Latest / M365.FM – Podcast de Microsoft 365, Copilot e IA en español / Azure Bastion explicado: acceso RDP y SSH seguro sin IP pública, Entra ID y comparación de SKUs (Doblaje IA)

Transcript

Azure Bastion explicado: acceso RDP y SSH seguro sin IP pública, Entra ID y comparación de SKUs (Doblaje IA) · M365.FM – Podcast de Microsoft 365, Copilot e IA en español

• 0:00
  Speaker 2: Listo para 10 días de Microsoft 365, Copilot, EA, Azure
• 0:04
  Speaker 2: y las personas que están dando forma al futuro del trabajo.
• 0:06
  Speaker 2: Este enero, vuelve M365 con más fuerza. Únete a nosotros
• 0:13
  Speaker 2: en sesiones en vivo. Demostraciones reales y conocimientos prácticos de
• 0:16
  Speaker 2: MVPs y expertos de la industria de todo el mundo.
• 0:18
  Speaker 2: Nada de diapositivas genéricas ni tecnicismos interminables. Abordaremos desafíos reales.
• 0:23
  Speaker 2: Copilot Studio, agentes de EA Fabric, seguridad, gobernanza y automatización.
• 0:29
  Speaker 2: Ya seas un profesional de TI, desarrollador o líder empresarial,
• 0:32
  Speaker 2: hay sesiones diseñadas para ti. Con 10 días completos, podrás
• 0:37
  Speaker 2: explorar múltiples tecnologías y conectar con una comunidad global. Mira
• 0:41
  Speaker 2: las sesiones en vivo y lleva ideas prácticas de vuelta
• 0:43
  Speaker 2: a tu organización. Enero de 2027, 10 días, una sola
• 0:48
  Speaker 2: comunidad de Microsoft. El registro ya está abierto. Ve a m365.net
• 0:53
  Speaker 2: y asegura tu lugar hoy mismo. Eso es m365.net. Únete
• 1:01
  Speaker 2: ahora en m365.com.net y nos vemos en vivo en enero.
• 1:05
  Speaker 2: Bienvenidos a otro episodio de Microsoft Knowledge Nuggets Nuggets aquí
• 1:07
  Speaker 2: en M365 FM. Soy su anfitrión, Milko Peters. El tema
• 1:10
  Speaker 2: de hoy es algo con lo que casi cualquiera que
• 1:12
  Speaker 2: trabaje con Azure se ha topado. Creas una nueva máquina
• 1:14
  Speaker 2: virtual y por defecto tiene una dirección IP pública con
• 1:17
  Speaker 2: el puerto RDP 30369 abierto a internet. Si llevas tiempo
• 1:21
  Speaker 2: haciendo esto, probablemente te hayas hecho la misma pregunta que yo.¿
• 1:24
  Speaker 2: Es realmente esta la única forma de acceder a mi servidor?
• 1:27
  Speaker 2: El problema es que cada puerto expuesto es un objetivo,
• 1:28
  Speaker 2: y los grupos de ransomware escanean constantemente en busca de
• 1:31
  Speaker 2: RDP abierto. No es cuestión de si lo encontrarán, sino
• 1:33
  Speaker 2: de cuándo. Al final de este episodio entenderás qué es
• 1:36
  Speaker 2: realmente Azure Bastion y cómo ofrece, la mejor manera de
• 1:38
  Speaker 2: acceder a tus máquinas virtuales de forma segura. Veremos la
• 1:41
  Speaker 2: forma antigua, por qué es deficiente y la mejor manera,
• 1:43
  Speaker 2: además de la nueva integración con nTrady que lo hace
• 1:45
  Speaker 2: aún más sencillo de lo que imaginas. La forma antigua,
• 1:48
  Speaker 2: jumpboxes y RDP público. Comencemos por la forma antigua. La
• 1:52
  Speaker 2: configuración tradicional es así. Despliegas un OVM, le asignas una
• 1:55
  Speaker 2: IP pública y abres el puerto de red de P30
• 1:57
  Speaker 2: desde su encha 9, IE. Luego añades una regla del
• 1:59
  Speaker 2: grupo de seguridad de red para restringir que impuente. Quizás
• 2:02
  Speaker 2: la limites al rango de IP de tu oficina o
• 2:03
  Speaker 2: a un punto de conexión VPN. Ese es el patrón básico,
• 2:06
  Speaker 2: pero existe otro modelo que lleva años existiendo, la Jumpbox.
