Un servidor de salto (también llamado jump host o bastion host) es una máquina intermediaria reforzada a la que los usuarios deben conectarse primero antes de poder alcanzar sistemas dentro de una zona de red protegida. Existe para canalizar todo el acceso a través de un único punto monitorizado en lugar de dejar que los usuarios se conecten directamente a las máquinas sensibles. Es un control útil, pero por sí solo un servidor de salto concentra el acceso sin ligar necesariamente cada sesión a una identidad verificada, sin acotarla a una tarea ni registrar lo que hizo el usuario.
¿Qué es un servidor de salto?
Un servidor de salto se sitúa entre dos redes de distinto nivel de confianza, por ejemplo entre una red corporativa y una subred de servidores segmentada o una red industrial. Un usuario inicia sesión en el servidor de salto y, desde ahí, abre una conexión adicional hacia el sistema de destino. Como cada camino pasa por ese único host, los administradores pueden monitorizar y reforzar una sola máquina en lugar de exponer cada sistema interno. Es un patrón con décadas de antigüedad para administrar sistemas a través de una frontera de seguridad.
Servidor de salto vs bastion host
Los términos se usan casi de forma intercambiable. Un bastion host significa tradicionalmente una máquina reforzada, expuesta a internet, que se ofrece deliberadamente como único punto de entrada a una red privada, reforzada precisamente porque está expuesta. Un servidor de salto (o jump host) pone el acento en el salto: el intermediario en el que aterrizas para alcanzar sistemas de otra zona. En la práctica, la mayoría de los equipos usan «servidor de salto», «jump host» y «bastion host» para describir el mismo papel: un intermediario que concentra y controla el acceso a través de una frontera.
¿Cómo se usa un servidor de salto en OT?
En la tecnología operativa, un servidor de salto es una forma habitual de dar a ingenieros y proveedores una ruta hacia la red de control sin conectarlos directamente a los PLC y SCADA. El usuario remoto llega al servidor de salto situado en una DMZ y luego salta hacia dentro. Suele combinarse con una VPN para la conexión externa y con segmentación de red para definir las zonas.
¿Cuáles son las limitaciones de un servidor de salto?
Un servidor de salto es una ubicación, no una política. Por sí solo no responde a las preguntas que importan para el acceso privilegiado:
- Identidad por sesión. Un inicio de sesión compartido en el servidor de salto te dice que hubo una sesión, no quién estaba detrás.
- Privilegios mínimos. Una vez que un usuario está en el servidor de salto, ¿qué le impide alcanzar más que el único sistema al que venía? Eso requiere una configuración adicional que el servidor de salto no impone por sí mismo.
- Grabación. Un servidor de salto sin más no registra qué comandos se ejecutaron en el destino, que es lo que necesita una auditoría o la revisión de un incidente.
- Es un objetivo. Un servidor de salto comprometido se convierte en un punto de lanzamiento hacia todo lo que hay detrás, que es justo por lo que los atacantes lo buscan.
¿Cuál es una alternativa moderna a un servidor de salto?
Un intermediario de acceso mediador, a veces llamado proxy industrial, conserva la ventaja de la vía única controlada de un servidor de salto a la vez que cierra sus brechas. En lugar de dejar que un usuario inicie sesión en una máquina compartida y confiar en que se comporte bien, el intermediario autentica a cada usuario, concede acceso a un único sistema de destino para una única tarea y registra la sesión completa, todo ello sin que el usuario aterrice nunca en la red. Para la OT en concreto, lo hace delante de controladores que no pueden autenticar ni registrar por sí mismos.
Access Gate de Trout es ese intermediario: sustituye o antepone un servidor de salto con acceso ligado a la identidad, con privilegios mínimos y registrado a los sistemas OT, sin agente en el equipo y diseñado para la resiliencia. Consulta acceso remoto y de proveedores seguro para OT y qué es un proxy industrial.
