes que usan IA. Del modelo de auditoría periódica a la validación continua, el gobierno de agentes y la resiliencia por diseño.
El ransomware moderno busca y cifra tus backups antes de atacar. La regla 3-2-1 y las copias inmutables son la diferencia entre restaurar en horas o pagar el rescate. Cómo aplicarlas de verdad.