Router y firewall industrial de subestación: IEC 62443 y VPN

Qué es y dónde está

El router y firewall industrial está en el borde de la red de comunicaciones de subestación. De un lado quedan los relés, los controladores de bahía y la RTU o gateway; del otro, la red de área amplia hacia el centro de control, la red corporativa y, cuando existe, el acceso remoto de ingeniería. A veces son dos equipos (router y firewall) y a veces uno solo, con formato para tablero, alimentación de corriente continua y ensayos para ambiente de subestación.

Es el equipo que hace posible, con seguridad, el acceso remoto a los relés.

Partes principales

• Puertos de cobre y fibra hacia la red interna y hacia la red de área amplia; algunos modelos traen módem celular.
• Motor de firewall con estado: permite o niega cada conexión según origen, destino, protocolo y puerto, y recuerda las conexiones ya autorizadas.
• VPN: túneles cifrados hacia el centro de control o el concentrador de acceso remoto.
• Enrutamiento y traducción de direcciones (NAT) entre subredes.
• Autenticación de administradores con RADIUS o TACACS+ y cuentas individuales.
• Registro: envío de eventos por syslog a un servidor central.
• En algunos modelos, inspección de protocolos industriales, que filtra por tipo de mensaje y no solo por puerto.

Cómo funciona

Zonas y conductos (IEC 62443). IEC 62443-3-2 pide definir el sistema, dividirlo en zonas y conductos, evaluar el riesgo de cada uno, asignarles un nivel de seguridad objetivo y documentar los requisitos. IEC 62443-3-3 traduce los siete requisitos fundamentales de la serie en requisitos técnicos de sistema, que se cumplen en cada zona y conducto. En una subestación típica las zonas son la red de protección y control, la DMZ con el servidor de salto y el historiador, la red de área amplia hacia el centro de control y la red corporativa. El firewall es el conducto entre ellas.

Reglas. La regla base niega todo. Luego se permite solo lo que está documentado, por ejemplo:

• El maestro SCADA del centro de control hacia el gateway, por IEC 60870-5-104 (TCP 2404) o DNP3 (TCP 20000).
• El servidor de tiempo hacia los equipos que lo usan.
• El servidor de salto hacia los relés, solo en los puertos del software de ingeniería y solo durante una sesión aprobada.
• Los equipos internos hacia el servidor de registro.

Cada regla tiene un responsable y una justificación. Una regla «cualquiera a cualquiera» anula la segmentación.

Acceso remoto. El ingeniero se conecta por VPN con autenticación de varios factores a un servidor de salto en la DMZ. Desde allí, con el software del fabricante instalado y controlado, llega al relé. La sesión se aprueba, se limita en el tiempo, se registra y se cierra al terminar. Ninguna VPN llega directo a la red de los relés.

Seguridad en los protocolos (IEC 62351). IEC 62351-3 aplica TLS a los protocolos sobre TCP/IP; IEC 62351-4 trata MMS; IEC 62351-5, IEC 60870-5 y sus derivados, con autenticación de mensajes; IEC 62351-6, GOOSE y valores muestreados; IEC 62351-8, control de acceso por roles. El firewall no reemplaza estas medidas: protege el borde, y IEC 62351 protege los mensajes.

Variantes y criterios de selección

• Firewall de borde de subestación, con ensayos para ambiente de subestación y alimentación de corriente continua.
• Router celular con firewall para sitios remotos, reconectadores y subestaciones pequeñas (ver enlaces de radio y celulares).
• Firewall interno entre la red de protección y la de servicios o video.
• Diodo de datos (unidireccional) cuando la política solo permite sacar información.

Se elige según los conductos que deba controlar, la capacidad de VPN, la inspección de protocolos industriales y la gestión centralizada de reglas y registros. IEC 62443-4-2 da los requisitos de seguridad para componentes y sirve para comparar equipos. En Colombia, los agentes del SIN siguen además la Guía de Ciberseguridad del CNO, Acuerdo 1960 de 2025.

Datos clave de especificación

• Interfaces, rendimiento con el firewall y la VPN activos, y número de túneles.
• Protocolos de VPN y algoritmos de cifrado admitidos.
• Soporte de RADIUS o TACACS+, syslog y sincronización de tiempo.
• Inspección de protocolos industriales, si se requiere.
• Ambiente: temperatura, compatibilidad electromagnética y alimentación.
• Firmware firmado y política de actualizaciones del fabricante.

Integración con protección y control

El firewall no participa en los disparos y no debe estar en el camino de un mensaje de protección. Sí debe supervisarse: su contacto de alarma y sus eventos de seguridad, como intentos de acceso fallidos o cambios de configuración, llegan al centro de control o al centro de operaciones de seguridad. La hora del firewall debe estar sincronizada; sin ella, los registros no se pueden correlacionar con los eventos de los relés.

Pruebas en puesta en servicio y mantenimiento

• Revisión de reglas contra la matriz de flujos aprobada.
• Pruebas de cada flujo permitido y de algunos que deben estar bloqueados, desde cada zona.
• VPN y servidor de salto: inicio de sesión, aprobación, cierre y registro.
• Registro: los eventos llegan al servidor central con la hora correcta.
• Respaldo de la configuración y de las versiones de firmware.

Cualquier escaneo activo de la red se hace en ventana de mantenimiento y con cuidado: algunos IED antiguos reaccionan mal al tráfico inesperado.

Fallas comunes y qué revisar primero

• El SCADA perdió la comunicación tras un cambio: una regla o una traducción de direcciones modificada.
• La VPN conecta pero no pasa tráfico: rutas o fragmentación por tamaño de paquete.
• Certificados vencidos o reloj desajustado.
• Contraseñas de fábrica sin cambiar.
• Reglas temporales que nunca se retiraron.
• Firmware sin actualizar frente a vulnerabilidades publicadas.

Acceso remoto seguro con Tiza Group

¿Quiere habilitar la configuración remota de sus relés sin abrir la red? En Tiza Group trabajamos con el esquema de acceso de su empresa en nuestra configuración remota de relés y, en sitio, integramos gateways y comunicaciones con nuestra ingeniería de integración SCADA y gateways, en media, alta y extra alta tensión, en subestaciones e industria.

Referencias

• IEC 62443-3-2: evaluación de riesgos de seguridad para el diseño de sistemas.
• IEC 62443-3-3: requisitos de seguridad del sistema y niveles de seguridad.
• IEC 62443-4-2: requisitos técnicos de seguridad para componentes.
• IEC 62351 (serie), partes 3, 4, 5, 6 y 8.
• IEC 60870-5-104 e IEEE 1815 (DNP3).
• CNO, Acuerdo 1960 de 2025, actualización de la Guía de Ciberseguridad (sustituye el Acuerdo 1502 de 2021).

Preguntas frecuentes