Qué es un firewall y cómo configurarlo
Autor: Redacción Domeny.ForSale Publicado
En breve: Un firewall, o cortafuegos, controla las conexiones de un dispositivo o una red y las permite o bloquea según unas reglas establecidas. Ayuda a limitar los accesos no deseados, pero no sustituye las actualizaciones, el antivirus ni la precaución ante los fraudes. En casa, un cortafuegos del sistema activo y un router bien configurado suelen ser un punto de partida suficiente.
¿Cómo funciona un cortafuegos?
Los datos circulan por la red en paquetes, es decir, pequeñas porciones de información. El cortafuegos evalúa esos paquetes y las conexiones según sus reglas. Puede tener en cuenta la dirección IP del emisor o del destinatario, la dirección del tráfico, el tipo de protocolo y el puerto: un número que identifica el servicio con el que se quiere establecer la comunicación.
Por ejemplo, un sitio que utiliza HTTPS, que permite establecer una conexión cifrada con él, suele estar disponible a través del puerto 443. El cortafuegos del servidor puede permitir el tráfico público hacia ese puerto y bloquear el acceso al puerto de la base de datos. Así, los usuarios pueden abrir el sitio, pero no conectarse directamente a su base de datos.
Muchos cortafuegos realizan un seguimiento del estado de las conexiones. Reconocen que la respuesta de un sitio web forma parte de una comunicación iniciada por el navegador, y no de un intento de acceso independiente desde el exterior. Por eso, bloquear las conexiones entrantes no solicitadas no tiene por qué interferir con la navegación habitual por internet.
Las reglas también pueden aplicarse al tráfico saliente, por ejemplo, para impedir que una aplicación concreta se conecte a internet. Sin embargo, no todos los cortafuegos aplican por defecto un control restrictivo a estas conexiones.
Dónde actúa un firewall: ordenador, router y nube
Un cortafuegos puede proteger un solo dispositivo o controlar el tráfico entre redes enteras. Estas soluciones se complementan porque actúan en distintos puntos:
| Tipo de cortafuegos | Qué controla | Uso habitual |
|---|---|---|
| Del sistema | Conexiones de un ordenador o servidor concreto | Protección del portátil también fuera de casa |
| En el router o en un dispositivo independiente | Tráfico que pasa de una red a otra | Separación de la red doméstica o empresarial de internet |
| En la nube | Acceso a los recursos según las reglas del servicio | Restricción del acceso a servidores y bases de datos |
Por tanto, un firewall no tiene por qué ser un aparato independiente. Puede ser una función del sistema operativo, un programa instalado en el router o un servicio ofrecido por el proveedor de la nube. Hay que consultar la documentación de cada solución para conocer su alcance y su configuración predeterminada.
No debe confundirse un cortafuegos con NAT. NAT es un mecanismo de traducción de direcciones que permite que varios dispositivos compartan una dirección IPv4 pública. En una configuración doméstica típica, dificulta las conexiones entrantes no solicitadas, pero no sustituye una política de filtrado del tráfico. Con IPv6, donde los dispositivos pueden tener direcciones globales, también hacen falta reglas de cortafuegos adecuadas.
¿De qué protege un firewall y qué no puede detener?
Un cortafuegos restringe el acceso a servicios que no deberían ser públicos y puede bloquear la comunicación entre partes separadas de una red. Por ejemplo, la red para invitados de una empresa puede permitir el acceso a internet, pero no las conexiones con el ordenador de contabilidad. El firewall solo hace efectiva esa separación si el tráfico realmente pasa por él.
Sin embargo, activar el cortafuegos no basta para protegerse de todas las amenazas. Si un usuario introduce su contraseña en una página falsa accesible mediante una conexión HTTPS permitida, un firewall básico normalmente no lo impedirá. Tampoco corregirá las vulnerabilidades de una aplicación accesible al público ni garantizará la protección frente a un ataque que sature la conexión.
El antivirus y el firewall cumplen funciones distintas. El antivirus detecta archivos o comportamientos maliciosos en el dispositivo, mientras que el cortafuegos controla las comunicaciones de red. Los paquetes de seguridad pueden combinar ambas funciones, pero una no sustituye a la otra.
Una solución diferente es el WAF, o cortafuegos de aplicaciones web. Analiza las solicitudes dirigidas al sitio web o a la API y puede bloquear determinados intentos de aprovechar fallos de la aplicación. No es lo mismo que un cortafuegos convencional que filtra por puertos, y no elimina la necesidad de actualizar el software del sitio.
¿Cómo configurar el cortafuegos de casa de forma segura?
En tu ordenador personal, empieza por comprobar que el cortafuegos del sistema esté activo para todos los perfiles de red que utilizas. El perfil público está pensado para redes que no son de confianza, como el Wi-Fi de un hotel; suele restringir más la detección del dispositivo y el uso compartido de recursos.
Si el cortafuegos impide que un programa funcione, no desactives toda la protección. Sigue este breve procedimiento:
- Identifica qué función no funciona y si realmente necesita conexiones entrantes.
- Consulta en la documentación oficial del programa los puertos o las reglas de acceso necesarios.
- Añade una excepción lo más limitada posible: para una aplicación, una red o una dirección de origen concreta.
- Comprueba que funcione y elimina la excepción cuando deje de ser necesaria.
Por ejemplo, compartir archivos entre un portátil y un ordenador de casa puede requerir un permiso en una red privada de confianza. Eso no significa que debas permitir el acceso a ese mismo servicio desde el Wi-Fi de un hotel o desde todo internet.
En el router, revisa también las redirecciones de puertos, es decir, los ajustes que dirigen las conexiones desde internet hacia un dispositivo de la red interna. Cada redirección debe tener una finalidad concreta; no habilites un acceso amplio solo para resolver un problema con una aplicación.
¿Qué comprobar antes de cambiar las reglas de un servidor?
En un servidor, un buen punto de partida es bloquear las conexiones entrantes salvo las destinadas a los servicios que hayas decidido ofrecer. Conviene limitar el acceso administrativo a direcciones de confianza o a una VPN, es decir, un túnel cifrado hacia una red privada.
Antes de endurecer las reglas, asegúrate de disponer de acceso de emergencia mediante la consola del proveedor. Una regla incorrecta también puede dejar al administrador sin acceso. Si la protección depende tanto del cortafuegos del sistema como de las reglas de la nube, revisa ambas capas.
El primer paso práctico es revisar las excepciones existentes: determina quién necesita cada servicio permitido, desde dónde debería poder acceder a él y si ese permiso sigue siendo necesario.
Consulta también: ¿Qué es 2FA?
Lee también
