Misión 5 · Construye los límites
Cierra las puertas laterales
Entiende las redes con denegación predeterminada.
Un bot comprometido quiere subir un chat privado a un sitio web desconocido. Tú decides qué conexiones externas puede hacer su entorno.
Guardián de la red
“Dame una lista explícita. Todo lo que no esté en ella queda cerrado.”
La decisión
Permite solo la ruta que este bot necesita en el diseño de la guía.
- Su propio proxy controlado
El proxy comprueba los destinos y proporciona las credenciales reales. - Cualquier sitio web si el bot dice que es útil
Deja que el modelo decida qué sitios son confiables. - Un resolvedor DNS público
Deja que busque nombres de dominio arbitrarios directamente. - El proxy del otro amigo
Es útil como respaldo si el suyo falla.
Mostrar la explicación
Una salida controlada. Las solicitudes siguen pasando por las comprobaciones del proxy y las demás rutas directas permanecen cerradas.
Denegar por defecto significa que nada está permitido a menos que lo autoricemos deliberadamente. Una lista de permitidos es más pequeña que una lista de todos los destinos peligrosos posibles.- La red del amigo no tiene NAT de Internet, ni DNS externo, ni una regla de red con un alcance amplio.
- Las consultas DNS pueden transportar datos codificados, así que «sin navegación web» no equivale a «sin ninguna forma de salir».
- Estas restricciones las aplican la red y el proxy; no dependen de confiar en que el modelo se comporte bien.
Proxy
Un servicio intermedio controlado que gestiona solicitudes en nombre de otro sistema.