{"id":12585,"date":"2021-12-14T13:00:52","date_gmt":"2021-12-14T21:00:52","guid":{"rendered":"https:\/\/www.couchbase.com\/blog\/?p=12585"},"modified":"2025-06-13T23:06:12","modified_gmt":"2025-06-14T06:06:12","slug":"couchbase-server-7-0-2-enforce-tls-hsts-enforce-ip-address-family","status":"publish","type":"post","link":"https:\/\/www.couchbase.com\/blog\/es\/couchbase-server-7-0-2-enforce-tls-hsts-enforce-ip-address-family\/","title":{"rendered":"Couchbase Server 7.0.2 Aplicar TLS, HSTS y Aplicar Familia de Direcciones IP"},"content":{"rendered":"

En esta entrada de blog, presentar\u00e9 tres nuevas caracter\u00edsticas en Couchbase Server 7.0.2 (\"Server\") para ayudar a los administradores a desplegar Couchbase Server de forma segura: Enforce TLS, HSTS, y Enforce IP Address Family.\u00a0<\/span><\/em><\/p>\n

Cuando se despliega un cluster de Couchbase Server, una buena pr\u00e1ctica es evitar tener un nodo Server directamente conectado a Internet. Aconsejamos que los clientes desplieguen un cortafuegos en el per\u00edmetro de red de su cluster as\u00ed como un cortafuegos en cada nodo Servidor. Estos cortafuegos deben estar configurados para bloquear todos los puertos inseguros, los puertos para servicios que no est\u00e1n en uso y familias enteras de direcciones IP que no est\u00e1n en uso.<\/span><\/p>\n

Aqu\u00ed es donde entran en juego estas tres nuevas funciones. Los administradores deben desplegar cortafuegos y s\u00f3lo permitir puertos espec\u00edficos seg\u00fan sea necesario. Los nuevos ajustes proporcionan protecciones adicionales que logran el mismo objetivo, en lo que algunos podr\u00edan denominar un control compensatorio.<\/span><\/p>\n

Aplicar TLS<\/span><\/h4>\n

La primera novedad es el refuerzo del cifrado de red TLS. En Couchbase Server 6.5.0, introdujimos <\/span>Cifrado de nodo a nodo<\/span><\/a>. Con Node To Node Encryption habilitado, permitimos la configuraci\u00f3n de c\u00f3mo se manejan los datos entre los nodos de Couchbase Server.\u00a0\u00a0<\/span><\/p>\n

Opcionalmente, los datos de control est\u00e1n configurados para ser encriptados o todos los datos entre nodos est\u00e1n encriptados. Esto garantiza que el tr\u00e1fico de red entre nodos del cl\u00faster sea seguro y, si los administradores despliegan aplicaciones para que s\u00f3lo se conecten al cl\u00faster mediante conexiones de red cifradas, todos los datos de la base de datos a trav\u00e9s de la red estar\u00e1n cifrados. En este punto, el administrador desplegar\u00eda un cortafuegos para bloquear los puertos de red que gestionan el tr\u00e1fico de red sin cifrar o de texto plano.\u00a0<\/span><\/p>\n

Con la nueva funci\u00f3n Enforce TLS hemos a\u00f1adido una tercera opci\u00f3n a la configuraci\u00f3n de cifrado del cl\u00faster, ser estricto. Cuando esta opci\u00f3n est\u00e1 activada, el \u00fanico tr\u00e1fico de red permitido a trav\u00e9s del cl\u00faster es seguro y cifrado. Esto se aplica a todo, desde la interfaz de usuario web, las herramientas de l\u00ednea de comandos, el acceso a las aplicaciones y el tr\u00e1fico de red entre los nodos del cl\u00faster, pero no se aplica a las interfaces locales de loopback.<\/span><\/p>\n

Enforce TLS puede implementarse f\u00e1cilmente utilizando el comando CLI:<\/span><\/p>\n

couchbase-cli setting-security -cluster-encryption-level strict<\/span><\/em><\/p>\n

Encabezado de transporte seguro HTTP (HSTS)<\/span><\/h4>\n

Junto con la configuraci\u00f3n de Aplicar TLS, tambi\u00e9n hay una nueva configuraci\u00f3n para activar opcionalmente un encabezado de transporte seguro HTTP (HSTS). El encabezado HTTP Strict Transport Security informa al navegador web de un usuario que nunca debe cargar un sitio utilizando HTTP y debe convertir autom\u00e1ticamente todos los intentos de acceder al sitio utilizando HTTP a solicitudes HTTPS en su lugar. Esto es \u00fatil si desea que todos los accesos a la interfaz de usuario se realicen \u00fanicamente a trav\u00e9s de HTTPS.<\/span><\/p>\n