• 2:09
  Speaker 2: Piénselo como un puesto de control de seguridad. Tienes que
• 2:12
  Speaker 2: pasar por ahí antes de poder acceder al resto de
• 2:14
  Speaker 2: tu red. Una Jumpbox es una única OVM que actúa
• 2:16
  Speaker 2: como puerta de enlace a tu red privada. Primero te
• 2:19
  Speaker 2: conectas por RDP a esa caja y desde ahí saltas
• 2:21
  Speaker 2: a otros servidores dentro de tu red, dentro de tu red.
• 2:24
  Speaker 2: Es una idea sencilla que funcionó durante años y todavía
• 2:26
  Speaker 2: funciona hoy en entornos pequeños. La trampa es que solo
• 2:29
  Speaker 2: funciona si la refuerzas, la actualizas, la monitoreas y nunca
• 2:31
  Speaker 2: cometes un error. El problema no es que no pueda funcionar,
• 2:33
  Speaker 2: es que requiere un trabajo constante en mantenerla segura. Entonces
• 2:36
  Speaker 2: ese es el verdadero problema. Los Jumboxes son solo máquinas
• 2:39
  Speaker 2: virtuales como necesitan actualizaciones del SEO antivirus, líneas base de
• 2:42
  Speaker 2: seguridad y alguien que gestione todo eso. Tienen IPs públicas
• 2:45
  Speaker 2: con puertos RDP o SSH expuestos. siguen siendo escaneadas todos
• 2:52
  Speaker 2: los días. A gran escala, gestionar los jump boxes se
• 2:56
  Speaker 2: vuelve complicado rápidamente. Tienes múltiples máquinas virtuales en varias regiones,
• 2:59
  Speaker 2: configuraciones inconsistentes y desfases en parches. Un equipo refuerza las suyas,
• 3:03
  Speaker 2: otro no lo hace. Y el costo oculto del que
• 3:05
  Speaker 2: nadie habla son las horas de administración dedicadas a parchear,
• 3:07
  Speaker 2: reforzar y solucionar problemas en estas máquinas. He visto estimaciones
• 3:10
  Speaker 2: de unas 3 horas al mes solo para el mantenimiento.¿
• 3:12
  Speaker 2: Eso es dinero real? Entonces,¿ qué pasaría si hubiera un
• 3:15
  Speaker 2: servicio que manejara todo esto por ti? Uno que elimine
• 3:17
  Speaker 2: por completo el punto de conexión público y te brinde
• 3:19
  Speaker 2: una entrada más limpia y segura.¿ Qué es Azure Bastion?
• 3:22
  Speaker 2: Entonces esta es la definición más simple que puedo darte.
• 3:24
  Speaker 2: Azure Bastion es un servicio PACS totalmente administrado que te
• 3:27
  Speaker 2: da acceso seguro por RDP y SSH a máquinas virtuales
• 3:30
  Speaker 2: de Azure sin explorar IPs públicas en ellas. Eso es todo.
