Firewall: qué es, para qué sirve y qué tipos existen
Un firewall es uno de los elementos básicos de seguridad de una red informática.
Su función consiste en controlar el tráfico que entra y sale de un equipo o una red y decidir qué comunicaciones están permitidas y cuáles deben bloquearse según unas reglas definidas.
En una empresa puede utilizarse para proteger servidores, ordenadores, redes internas, conexiones entre sedes o servicios accesibles desde Internet.
Pero un firewall no sustituye al resto de medidas de seguridad. Debe formar parte de una estrategia más amplia que incluya actualizaciones, control de accesos, monitorización y copias de seguridad.
¿Qué es un firewall?
Un firewall es un sistema de seguridad que analiza el tráfico de red y aplica reglas para permitir o bloquear determinadas comunicaciones.
Puede ejecutarse como software en un ordenador o servidor, formar parte de un dispositivo de red, desplegarse virtualmente o funcionar como servicio cloud.
La idea fundamental es crear límites entre dispositivos o redes con diferentes niveles de confianza.
Por ejemplo, podemos utilizar un firewall entre Internet y la red corporativa, pero también entre la red de usuarios y otra zona donde se encuentran servidores críticos.
¿Cómo funciona un firewall?
Cuando una comunicación atraviesa el firewall, este analiza información como direcciones IP, puertos, protocolos, estado de la conexión o aplicación implicada.
Después compara ese tráfico con las reglas configuradas.
Podemos permitir conexiones HTTPS hacia un servidor web, restringir accesos administrativos o impedir que determinadas redes se comuniquen entre sí.
Una política razonable parte de una idea sencilla: permitir únicamente las comunicaciones necesarias y bloquear las que no tienen una justificación.
¿Para qué sirve un firewall en una empresa?
Un firewall puede cumplir diferentes funciones dentro de la infraestructura.
Controlar los servicios accesibles desde Internet
Permite decidir qué sistemas pueden recibir conexiones externas.
Por ejemplo, podemos publicar una aplicación web y mantener su base de datos o interfaces administrativas fuera del acceso directo desde Internet.
Reducir los servicios expuestos disminuye la superficie de ataque.
Separar redes y sistemas
No todos los dispositivos necesitan comunicarse libremente entre sí.
Podemos separar usuarios, servidores, invitados, cámaras, IoT u otros sistemas y definir qué tráfico está permitido entre esas zonas.
Esta segmentación de red puede limitar la propagación de un incidente si un dispositivo resulta comprometido.
Controlar tráfico saliente
También podemos regular comunicaciones iniciadas desde los sistemas protegidos.
Esto permite bloquear conexiones innecesarias o limitar los destinos con los que determinados equipos y servidores pueden comunicarse.
Registrar actividad
Los logs del firewall pueden aportar información sobre conexiones permitidas, bloqueadas o inesperadas.
Estos registros resultan útiles para detectar incidencias e investigar qué ha ocurrido en la red.
Firewall de software y firewall de red
Una distinción habitual es separar los firewalls instalados directamente en un dispositivo de los que controlan una red.
Firewall de software o de host
Se ejecuta en un ordenador o servidor y controla el tráfico específico de ese dispositivo.
Firewall de Windows es un ejemplo habitual.
Este tipo de protección sigue siendo útil aunque exista un firewall general en la red, porque permite aplicar reglas específicas sobre cada equipo.
Firewall de red
Controla las comunicaciones que atraviesan un punto determinado de la infraestructura.
Puede situarse entre la empresa e Internet o entre diferentes redes internas.
Su ventaja es que permite aplicar políticas de forma centralizada a muchos dispositivos.
En una empresa es habitual combinar firewalls de red con firewalls en servidores y puestos de trabajo.
Principales tipos de firewall
Las soluciones modernas suelen combinar varias tecnologías.
Filtrado de paquetes
Analiza información como direcciones IP, protocolos y puertos para decidir si el tráfico puede atravesar el firewall.
Firewall stateful
Mantiene información sobre el estado de las conexiones y puede identificar si un paquete pertenece a una comunicación previamente establecida.
Next-Generation Firewall (NGFW)
Los firewalls de nueva generación incorporan capacidades adicionales, como identificación de aplicaciones, prevención de intrusiones o políticas más detalladas.
Ofrecen mayor capacidad de control, aunque requieren una configuración y mantenimiento adecuados.
