¿Qué es un firewall?

Firewall: definición y función

Un firewall revisa cada conexión que entra o sale de una red y decide, según reglas, si se permite o se descarta. Suele situarse entre la red de la empresa e internet, pero también puede separar zonas internas entre sí, por ejemplo oficina, producción y wifi de invitados.

Se distingue entre firewalls de red, que controlan el tráfico de una sede completa como dispositivo propio o appliance virtual, y firewalls de host, que se ejecutan directamente en un ordenador o servidor, como el firewall integrado en Windows. Ambos se complementan: uno protege el perímetro de la red; el otro, el dispositivo individual.

Cómo funciona un firewall

La forma más sencilla, el filtro de paquetes, compara el remitente, el destino, el puerto y el protocolo de cada paquete de datos con una lista de reglas. Los firewalls con inspección de estado (stateful) recuerdan además qué conexiones se iniciaron desde dentro y solo dejan entrar las respuestas correspondientes. Rige el principio de que todo lo que no está permitido expresamente se bloquea.

Los firewalls de nueva generación (NGFW) examinan el flujo de datos con más profundidad. Reconocen aplicaciones con independencia del puerto, inspeccionan el tráfico cifrado mediante inspección TLS si se desea e incorporan con frecuencia un sistema de prevención de intrusiones (IPS), filtro web y protección contra malware. Para sitios web existen además firewalls de aplicaciones web especializados.

Ejemplo práctico: taller metalúrgico con wifi de invitados

Una empresa de construcción metálica con 25 empleados opera PC de oficina, una máquina CNC con conexión de red, impresoras de red y una wifi para clientes y proveedores, todo en la misma red tras el router del proveedor de internet. Quien se conecte a la wifi de invitados podría, en teoría, alcanzar también el servidor de archivos y el control de la máquina.

Un firewall con segmentos de red separados lo resuelve: los invitados solo salen a internet, la máquina solo habla con el ordenador de programación y los PC de oficina acceden al servidor de archivos, pero no al control de las máquinas. Los accesos remotos se realizan exclusivamente por VPN. Las reglas están documentadas, de modo que también un sustituto pueda entenderlas.

Límites, errores habituales y puesta en práctica

Un firewall es la base, pero no una protección total: los correos de phishing, las contraseñas robadas o las memorias USB infectadas lo eluden, y el tráfico cifrado solo puede inspeccionarse con un esfuerzo adicional. Lo decisivo son reglas limpias, un firmware actualizado y la combinación con protección de endpoints, actualizaciones y copias de seguridad.

Nano Concepts configura firewalls en el marco de despliegues IT (rollouts) y del servicio continuo, documenta los conjuntos de reglas, segmenta redes, instala actualizaciones de firmware y supervisa los sistemas mediante mantenimiento remoto. Si lo desea, revisamos también las configuraciones existentes en busca de reglas heredadas y excepciones superfluas antes de que se conviertan en un riesgo de seguridad.

• Reglas demasiado generosas, como «todo desde cualquier sitio permitido», que nunca se depuran
• Interfaz de administración accesible desde internet o con la contraseña predeterminada
• Firmware sin actualizar durante años
• Sin registro de eventos o sin nadie que revise los logs
• Red plana sin separación entre invitados, oficina y máquinas