• 3:33
  Speaker 2: Sin IPs públicas, sin puertos abiertos, sin puntos de gestión expuestos,
• 3:36
  Speaker 2: piénsalo como un túnel seguro. Te conectas a Bastion a
• 3:39
  Speaker 2: través de HTTPS y Bastion se conecta a tu máquina
• 3:41
  Speaker 2: virtual de forma privada dentro de la red virtual. Tu
• 3:43
  Speaker 2: navegador se comunica con Bastion por el puerto 443, el
• 3:46
  Speaker 2: mismo que usas para sitios web seguros. Luego, Bastion se
• 3:49
  Speaker 2: comunica con tu máquina virtual usando RDP o SSH, pero
• 3:51
  Speaker 2: esa conversación permanece dentro de tu red virtual. El mundo
• 3:54
  Speaker 2: exterior nunca la ve. Ahora, esa es la diferencia clave
• 3:56
  Speaker 2: respecto a un Jumbox. Bastion es una máquina virtual. No
• 3:58
  Speaker 2: es algo que debas parchear o mantener. Microsoft se encarga
• 4:01
  Speaker 2: de todo esto. Las actualizaciones del SEO, el refuerzo de seguridad,
• 4:03
  Speaker 2: el escalado, todo eso está resuelto por ti. Solo lo
• 4:06
  Speaker 2: implementas y lo usas. Para un uso básico, te conectas
• 4:08
  Speaker 2: desde el portal de Azure directamente en tu navegador. No
• 4:10
  Speaker 2: necesitas software cliente adicional, ni instalar VPN, ni configurar clientes RDP.
• 4:15
  Speaker 2: Solo tu navegador y tu iniciación de Azure. Tus máquinas
• 4:17
  Speaker 2: virtuales permanecen privadas sin IP pública requerida, sin puertos RDP
• 4:20
  Speaker 2: expuestos a Internet. Esto es lo importante sobre los modelos
• 4:22
  Speaker 2: de seguridad moderna. Bastion encaja en un marco de confianza cero,
• 4:25
  Speaker 2: Zero Trust. El acceso está controlado por identidad y políticas,
• 4:28
  Speaker 2: no por la ubicación de red. No entras solo por
• 4:30
  Speaker 2: estar en el rango IP correcto. Entras porque eres la
• 4:32
  Speaker 2: persona adecuada con los permisos correctos. Hablemos de cómo funciona
• 4:35
  Speaker 2: realmente por dentro. Porque la arquitectura es más simple de
• 4:38
  Speaker 2: lo que crees.¿ Cómo funciona Devast? Bastion se despliega en
• 4:41
  Speaker 2: una subred dedicada a tu red virtual, que debe llamarse
• 4:44
  Speaker 2: Azure Bastion Subnet, con un espacio de direcciones de 26
• 4:47
  Speaker 2: o mayor, al menos 64 direcciones IP, lo que permite
• 4:50
  Speaker 2: al servicio operar y escalar y escalar. Esa subred es
• 4:54
  Speaker 2: exclusiva para Bastion, así que nada más puede estar ahí,
• 4:57
  Speaker 2: sin máquinas virtuales, sin otro servicio, nada. Esto mantiene todo
• 5:00
  Speaker 2: limpio y seguro y sabes exactamente qué hay en esa
• 5:01
  Speaker 2: subred y qué está haciendo. Cuando te conectas a través
• 5:04
  Speaker 2: del portal, tu navegador abre una sesión TLS a la
• 5:06
  Speaker 2: IP pública de Bastion y el puerto 4443 cifrada para
• 5:08
  Speaker 2: que nadie vea lo que haces. Luego Bastion inicia RDP
• 5:12
  Speaker 2: o SSH a tu máquina virtual objetivo a través de
• 5:14
  Speaker 2: la red privada, por lo que la VM ve la
• 5:15
  Speaker 2: conexión desde dentro de la red virtual, no desde internet.
• 5:19
  Speaker 2: Y ni siquiera sabe que el mundo exterior existe. Bastion
• 5:21
  Speaker 2: puede dar servicio a máquinas virtuales en la misma OVANET
• 5:24
  Speaker 2: y IVANET emparejadas y con el escaboco adecuado incluso a
• 5:26
  Speaker 2: máquinas locales conectadas vía ExpressRoute. Eso significa que puedes usar
• 5:29
  Speaker 2: un despliegue de Bastion para llegar a máquinas virtuales en
• 5:31
  Speaker 2: varias redes, siempre que estén conectadas y en el mismo inquilino. Ahora,
• 5:35
  Speaker 2: una forma inteligente de restringir aún más el acceso es
• 5:37
  Speaker 2: usar grupos de seguridad de red para permitir solo RDP
• 5:40
  Speaker 2: y SSHD de la subred de Bastion. De esa manera,
• 5:42
  Speaker 2: incluso si alguien lograra entrar en tu red virtual, no
• 5:44
  Speaker 2: podría llegar a sus puertos de administración. Tendrían que pasar
• 5:47
  Speaker 2: por Bastion, lo que significa que necesitarían primero la identidad
• 5:49
  Speaker 2: y los permisos correctos. Esto es una gran mejora respecto
• 5:51
  Speaker 2: a los Jumboxes, pero hay una nueva función que los
• 5:53
  Speaker 2: lleva más allá y todo gira en torno a la identidad.
