Arquitectura segura en cloud: Lightsail, ECR, Nginx, Ubuntu y firewall multicapa
La arquitectura que usamos en ServerStack Solutions para mantener sitios de clientes sin caídas ni intrusiones. Seis componentes que se refuerzan entre sí.
Una arquitectura segura no se resuelve con un botón que diga "activar HTTPS". Es una combinación de infraestructura aislada, capas de defensa que se refuerzan entre sí y despliegues controlados. Si una capa falla, las otras absorben el golpe.
Este post es el mapa de la arquitectura que usamos en ServerStack Solutions y que sostiene los sitios de nuestros clientes. Cada componente tiene su post dedicado con la profundidad técnica — aquí vas a entender cómo encajan.
Los seis componentes
AWS Lightsail
Servidor cloud con costos predecibles. Evitas las sorpresas de EC2 sin perder la red de AWS (snapshots, IPs estáticas, balanceadores). Pagas una tarifa fija mensual.
Ubuntu LTS
Distribución con ciclo de vida de 5 años y parches de seguridad automáticos. No usamos la última versión de Ubuntu — usamos la última LTS. La diferencia es estabilidad y tiempo de vida del sistema.
Amazon ECR (Elastic Container Registry)
Imágenes de Docker privadas, escaneadas por vulnerabilidades y versionadas. Ver Docker + ECR en detalle.
Nginx
Reverse proxy que centraliza SSL, comprime respuestas, aplica rate limiting y protege con reglas contra ataques comunes (SQLi, XSS, bots). Es la primera puerta después del firewall. Ver Nginx como guardián del servidor.
Firewall multicapa
No es un solo firewall. Son tres coordinados:
- Reglas de red en Lightsail (cloud)
- UFW + Fail2ban en el servidor (SO)
- Reglas de Nginx (aplicación)
Ver por qué cerramos SSH sin perder deploys.
CI/CD automatizado
Nadie toca el servidor manualmente. Todo deploy pasa por pipeline con tests, escaneo y rollback listo. Ver pipelines multi-stage en detalle.
Cómo se refuerzan entre sí
La clave no es que cada componente sea bueno por separado. Es que cuando uno falla, el siguiente tapa el hueco.
Ejemplo: bot intenta escanear vulnerabilidades
- Firewall de red (Lightsail): solo puertos 80/443 están abiertos. El bot pierde el 99% de la superficie de ataque de un Linux típico.
- UFW + Fail2ban (servidor): detecta patrones anómalos (muchas peticiones fallidas) y banea la IP 30 minutos. El bot queda fuera antes de llegar a tu app.
- Nginx (aplicación): si el bot cambia IP, encuentra rate limiting en las rutas sensibles. Y si intenta inyecciones, las reglas del reverse proxy las filtran.
- Tu aplicación: para el tráfico que llega, el contenedor corre con permisos mínimos (IAM bien hecho — ver IAM y menor privilegio).
Ejemplo: deploy con un bug
- Push al repo → pipeline corre.
- Tests fallan → el deploy se detiene antes de llegar a producción.
- Si pasaron tests pero la imagen tiene vulnerabilidades, ECR las flagea en el escaneo.
- Si todo pasa, el rollback automático está listo por si algo explota en runtime.
Qué ganas como negocio
- Menos caídas por ataques o errores humanos.
- Mejor rendimiento gracias a Nginx (caché, compresión).
- Cambios seguros con rollback automático.
- Costos predecibles — Lightsail cobra fijo.
- Auditoría — todo deploy queda en el pipeline.
En ServerStack Solutions
Esta arquitectura viene configurada desde el día uno en todos nuestros planes. No la arma el cliente — la configuramos nosotros y la administramos continuamente. Parches, backups, monitoreo y revisión de logs están incluidos.
Si quieres migrar tu sitio a esta arquitectura o lanzar uno nuevo con ella, agenda una evaluación o revisa los planes.
Preguntas frecuentes
¿Por qué Lightsail y no EC2?
Lightsail ofrece la misma red de AWS (snapshots, IP fija, balanceadores) pero con precios predecibles. EC2 es más flexible pero cobra por cada recurso separado, lo que genera sorpresas en la factura. Para la mayoría de sitios web y apps pequeñas/medianas, Lightsail da el 90% del valor con 30% de la complejidad.
¿Por qué tantas capas de firewall si Lightsail ya tiene una?
Porque una capa sola se rompe. El firewall de red bloquea puertos, pero si un atacante llega al puerto 443 (web), solo UFW + Fail2ban + reglas de Nginx pueden detectarlo. Cada capa resuelve un tipo de ataque distinto. La redundancia es el punto, no un defecto.
¿Puedo armar esta arquitectura por mi cuenta?
Sí, y los posts enlazados muestran el cómo. Pero el tiempo típico para tener todo configurado, probado y documentado es 3-5 semanas la primera vez. Si prefieres enfocarte en tu negocio, ServerStack Solutions se ocupa del setup completo en 3-5 días.