Cuando un navegador sabe que un dominio ha activado HSTS, hace dos cosas:<\/span><\/p>\n

    \n
  1. Siempre utiliza un <\/span>https:\/\/<\/span> conexi\u00f3n, incluso al hacer clic en un <\/span>https:\/\/<\/span> o despu\u00e9s de escribir un dominio en la barra de direcciones sin especificar un protocolo.\u00a0\u00a0<\/span><\/li>\n
  2. Elimina la posibilidad de que los usuarios hagan clic en las advertencias sobre certificados no v\u00e1lidos.<\/span><\/li>\n<\/ol>\n

    Una cosa que hay que recordar sobre Couchbase Server: por defecto el puerto no-TLS de la interfaz de usuario es <\/span>8091<\/span><\/em> mientras que el puerto TLS es <\/span>18091<\/span><\/em>. Con HSTS activado, cualquier petici\u00f3n a <\/span>https:\/\/cluster:8091<\/span><\/em> intentar\u00e1 acceder autom\u00e1ticamente a <\/span>https:\/\/cluster:8091<\/span><\/em>no la correcta <\/span>18091<\/span><\/em> puerto.<\/span><\/p>\n

    HSTS puede activarse con el comando CLI:<\/span><\/p>\n

    \u00a0<\/span>couchbase-cli setting-security -hsts-max-age\u00a0\u00a0\u00a0\u00a0<\/span><\/em><\/p>\n

    Configure el <\/span>max-age<\/span> a la cantidad de tiempo, en segundos, que el navegador debe recordar para acceder a la UI de Couchbase s\u00f3lo usando HTTPS.<\/span><\/p>\n

    Tambi\u00e9n puede optar por activar\/desactivar HSTS <\/span>precarga<\/span><\/em> y <\/span>incluirSubDominios<\/span><\/em> directivas.<\/span><\/p>\n

    Aplicar la familia de direcciones IP<\/span><\/h4>\n

    Tambi\u00e9n aconsejamos a los clientes que utilicen un cortafuegos y bloqueen todo el tr\u00e1fico de red para puertos y protocolos que no sean necesarios, incluyendo familias enteras de direcciones IP. Por ejemplo, si tu organizaci\u00f3n usa s\u00f3lo direcciones IPv4, deber\u00edas bloquear a nivel de firewall todo acceso a direcciones IPv6 en tus nodos de Couchbase Server. Para a\u00f1adir algunos controles compensatorios, hemos a\u00f1adido opciones a los ajustes de Familia de Direcciones IP.\u00a0<\/span><\/p>\n

    En el ejemplo anterior, si una organizaci\u00f3n s\u00f3lo utiliza direcciones IPv4 y utiliz\u00f3 el comando CLI:<\/span><\/p>\n

    couchbase-cli ip-family -set -ipv4<\/span><\/em><\/p>\n

    ...el cl\u00faster utilizar\u00eda IPv4 para la comunicaci\u00f3n entre los nodos, pero a\u00fan ser\u00eda posible que el tr\u00e1fico de los clientes pasara por IPv6 a menos que hubiera un cortafuegos que lo impidiera. Si la direcci\u00f3n IPv4 no pudiera enlazarse, el nodo fallar\u00eda autom\u00e1ticamente. La nueva <\/span>-ipv4only<\/span><\/em> indicar\u00e1 al cl\u00faster que s\u00f3lo intente enlazar con interfaces IPv4 y que nunca permita comunicaciones de red IPv6.\u00a0<\/span><\/p>\n

    Tambi\u00e9n existen <\/span>-ipv6 <\/span><\/em>y <\/span>-ipv6only<\/span><\/em> que logran el mismo resultado pero para la familia de direcciones IPv6 en lugar de la familia de direcciones IPv4. Si <\/span>-ipv4<\/span><\/em> y <\/span>-ipv6<\/span><\/em> est\u00e1n ambos establecidos, ambas interfaces deben ser enlazadas y si alguna de ellas est\u00e1 disponible, el sistema debe utilizarla y arrancar.\u00a0\u00a0\u00a0<\/span><\/p>\n

    Conclusi\u00f3n<\/span><\/h4>\n

    En este art\u00edculo, te he mostrado Enforce TLS, HSTS y Enforce IP Address Family. Todas estas caracter\u00edsticas de seguridad tratan de hacer una barrera robusta para los atacantes que intentan comprometer tus sistemas. Si la seguridad es importante para ti, te recomiendo que leas algunas entradas de blog adicionales sobre nuestras caracter\u00edsticas de seguridad que ayudan a mantener tus datos de Couchbase protegidos.\u00a0<\/span><\/p>\n