• 5:58
  Speaker 2: La integración con Entraide. Esto lo cambia todo. Durante años
• 6:02
  Speaker 2: hubo un inconveniente con Bastion que molestaba a mucha gente.
• 6:05
  Speaker 2: Todavía necesitabas cuentas locales en OEM, nombres de usuario, contraseñas
• 6:09
  Speaker 2: o claves SSH que debías gestionar en cada máquina. Aunque
• 6:12
  Speaker 2: Bastion resolvía el problema de seguridad de red, seguías atrapado
• 6:15
  Speaker 2: con el viejo problema de la identidad. Contraseñas diferentes en
• 6:18
  Speaker 2: distintas máquinas, cuentas que nunca se borraban cuando alguien dejaba
• 6:20
  Speaker 2: el equipo, todo ese desastre. Entonces en 2025 Microsoft lo cambió.
• 6:24
  Speaker 2: Añadieron la autenticación nativa de EntraID para Bastion y eso
• 6:27
  Speaker 2: lo cambió todo. Todo. Ahora puedes iniciar sesión en una
• 6:30
  Speaker 2: VM de Windows a través de Bastion usando tu identidad
• 6:32
  Speaker 2: de trabajo sin cuenta local y sin contraseñas que recordar.
• 6:35
  Speaker 2: Solo tus credenciales de Entride. El mismo nombre de usuario
• 6:37
  Speaker 2: y contraseña que usa para su correo, sus Teams y
• 6:39
  Speaker 2: su SharePoint. Eso es todo. Entride lleva MFA y las
• 6:42
  Speaker 2: políticas de acceso condicional al inicio de sesión de su VM.
• 6:45
  Speaker 2: Si las mismas políticas que protegen su correo y sus
• 6:46
  Speaker 2: aplicaciones ahora protegen su servidor. Si su empresa requiere MFA
• 6:49
  Speaker 2: para acceder a datos confidenciales, esa misma solicitud de MFA
• 6:52
  Speaker 2: aparece al intentar hacer RDP a una VM. Y si
• 6:56
  Speaker 2: su política de acceso condicional bloquea inicios de sesión de
• 6:58
  Speaker 2: ubicaciones no confiables, eso también se aplica. Sus servidores heredan
• 7:02
  Speaker 2: la misma postura de seguridad que el resto de su entorno.
• 7:04
  Speaker 2: Hay algunos requisitos que debe conocer. La AVM debe ejecutar
• 7:07
  Speaker 2: Windows 10, 20H2 o posterior o Windows Server 2022 y
• 7:10
  Speaker 2: necesita tener instalada la extensión de inicio de sesión de AD.
• 7:13
  Speaker 2: También necesita asignar los roles RBAC correctos a sus usuarios.
• 7:17
  Speaker 2: Existen dos roles aquí. Inicio de sesión de usuario de
• 7:19
  Speaker 2: máquina virtual para acceso estándar. Inicio de sesión de administrador
• 7:22
  Speaker 2: de máquina virtual para derecho de administrar. Es una separación clara.
