¿Qué es un firewall?

Un firewall puede ser un equipo de hardware que protege toda una red o un programa que se ejecuta en un dispositivo para protegerlo. Tu router doméstico tiene uno, tu laptop tiene otro, y el servidor donde vive tu sitio web también debería tener el suyo.

En entornos empresariales, como los centros de datos, los firewalls aplican conjuntos de reglas mucho más complejos, pero la tarea nunca cambia: decidir qué conexiones pasan y cuáles no.

¿Cómo funciona un firewall?

Un firewall compara cada conexión con un conjunto de reglas. Cada regla identifica el tráfico por criterios como las direcciones IP de origen y destino, el puerto y el protocolo, e indica si ese tráfico se permite o se bloquea. Los administradores también definen una política predeterminada, muchas veces por separado para el tráfico entrante y el saliente, que decide qué pasa cuando ninguna regla coincide. La forma de evaluar las reglas varía según el firewall: muchos recorren la lista en orden y aplican la primera coincidencia, mientras que el Firewall de Windows ignora el orden y da prioridad a las reglas de bloqueo explícitas sobre las de permiso.

Para cualquier servicio expuesto a internet, la configuración recomendada es la denegación predeterminada del tráfico entrante: bloquear todo lo que no hayas permitido de manera explícita. Así solo describes el tráfico que esperas, en lugar de predecir cada ataque que alguien pueda inventar. Eso sí, no des por hecho que tu firewall viene así de fábrica: el Firewall de Windows, por ejemplo, bloquea el tráfico entrante no solicitado, pero permite todo el saliente a menos que una regla diga lo contrario.

Los firewalls con estado (stateful), los más comunes hoy, dan seguimiento a las conexiones establecidas: las respuestas al tráfico que tú iniciaste regresan de forma automática. Un conjunto típico de reglas de denegación predeterminada para un servidor web se ve así: permitir los puertos 80 y 443 del Protocolo de Control de Transmisión (TCP) desde cualquier dirección para que los visitantes carguen el sitio, permitir el protocolo Secure Shell (SSH) en el puerto 22 solo desde tu propia dirección IP para frenar los ataques de fuerza bruta contra el inicio de sesión, y bloquear todo lo demás. Un bot que sondea el puerto 3306 en busca de una base de datos expuesta no coincide con ninguna regla y solo recibe silencio.

Todo firewall inspecciona paquetes; ese es el trabajo básico. Los firewalls avanzados, de próxima generación, van más allá con inspección profunda de paquetes, detección y prevención de intrusiones y filtrado en la capa de aplicación, capaz de atrapar amenazas como el malware escondido en tráfico que unas reglas simples basadas en puertos dejarían pasar.

Tipos de firewalls

Los firewalls se agrupan según dónde se ejecutan y qué inspeccionan:

• Firewalls de red: filtran el tráfico en el borde de una red por dirección IP, puerto y protocolo. Los de filtrado de paquetes revisan cada paquete por separado; los firewalls con estado también dan seguimiento a la conexión a la que pertenece el paquete.
• Firewalls de host: vienen integrados en el sistema operativo de un dispositivo: el Firewall de Windows, que llega activado de fábrica en todas las ediciones de Windows; el firewall integrado de macOS; y herramientas de Linux como ufw e iptables.
• Firewalls de aplicaciones web (WAF): filtran las solicitudes del Protocolo de Transferencia de Hipertexto (HTTP) que llegan a un sitio web y bloquean ataques en la capa de aplicación, como la inyección de Lenguaje de Consulta Estructurada (SQL) y el cross-site scripting. Nuestra guía de firewalls de aplicaciones web explica cómo configurar uno.
• Firewalls proxy: se colocan entre dos redes como puerta de enlace de una aplicación específica, de modo que los sistemas externos nunca se conectan directamente con los internos. Ese aislamiento suma seguridad, pero puede reducir la velocidad.
• Firewalls en la nube: se ejecutan en la infraestructura de un proveedor, no en hardware propio, y filtran el tráfico antes de que llegue a tu red.

Firewall de red vs. firewall de aplicaciones web

Las dos capas responden preguntas distintas, y un sitio web público suele necesitar ambas:

• Un firewall de red básico, de filtrado de paquetes, decide solo a partir de direcciones IP, puertos y protocolos; no examina el contenido de una solicitud web. Los firewalls de red de próxima generación también pueden inspeccionar tráfico de aplicaciones, pero los ataques web no son su especialidad.
• Un WAF se especializa en HTTP: aplica reglas propias de aplicaciones web a las solicitudes que llegan a tu sitio y bloquea ataques como la inyección SQL y el cross-site scripting, que entran por el mismo puerto 443 que un firewall de red tiene que dejar abierto.

La capa de red normalmente es tarea de tu proveedor de hosting. Como dueño de un sitio, la capa que te toca verificar es el WAF, porque protege el tráfico que tu sitio debe aceptar para funcionar.

¿Necesitas un firewall para tu sitio web?

Sí. Un servidor web público recibe a toda hora escaneos de puertos y sondeos de bots que buscan servicios abiertos, y un firewall limita tu exposición a los puertos que de verdad usas. Quién lo configura depende del tipo de hosting: con hosting web, el proveedor administra el firewall; en un VPS o un servidor dedicado con acceso root, activar y configurar el firewall del sistema operativo te corresponde a ti.

Todos los planes de DreamHost incluyen firewalls de red y de aplicaciones web sin costo adicional, junto con protección contra ataques de denegación de servicio distribuido (DDoS). Antes de instalar o pagar algo extra, revisa qué incluye ya tu proveedor.

Cuando un firewall sale mal

El error clásico es quedarte fuera: si activas un firewall en un servidor remoto sin permitir antes SSH en el puerto 22, bloqueas justo la conexión que usarías para corregir el error. El fallo silencioso es un firewall con una política predeterminada que permite todo el tráfico entrante: no filtra nada, aunque parezca protección.

Dos hábitos evitan ambos problemas: mantén una vía de acceso alterna mientras pruebas reglas nuevas, como la consola web de tu proveedor, y confirma que la política predeterminada para el tráfico entrante esté configurada para denegar antes de confiar en la configuración.