Qué es un firewall y cómo protege una red

Un firewall, también llamado cortafuegos, es un sistema de seguridad que controla el tráfico de red que entra y sale de un equipo o de una red completa, decidiendo qué conexiones se permiten y cuáles se bloquean en función de un conjunto de reglas previamente definidas. Se sitúa conceptualmente como una barrera entre lo que se quiere proteger y el exterior, e inspecciona todo el tráfico que intenta cruzar en ambos sentidos, evaluando cada conexión contra sus reglas y dejándola pasar solo si las cumple. La analogía más útil es la de un guardia de seguridad en la entrada de un edificio, que consulta una lista para decidir quién puede pasar y quién no. Su propósito es actuar como primera línea de defensa, impidiendo accesos no autorizados y limitando la exposición de los servicios y dispositivos a lo estrictamente necesario. Por ejemplo, un firewall puede permitir que los usuarios accedan a un servidor web pero bloquear cualquier intento de conexión desde el exterior a servicios internos de administración que no deberían ser accesibles desde fuera. Es importante entender que el firewall es una capa de defensa fundamental pero no una solución completa por sí sola: protege muy bien contra ciertos tipos de amenazas, como conexiones no autorizadas a servicios cerrados, pero no puede detener otras, como el engaño mediante phishing o el tráfico malicioso que llega a través de un puerto legítimamente abierto, por lo que debe combinarse con otras medidas de seguridad dentro de una estrategia de defensa en capas.

Un firewall decide qué permitir y qué bloquear evaluando cada conexión contra un conjunto de reglas que se basan en varios datos característicos del tráfico. Los criterios más habituales son la dirección de origen y la de destino, es decir, las direcciones IP de quién envía y quién recibe la comunicación, lo que permite, por ejemplo, aceptar tráfico solo desde ciertas ubicaciones; el puerto de destino, que indica a qué servicio o aplicación va dirigida la conexión, lo que permite abrir unos servicios y cerrar otros, como permitir la web pero no el acceso remoto; el protocolo de transporte empleado; y la dirección del tráfico, distinguiendo si la conexión entra desde el exterior o sale hacia él. Con la combinación de estos criterios se escriben reglas concretas que definen exactamente qué está permitido. Los firewalls más sencillos toman decisiones examinando cada paquete de forma aislada según estos datos, mientras que los firewalls modernos son capaces de mantener el estado de las conexiones, lo que significa que recuerdan qué conexiones se han iniciado legítimamente desde el interior y permiten automáticamente las respuestas correspondientes, bloqueando en cambio los intentos de conexión no solicitados desde fuera. Los firewalls más avanzados pueden incluso inspeccionar el contenido a nivel de aplicación para tomar decisiones más finas. En todos los casos, la lógica de fondo es la misma: comparar cada conexión con las reglas y actuar en consecuencia, permitiendo lo que encaja y bloqueando lo demás.

La diferencia principal entre un firewall de red y uno de equipo está en el ámbito que protegen y en dónde se ubican, y ambos son complementarios más que excluyentes. Un firewall de red protege toda una red en su conjunto y se sitúa en el perímetro de esa red, es decir, en el punto por el que el tráfico entra y sale hacia el exterior, habitualmente integrado en el router o en un equipo o dispositivo dedicado a esa función. Su papel es filtrar el tráfico entre la red interna y el exterior, controlando de forma centralizada qué comunicaciones se permiten para todos los dispositivos de la red de una sola vez. Un firewall de equipo, en cambio, protege un único dispositivo concreto y está integrado en el sistema operativo de ese equipo, controlando específicamente el tráfico que entra y sale de él. Su ventaja es que ofrece una capa de defensa adicional incluso dentro de la propia red local, lo que resulta valioso porque el firewall de red no protege frente a amenazas que ya se encuentran dentro de la red, como un dispositivo comprometido que intente atacar a otros de la misma red. Por eso la estrategia recomendada es combinar ambos: el firewall de red actúa como primera barrera en el perímetro, filtrando lo que llega desde fuera, y el firewall de equipo aporta una segunda barrera que protege cada dispositivo individualmente, siguiendo el principio de defensa en profundidad, según el cual varias capas de protección independientes son más robustas que una sola.