• 7:25
  Speaker 2: que le permite dar a las personas exactamente el nivel
• 7:26
  Speaker 2: de acceso que necesitan, nada más. Cuando todo está configurado correctamente,
• 7:30
  Speaker 2: EntraID aparece como el tipo de autenticación predeterminado en la
• 7:32
  Speaker 2: hoja de conexión de Bastion, y es solo un clic
• 7:34
  Speaker 2: para entrar. Nada de escribir nombres de usuario, ni buscar contraseñas,
• 7:38
  Speaker 2: ni copiar claves SSH, solo haga clic y conéctese. Aquí
• 7:41
  Speaker 2: es donde el viejo modelo de Jumpbox realmente fracasa, porque
• 7:43
  Speaker 2: con Bastion y EntraID juntos obtiene algo que un Jumpbox
• 7:45
  Speaker 2: nunca puede darle. Acceso basado en identidad respaldado por toda
• 7:49
  Speaker 2: su pila de seguridad, no solo por una cuenta local
• 7:51
  Speaker 2: en una UVM. Precios de Skaw y la realidad del
• 7:54
  Speaker 2: mundo real Entonces, hablemos de DIMM. Todos quieren saber cuánto
• 7:57
  Speaker 2: cuesta realmente Bastion. Hay cuatro niveles. Desarrollador, básico, estándar y premium.
• 8:02
  Speaker 2: Y desarrollador es gratuito. Está pensado para prueba, no para
• 8:04
  Speaker 2: trabajo real. Solo puede conectar una VM a la vez
• 8:07
  Speaker 2: y se ejecuta en una infraestructura compartida. Excelente para aprender,
• 8:09
  Speaker 2: pero no pongan lo importante ahí. El nivel básico comienza
• 8:12
  Speaker 2: en unos 0.19 Mbps, por ahora unos 140 Mbps. Funciona
• 8:15
  Speaker 2: para configuraciones pequeñas, pero pierde algunas cosas. Sin soporte de
• 8:18
  Speaker 2: cliente nativo, sin carga ni descarga de archivos, sin enlace compartible.
• 8:21
  Speaker 2: Bien para acceso básico al portal, pero no es sofisticado.
• 8:24
  Speaker 2: El nivel estándar cuesta 0.29 dólares por hora, unos 210
• 8:25
  Speaker 2: dólares al mes. Eso viene con dos instancias por defecto.
• 8:30
  Speaker 2: Aquí es donde realmente obtiene la mejor función. Soporte de
• 8:32
  Speaker 2: cliente nativo, por lo que puede usar su cliente RDP
• 8:35
  Speaker 2: o SSH normal en lugar de navegador. Enlaces compartibles para
• 8:37
  Speaker 2: acceso temporal. Carga de archivos. Conexiones basadas en IP para
• 8:41
  Speaker 2: llegar a máquinas locales a través de ExpressRoute o VPN.
• 8:44
  Speaker 2: Premium cuesta 0.27 dólares por hora, cerca de 200 dólares
• 8:47
  Speaker 2: al mes, también con dos instancias. Sí es ligeramente más
• 8:50
  Speaker 2: barato por hora que el estándar. Pygmium añade grabación de
• 8:53
  Speaker 2: sesiones e implementación solo privada. Esto significa que Bastion no
• 8:56
  Speaker 2: necesita una IP pública. Esto es fundamental para entornos con
• 8:58
  Speaker 2: altos requisitos de cumplimiento. Ahora, aquí está la comparación que
• 9:00
  Speaker 2: realmente importa. Una máquina virtual de salto puede costar solo
• 9:03
  Speaker 2: entre 35 y 50 dólares al mes en cómputo de almacenamiento,
• 9:04
  Speaker 2: pero ese no es el costo real. Los costos ocultos,
• 9:08
  Speaker 2: como parches, fortalecimiento, monitoreo y gestión de esa máquina, a
• 9:11
  Speaker 2: menudo elevan el total a más de 200 dólares al mes.
• 9:14
  Speaker 2: Tres horas de tiempo administrativo, 60 dólares la hora, suman
• 9:16
  Speaker 2: 180 dólares ahí mismo. Sumen el costo de la máquina
• 9:19
  Speaker 2: virtual y estará en 220 dólares o más. Entonces baste
• 9:22
  Speaker 2: un estándar a 210 dólares al mes y empieza a
• 9:24
  Speaker 2: verse bastante razonable cuando considera todo lo que ya no
• 9:26
  Speaker 2: tiene que pagar. Para la mayoría de los entornos de producción,
• 9:29
  Speaker 2: el estándar o premium es la elección correcta. La diferencia
• 9:31
  Speaker 2: de costo entre ellos y un servidor de salto bien
• 9:33
  Speaker 2: mantenido es pequeña y las ventajas operativas y de seguridad enormes.
