≡En resumen
- Un firewall filtra el tráfico según reglas: qué origen, qué destino, qué puerto y qué protocolo se permiten.
- La regla de oro es denegar todo por defecto y permitir solo lo que se necesita.
- Hay firewalls de red, que protegen el perímetro, y firewalls de aplicaciones web (WAF), que protegen webs y APIs.
- No sustituye al antivirus: el firewall controla conexiones y el antivirus detecta programas maliciosos.
- Un firewall mal configurado da una falsa sensación de seguridad: hay que revisar sus reglas y registros.
01 ¿Qué es un firewall o cortafuegos?
El nombre viene de la construcción: un firewall es el muro que impide que un incendio pase de un edificio o una parte de él a otra. En informática se aplicó en los años ochenta, cuando internet empezó a conectar redes que hasta entonces estaban aisladas. Los primeros filtros de paquetes se desarrollaron en Digital Equipment Corporation a finales de esa década, AT&T Bell Labs creó las pasarelas a nivel de circuito en 1989-1990 y en octubre de 1993 se publicó el Firewall Toolkit, base de los firewalls de aplicación.
02 Cómo funciona un firewall
-
1
Recibe el tráfico
Cada paquete o conexión que intenta entrar o salir pasa por el firewall, que está situado entre las dos zonas que separa.
-
2
Lee sus datos
Según su tipo, analiza la IP de origen y destino, el puerto y el protocolo, el estado de la conexión o incluso el contenido de la petición.
-
3
Compara con las reglas
Recorre la lista de reglas, normalmente en orden, hasta encontrar la que coincide: por ejemplo, «permitir TCP 443 desde cualquier origen al servidor web».
-
4
Aplica la acción
Permite el paso, lo rechaza avisando al emisor o lo descarta en silencio. Si ninguna regla coincide, se aplica la política por defecto.
-
5
Registra el evento
Guarda un log de conexiones permitidas y bloqueadas, que sirve para detectar ataques y revisar la configuración.
03 Tipos de firewall
| Tipo | Qué inspecciona | Punto fuerte | Limitación |
|---|---|---|---|
| Filtrado de paquetes | IP, puerto y protocolo de cada paquete por separado | Muy rápido y sencillo | No entiende conexiones ni contenido |
| Con estado (stateful) | Además, el estado de cada conexión | Solo acepta respuestas a conexiones iniciadas legítimamente | No analiza el contenido de las aplicaciones |
| Proxy o pasarela de aplicación | El protocolo de aplicación completo (HTTP, FTP, DNS…) | Control fino por aplicación | Más lento y costoso de mantener |
| Nueva generación (NGFW) | Estado, aplicaciones, usuarios, amenazas conocidas | Integra prevención de intrusiones y filtrado de URL | Precio y complejidad |
| De aplicaciones web (WAF) | Peticiones HTTP/HTTPS a una web o API | Frena inyección SQL, XSS y bots | Solo protege aplicaciones web |
Los cuatro primeros se agrupan como firewall de red: protegen el perímetro y el tráfico entre segmentos. El último, el firewall de aplicaciones web (WAF), trabaja en la capa de aplicación y es el que protege una web, una tienda online o una API frente a ataques que un firewall de red no ve, porque llegan por el puerto 443 permitido.
Firewall de hardware
Un equipo físico dedicado, o integrado en el router, que protege a toda la red de una oficina o centro de datos.
Firewall de software o de host
Un programa en cada equipo, como el firewall de Windows o de macOS, o nftables y ufw en Linux. Protege ese equipo aunque la red falle.
Firewall en la nube
Un servicio del proveedor cloud: grupos de seguridad, firewalls gestionados o WAF como servicio delante de tu web.
04 Firewall vs antivirus: diferencias
| Aspecto | Firewall | Antivirus |
|---|---|---|
| Qué controla | Conexiones y tráfico de red | Archivos y procesos del equipo |
| Cuándo actúa | Antes de que el tráfico llegue o salga | Cuando un archivo se descarga, se abre o se ejecuta |
| Qué frena | Accesos no autorizados, escaneos de puertos, conexiones sospechosas | Virus, troyanos, ransomware y otro malware |
| Qué no ve | Un archivo malicioso que llega por una conexión permitida | Un acceso remoto no autorizado a un servicio abierto |
05 Qué no hace un firewall
- ✓No filtra el tráfico que no pasa por él, como un portátil conectado a otra red.
- ✓No detiene ataques que llegan por un puerto permitido si no inspecciona el contenido.
- ✓No protege frente a errores del usuario, como abrir un adjunto infectado o dar su contraseña.
- ✓No corrige vulnerabilidades del software: solo reduce la exposición.
- ✓No sirve de nada con reglas demasiado permisivas o que nadie revisa.
06 Buenas prácticas para configurar un firewall
-
1
Documenta qué necesita cada servicio
Lista qué puertos y orígenes necesita tu web, tu correo o tu base de datos. Todo lo que no esté en la lista se bloquea.
-
2
Restringe la administración
SSH, paneles de hosting y bases de datos, solo desde IP conocidas o a través de VPN, nunca abiertos a todo internet.
-
3
Filtra también la salida
Limitar el tráfico saliente dificulta que un equipo infectado envíe datos o se comunique con el atacante.
-
4
Activa y revisa los registros
Los logs muestran intentos de acceso y reglas que nadie usa. Revísalos o envíalos a un sistema de alertas.
-
5
Revisa las reglas periódicamente
Elimina las reglas temporales y las de servicios que ya no existen. Las reglas olvidadas son una puerta abierta.
En una web, estas tareas forman parte de un buen mantenimiento web, junto a las actualizaciones y las copias. Si estás construyendo una plataforma propia, conviene que tu empresa de desarrollo web defina la arquitectura de red y el WAF desde el principio, y lo mismo aplica a cualquier proyecto de diseño y desarrollo web que vaya a manejar datos de clientes.
Preguntas frecuentes sobre Firewall
Es un sistema que controla el tráfico entre redes o equipos y bloquea las conexiones no autorizadas según unas reglas. Sirve para reducir la exposición de tus sistemas a internet y a otras redes.
Significa cortafuegos. El término viene de los muros cortafuegos de los edificios, que impiden que un incendio se propague.
Según lo que inspeccionan: de filtrado de paquetes, con estado, proxy de aplicación, de nueva generación (NGFW) y de aplicaciones web (WAF). Según dónde se instalan: de hardware, de software o de host y en la nube.
No. El firewall controla las conexiones de red y el antivirus detecta y elimina programas maliciosos en el equipo. Se necesitan los dos.
Sí, pero normalmente ya lo tienes: el router doméstico y los sistemas operativos como Windows y macOS incluyen uno. Lo importante es no desactivarlo y no abrir puertos sin necesidad.
El firewall de red filtra por direcciones, puertos y conexiones; el WAF analiza el contenido de las peticiones web para frenar ataques como la inyección SQL o el cross-site scripting.
Sí. El servidor debe tener un firewall de red que solo deje abiertos los puertos web, y conviene añadir un WAF delante de la web, sobre todo si tiene formularios, área de clientes o tienda online.
Fuentes consultadas
Sobre el autor
Germán Gutiérrez
Development Manager en appyweb
Dirige el equipo de desarrollo de appyweb: aplicaciones web y móviles, SaaS, integraciones y arquitectura de software.
Ver perfil en LinkedIn ↗