WAF o Web Application Firewall
Un WAF está especializado en proteger aplicaciones web y APIs analizando tráfico HTTP y HTTPS.
Puede aplicar reglas sobre URLs, cabeceras, parámetros y contenido de las peticiones para ayudar a bloquear determinados ataques dirigidos contra aplicaciones.
Un WAF no sustituye al firewall de red. Ambos trabajan en ámbitos diferentes.
Firewall cloud o FWaaS
También existen firewalls desplegados como servicios cloud.
Un Firewall as a Service (FWaaS) permite aplicar funciones de filtrado desde infraestructura cloud sin depender exclusivamente de un dispositivo físico instalado en la oficina.
Puede ser útil cuando usuarios, sedes y aplicaciones están distribuidos entre diferentes ubicaciones y servicios cloud.
El firewall y la segmentación de red
Uno de los usos más importantes de un firewall empresarial es controlar la comunicación entre diferentes zonas internas.
Podemos separar, por ejemplo:
- puestos de trabajo;
- servidores;
- invitados;
- dispositivos IoT;
- telefonía IP;
- sistemas críticos.
Después definimos qué comunicaciones están permitidas entre esas redes.
Los usuarios pueden necesitar acceder a un servidor de aplicaciones, mientras que una cámara IP probablemente no necesita iniciar conexiones hacia los ordenadores de administración.
Esta separación ayuda a limitar el movimiento lateral si algún dispositivo resulta comprometido.
Qué no puede hacer un firewall por sí solo
Un firewall es una capa importante, pero no convierte automáticamente una infraestructura en segura.
No sustituye las actualizaciones, la autenticación multifactor, la protección del correo, el control de usuarios, los backups o la formación frente al phishing.
Tampoco corrige una vulnerabilidad existente dentro de una aplicación cuando el tráfico necesario para explotarla está permitido.
La seguridad funciona mejor cuando diferentes controles se complementan.
En nuestra guía sobre seguridad informática para empresas explicamos cómo encajan estas medidas dentro de una estrategia más amplia.
Buenas prácticas al configurar un firewall
Un firewall mal configurado puede proporcionar una falsa sensación de seguridad.
Conviene:
- permitir únicamente el tráfico necesario;
- evitar reglas excesivamente amplias;
- documentar por qué existe cada regla;
- cerrar servicios que ya no se utilizan;
- limitar los accesos administrativos;
- mantener actualizado el dispositivo o software;
- registrar los eventos relevantes;
- revisar periódicamente las reglas.
Las reglas también tienen un ciclo de vida.
Una excepción creada para una aplicación temporal no debería permanecer abierta durante años porque nadie ha vuelto a revisarla.
¿Un firewall sustituye a una VPN?
No.
Una VPN y un firewall pueden trabajar juntos, pero cumplen funciones diferentes.
La VPN crea una comunicación protegida entre determinados usuarios, dispositivos o redes.
El firewall decide qué comunicaciones se permiten a través de esa conectividad.
Por ejemplo, un usuario conectado mediante VPN no tiene por qué acceder a toda la red. Podemos permitirle utilizar una aplicación concreta y bloquear el acceso al resto.
En nuestra guía sobre VPN para empresas explicamos con más detalle esta tecnología.
¿Qué firewall necesita una empresa?
No todas las organizaciones necesitan la misma solución.
La elección dependerá de factores como número de usuarios y sedes, servicios publicados, accesos remotos, segmentación interna, aplicaciones y nivel de disponibilidad requerido.
Una pequeña oficina puede resolver sus necesidades con una arquitectura relativamente sencilla, mientras que una empresa con varias sedes, servidores publicados y diferentes redes internas puede necesitar controles más avanzados.
Lo importante no es instalar la solución con más funcionalidades, sino diseñar una política adaptada a la infraestructura y mantenerla correctamente.
El firewall como parte de la seguridad de red
El firewall sigue siendo una pieza fundamental para controlar comunicaciones y crear límites de seguridad.
Su eficacia depende de las reglas configuradas, de la arquitectura de red y de su mantenimiento.
Funciona mejor cuando se combina con segmentación, autenticación, actualizaciones, monitorización y copias de seguridad.
En ENDEOS ofrecemos servicios de redes y comunicaciones para empresas, diseñando y gestionando redes, firewall, VPN y conectividad empresarial según las necesidades de cada infraestructura.
Artículos relacionados:
- classic-editor-remember:
- block-editor