• 9:38
  Speaker 2: Unamos todo y veamos cómo encajan estas piezas en un
• 9:40
  Speaker 2: panorama claro. Panorama general, cómo se conecta todo. Alejemos la
• 9:44
  Speaker 2: vista para ver cómo encaja todo esto. El modelo antiguo
• 9:47
  Speaker 2: se veía así, una IP pública en su máquina virtual,
• 9:50
  Speaker 2: un puerto de RDP abierto, un servidor de salto que
• 9:52
  Speaker 2: necesitaba cuidado constante y cuentas locales dispersas en cada equipo.
• 9:56
  Speaker 2: Cada pieza era un problema independiente que usted debía resolver.
• 9:58
  Speaker 2: Seguridad de red, parche, gestión de identidades, rotación de credenciales
• 10:02
  Speaker 2: son demasiados elementos. Y si alguno de ellos fallaba, tenía
• 10:05
  Speaker 2: una brecha de seguridad. Ahora mire el nuevo modelo con Bastion.
• 10:08
  Speaker 2: Sin IPs públicas en sus máquinas virtuales, sin puertos expuestos,
• 10:11
  Speaker 2: un servicio gestionado que Microsoft mantiene actualizado y protegido, y
• 10:14
  Speaker 2: acceso basado en identidad con MFA y acceso condicional. De
• 10:17
  Speaker 2: repente la complejidad se desploma por Si es como las
• 10:19
  Speaker 2: piezas se dividen en el trabajo. Bastion se encarga de
• 10:21
  Speaker 2: la capa de seguridad de red. Es el cómo usted ingresa.
• 10:24
  Speaker 2: Asegura que sus máquinas virtuales sean invisibles a internet y
• 10:26
  Speaker 2: que cada conexión pase por un túnel gestionado y seguro.
• 10:30
  Speaker 2: Entra ID y maneja la capa de identidad. Es el
• 10:32
  Speaker 2: quién es usted y si tiene permiso. Asegura que solo
• 10:35
  Speaker 2: las personas adecuadas con los permisos correctos y la postura
• 10:37
  Speaker 2: de dispositivo adecuada pueden conectarse. Juntos le brindan algo que
• 10:40
  Speaker 2: ningún servidor de salto puede igualar. Una separación clara entre
• 10:43
  Speaker 2: el acceso a la red y el control de identidad.
• 10:45
  Speaker 2: No necesita confiar en la red. No necesita confiar en
• 10:47
  Speaker 2: la dirección IP. Le confía en la identidad. Y esa
• 10:50
  Speaker 2: identidad está respaldada por todo su conjunto de herramientas de seguridad.
• 10:53
  Speaker 2: Esta es la dirección hacia la que Microsoft está avanzando.
• 10:55
  Speaker 2: Y es hacia donde se dirige la seguridad en el mundo.
• 10:57
  Speaker 2: El verdadero poder no es ningún producto individual, es cómo
• 10:59
  Speaker 2: trabajan juntos. Sus primeros pasos. Comenzando con Bastion. Entonces,¿ por
• 11:04
  Speaker 2: dónde empezar? Permítame darle un camino sencillo. Primero, debe decidir
• 11:07
  Speaker 2: si empieza desde cero o migra desde cajas de salto existentes.
• 11:10
  Speaker 2: Si empieza desde cero, está en la mejor posición. Pero
• 11:12
  Speaker 2: si está migrando, no se preocupe. Bastion puede coexistir con
• 11:16
  Speaker 2: su configuración actual mientras mueve todo. Luego elija su escudo.
• 11:20
  Speaker 2: El escudo de desarrollador es gratuito y excelente para pruebas,
• 11:22
  Speaker 2: pero para producción usa estándar o premium. La diferencia de
• 11:25
  Speaker 2: costo con el básico es pequeña y obtiene funciones que
• 11:27
  Speaker 2: realmente usará. Después implementa Bastion en su red virtual. Créela
• 11:31
  Speaker 2: su Bastion con un