La segmentación de red es una medida eficaz para impedir el acceso no autorizado a determinados activos de la organización permitiendo definir diferentes servicios de seguridad para cada segmento de la red. Esto permite más control sobre el tráfico de red y una mejora sustancial de la seguridad.
La segmentación permite a los administradores de red controlar el flujo de datos entre subredes según políticas detalladas.
La segmentación ‘fuerte’ consiste en aislar completamente determinadas redes del resto (dominios de seguridad). Ningún tipo de acceso TCP/IP estará permitido.

Las interconexiones o Cross-Domain surgen cuando es necesaria la transferencia de información entre dominios de seguridad.

Un dominio de seguridad es un conjunto de activos normalmente localizados en una red y sometidos a una misma política. Pueden ser redes con distintos niveles de clasificación o administrados por diferentes autoridades operativas o que simplemente se mantienen aisladas por razones de seguridad.

Un cortafuegos es un dispositivo que, según su configuración, permite o bloquea paquetes y conexiones. Cuando las redes no están físicamente separadas (subredes) un cortafuegos puede ser suficiente porque existe enrutamiento de paquetes y/o conexiones permitidas entre ellas.

Para el intercambio de información entre dominios de seguridad (Cross-Domain), es necesario utilizar otros tipos de dispositivos con un nivel más alto de seguridad: Pasarelas seguras (High Assurance Guards) o diodos de datos.

Estos dispositivos no permiten el enrutado de paquetes ni conexiones y proporcionan una rotura completa de la pila de protocolos.

Se conoce como ‘guard’ a los dispositivos que realizan el filtrado de los flujos de datos. Dependiendo de los riesgos de la interconexión (diferencia de niveles de clasificación de la información de ambos dominios, confianza entre las autoridades, medidas de seguridad existentes, etc.) las exigencias generales serán mayores o menores.

En interconexiones en las que se necesite muy alta seguridad, se exige adicionalmente separación física de las redes.

Los dispositivos que proporcionan esta separación pueden ser:

• Unidireccionales (diodos)
• Bidireccionales (pasarelas)

Para transferir información entre dos redes en un solo sentido utilizamos un  diodo de datos.

Aunque casi todos están basados en hardware, se conocen como diodos hardware a aquellos en los que la garantía de que la transmisión de la información se realiza en un solo sentido la proporciona algún elemento hardware, es decir sería necesaria manipulación mecánica (con acceso físico) para subvertir el mecanismo.

Por el contrario, los conocidos como diodos software, basan la garnatía de transmisión unidireccional en software (máquinas virtuales, microkernels u otros mecanismos) que potencialmente se podrían subvertir de manera remota.

Para transferir información de manera segura, en ambos sentidos (escenarios bidireccionales) entre dos dominios de seguridad separados es necesaria una pasarela de aplicación.

Típicamente proporcionan las funcionalidades de filtrado de los flujos de datos (‘guard’) y separación de las redes.

El filtrado puede incluir control de formato, de contenido e incluso exigir la autorización de los datos mediante firmas digitales. La separación de las redes puede ser de mayor o menor fortaleza dependiendo si se realiza mediante hardware o software.