UserGate: qué puede hacer esta pasarela de seguridad

UserGate nació en los años 2000 como servidor proxy de oficina: repartir internet, contar el tráfico, cerrar sitios de ocio. Desde entonces creció hasta ser una pasarela de seguridad que el sector llama NGFW, cortafuegos de nueva generación. El nombre se quedó, la clase de tareas cambió, y resulta interesante como representante de esa clase: todas las pasarelas corporativas actuales se construyen de forma parecida.

Su lugar en la red

La pasarela se coloca en el límite: todo el tráfico de la oficina hacia internet y de vuelta pasa por ella. De ahí sus posibilidades y su responsabilidad: es el lugar más cómodo para filtrar, contar y proteger, y también un punto único de fallo, por lo que las configuraciones mayores funcionan en pareja redundante. Se ofrece como hardware y como máquina virtual, y a las oficinas medianas les suele bastar la versión virtual.

Módulos principales

La palabra clave en todo es «usuario». La pasarela se integra con el servicio de directorio, y las reglas se escriben para personas y grupos en vez de direcciones IP: una cosa para contabilidad, otra para desarrollo, otra para el Wi-Fi de invitados. La inspección TLS merece una advertencia aparte: técnicamente es una apertura controlada del canal cifrado con sustitución de certificado, que exige instalar un certificado corporativo en los dispositivos e informar con honestidad a los empleados. Las categorías bancarias y médicas suelen excluirse de la inspección.

Las políticas unen los módulos en escenarios. Un ejemplo real: el grupo de marketing puede usar redes sociales pero no subir archivos; los contratistas solo acceden a una lista de servicios de trabajo; el resto tiene cerrados los servicios de intercambio de archivos y los dominios recién registrados, herramienta favorita del phishing. Cada regla viene con un informe, y la discusión de «necesito este sitio para trabajar» se resuelve con datos en lugar de a gritos.

Quién la necesita

• Empresas con requisitos regulatorios. Para las organizaciones rusas importa que el producto esté certificado por los reguladores locales y siga teniendo soporte.
• Centros educativos. El filtrado de contenido obligatorio se resuelve con categorías y listas negras de serie.
• Oficinas de cincuenta personas o más. Por debajo de este umbral suele bastar un buen router; por encima empieza un zoo de servicios en la sombra que sin control de aplicaciones no se ve.
• Redes con teletrabajo y sucursales. VPN, políticas unificadas e informes en un solo lugar.

Existen alternativas abiertas a esta clase: pfSense y OPNsense cubren gratis el cortafuegos y la VPN, y el filtrado se añade con plugins. El coste viene de lados opuestos: las abiertas se pagan con tiempo de administrador e informes hechos a mano, las comerciales con dinero en suscripciones a módulos. Suele decidir la existencia de personas dispuestas a convivir años con la solución, más que las funciones.

Cómo se elige e implanta

Esta clase se compra mediante un piloto sobre tu propio tráfico más que por la lista de funciones, porque todos los fabricantes se parecen en ella. Se despliega la pasarela en modo observación, sin bloqueos, durante dos semanas: los informes muestran el tráfico real y la carga. La cifra principal que hay que sacar del piloto es el rendimiento con inspección TLS e IPS activas. El caudal de catálogo se mide sin ellas y cae varias veces con el conjunto completo de comprobaciones, y aquí es donde se yerra con el tamaño del hardware. El segundo resultado del piloto es la lista de lo que hay que excluir de la inspección, de la banca en línea a las videollamadas, y cada empresa tiene la suya.

1. Define la política de antemano: qué bloqueas, qué observas, a quién no tocas. La pasarela ejecuta la política y no la sustituye.
2. Cuenta usuarios y ancho de banda máximo con margen para dos años: licencias y hardware se compran pensando en crecer.
3. Comprueba la integración con tu servicio de directorio y la tolerancia de la red a una caída de la pasarela: ¿hace falta un bypass o una pareja redundante?
4. Aclara el contenido de la suscripción: filtrado, IPS y bases antivirus se licencian como módulos, y el precio de la caja sola engaña.
5. Nombra a un responsable. Una pasarela sin nadie que lea sus informes se convierte en un router caro en un año.

No confundir con proxies comerciales

Una pasarela corporativa y los servicios de proxy como el nuestro resuelven tareas opuestas, aunque ambos se llamen «proxy». La pasarela controla el tráfico saliente de los empleados: visibilidad, filtrado, disciplina. Un proxy comercial cambia el punto de salida para tareas de trabajo: datos geográficos, pools de direcciones, cuentas, como contamos en el análisis de las tareas de los servidores proxy. La primera va de «vemos y limitamos nuestro tráfico», el segundo de «nuestro tráfico se ve como debe desde fuera». En una empresa madura conviven tranquilamente: la pasarela en el límite de la oficina, los pools con marketing y analítica. Eso sí, la pasarela debe conocer los pools legítimos de los compañeros, o un día analítica chocará con su propio sistema de seguridad, y arreglar el malentendido llevará más que toda la configuración. Mostramos dónde encaja esta pasarela en el resto de la infraestructura en el repaso de los tipos de servidores.