La política por defecto de denegar es un principio de configuración de firewalls, considerado el más seguro, que consiste en bloquear todo el tráfico de forma predeterminada y permitir después, de manera explícita, únicamente lo que es estrictamente necesario. Se contrapone a la política opuesta, la de permitir por defecto, que deja pasar todo el tráfico y solo bloquea aquello que se ha identificado específicamente como indeseado. La razón por la que denegar por defecto es mucho más seguro tiene que ver con cómo se comportan ambas políticas ante lo desconocido o lo no anticipado. Con la política de permitir por defecto, cualquier amenaza nueva, servicio olvidado o vía de acceso que no se haya previsto y bloqueado explícitamente quedará permitida, de modo que la seguridad depende de que se haya sido capaz de anticipar y vetar absolutamente todo lo malo, lo cual es prácticamente imposible. Con la política de denegar por defecto, en cambio, ocurre lo contrario: todo lo que no se haya autorizado de forma expresa queda automáticamente bloqueado, de manera que un servicio olvidado o una vía no prevista no supone un agujero, porque por defecto está cerrado. Aplicar esta política en la práctica significa empezar la configuración cerrando todo el tráfico y luego ir abriendo, una por una, solo las conexiones y servicios que realmente deben estar accesibles, con reglas lo más específicas posible. Este enfoque encaja con el principio general de mínimo privilegio en seguridad, y es la base de una configuración de firewall robusta, ya que traslada la carga de la prueba: en lugar de tener que justificar por qué se bloquea algo, hay que justificar por qué se permite.

No, un firewall no protege de todo, y creer lo contrario es un error peligroso que puede llevar a descuidar otras defensas necesarias. El firewall es una capa de seguridad muy importante y eficaz frente a un tipo concreto de amenazas, principalmente los intentos de conexión no autorizados a servicios que no deberían ser accesibles, y el control de qué tráfico entra y sale según su origen, destino y puerto. Sin embargo, hay muchas amenazas que un firewall, por su propia naturaleza, no puede detener. Por ejemplo, no protege frente al phishing ni la ingeniería social, porque en esos casos es el propio usuario quien, engañado, entrega voluntariamente sus credenciales o ejecuta algo dañino, sin que se produzca ninguna conexión no autorizada que el firewall pueda bloquear. Tampoco protege frente al tráfico malicioso que viaja a través de un puerto o servicio legítimamente abierto, como un ataque dirigido contra una aplicación web accesible por el puerto que el firewall permite, ya que desde el punto de vista del firewall esa conexión es válida. Del mismo modo, no detiene amenazas que ya se encuentran dentro de la red, ni el malware que llega por otras vías como una descarga o un dispositivo externo. Por todo ello, el firewall debe entenderse como una pieza dentro de una estrategia de defensa en capas, que incluye además mantener el software actualizado, usar autenticación fuerte, cifrar las comunicaciones, formar a los usuarios frente al engaño, y aplicar otras medidas complementarias. La seguridad real nunca descansa en un único mecanismo, sino en la combinación coordinada de varios.

Sí, en general es muy recomendable mantener activado el firewall integrado en el sistema operativo, ya que aporta una capa de defensa valiosa a nivel del propio equipo con muy pocos inconvenientes. Los sistemas operativos modernos incluyen un firewall de equipo que suele venir activado por defecto con una configuración razonable, orientada precisamente a bloquear las conexiones entrantes no solicitadas mientras permite el tráfico que el propio usuario inicia, lo que protege el dispositivo sin interferir con el uso normal. Este firewall de equipo es especialmente útil porque protege incluso dentro de redes en las que no se puede confiar plenamente en los demás dispositivos, como una red wifi pública, y complementa al firewall de la red, cubriendo el hueco de las amenazas que pudieran provenir de la propia red local. Un error frecuente que conviene evitar es desactivar el firewall para resolver algún problema de conexión de una aplicación; cuando una aplicación legítima no funciona por culpa del firewall, la solución correcta no es apagar toda la protección, sino crear una regla específica que permita justamente el tráfico que esa aplicación necesita, manteniendo el resto bloqueado. Desactivar el firewall por completo deja el equipo expuesto y rara vez es la respuesta adecuada. Por tanto, la recomendación es clara: mantener el firewall del sistema operativo activado, dejar su configuración por defecto salvo que haya una razón concreta para ajustarla, y cuando sea necesario permitir algo, hacerlo mediante reglas específicas en lugar de desactivar la protección global.