¿Qué es un firewall?

Un firewall puede ser un equipo físico que protege toda una red o un programa que se ejecuta en el mismo dispositivo que resguarda. Tu router de casa tiene uno, tu laptop tiene uno, y el servidor donde se aloja tu sitio web también debería tener el suyo.

En entornos empresariales como los centros de datos, los firewalls aplican conjuntos de reglas mucho más complejos, pero la tarea nunca cambia: decidir qué conexiones pasan y cuáles no.

Cómo funciona un firewall

Un firewall compara cada conexión con un conjunto de reglas. Cada regla identifica el tráfico según criterios como las direcciones IP de origen y destino, el puerto y el protocolo, e indica si ese tráfico se permite o se bloquea. Los administradores también definen una política predeterminada, muchas veces por separado para el tráfico entrante y el saliente, que decide qué pasa cuando ninguna regla coincide. La forma de evaluar las reglas varía según el firewall: muchos recorren la lista en orden y aplican la primera coincidencia, mientras que Firewall de Windows ignora el orden y da prioridad a las reglas explícitas de bloqueo sobre las de permiso.

Para cualquier servicio expuesto a internet, la configuración recomendada es el bloqueo predeterminado del tráfico entrante: bloquear todo lo que no hayas permitido de manera explícita. Así solo describes el tráfico que esperas, en lugar de intentar predecir cada ataque que a alguien se le pueda ocurrir. Eso sí, no des por hecho que tu firewall viene configurado así: Firewall de Windows, por ejemplo, bloquea el tráfico entrante no solicitado de manera predeterminada, pero permite todo el tráfico saliente a menos que una regla indique lo contrario.

Los firewalls con estado (stateful), los más comunes hoy, dan seguimiento a las conexiones establecidas, así que las respuestas al tráfico que tú inicias entran de forma automática. Un conjunto típico de reglas con bloqueo predeterminado para un servidor web se ve así: permitir los puertos TCP 80 y 443 desde cualquier dirección para que los visitantes carguen el sitio, permitir SSH en el puerto 22 solo desde tu propia dirección IP para frenar los ataques de fuerza bruta contra SSH, y bloquear todo lo demás. Un bot que sondea el puerto 3306 en busca de una base de datos expuesta no coincide con ninguna regla y solo recibe silencio.

Todos los firewalls inspeccionan paquetes; esa es la tarea básica. Los firewalls avanzados de nueva generación van más allá con inspección profunda de paquetes, detección y prevención de intrusiones, y filtrado en la capa de aplicación, que detecta amenazas como el malware escondido dentro de tráfico que unas simples reglas de puertos dejarían pasar.

Tipos de firewalls

Los firewalls se agrupan según dónde se ejecutan y qué inspeccionan:

• Firewalls de red: filtran el tráfico en el perímetro de una red por dirección IP, puerto y protocolo. Los de filtrado de paquetes revisan cada paquete por separado; los firewalls con estado también dan seguimiento a la conexión a la que pertenece.
• Firewalls de host: vienen integrados en el sistema operativo de un solo dispositivo: Firewall de Windows, que llega activado de manera predeterminada en todas las ediciones de Windows; el firewall integrado de macOS, y herramientas de Linux como ufw e iptables.
• Firewalls de aplicaciones web (WAF, por sus siglas en inglés): filtran las solicitudes HTTP que llegan a un sitio web y bloquean ataques en la capa de aplicación, como la inyección SQL y el cross-site scripting. Nuestra guía de firewalls de aplicaciones web explica cómo configurar uno.
• Firewalls proxy: se colocan entre dos redes como puerta de enlace para una aplicación específica, de modo que los sistemas externos nunca se conectan directamente con los internos. Ese aislamiento aumenta la seguridad, pero puede reducir la velocidad.
• Firewalls en la nube: se ejecutan en la infraestructura de un proveedor, no en hardware propio, y filtran el tráfico antes de que llegue a tu red.

Firewall de red vs. firewall de aplicaciones web

Las dos capas responden preguntas distintas, y un sitio web público normalmente necesita ambas:

• Un firewall de red con filtrado de paquetes básico decide solo a partir de direcciones IP, puertos y protocolos; no examina el contenido de una solicitud web. Los firewalls de red de nueva generación también pueden inspeccionar el tráfico de las aplicaciones, pero los ataques web no son su especialidad.
• Un WAF se especializa en HTTP. Aplica reglas propias de aplicaciones web a las solicitudes que llegan a tu sitio y bloquea ataques como la inyección SQL y el cross-site scripting, que entran por el mismo puerto 443 que un firewall de red tiene que dejar abierto.

La capa de red suele ser responsabilidad de tu proveedor de hosting. Como dueño de un sitio, la capa que te toca verificar es el WAF, porque protege el tráfico que tu sitio necesita aceptar para funcionar.

¿Necesitas un firewall para tu sitio web?

Sí. Un servidor web público recibe escaneos de puertos y sondeos de bots a toda hora en busca de servicios abiertos, y un firewall limita tu exposición a los puertos que realmente usas. Quién lo configura depende del tipo de hosting: en el hosting web, el proveedor administra el firewall; en un VPS o un servidor dedicado con acceso root, activar y configurar el firewall del sistema operativo te toca a ti.

Todos los planes de DreamHost incluyen firewalls de red y de aplicaciones web sin costo adicional, junto con protección contra ataques de denegación de servicio distribuido (DDoS). Antes de instalar o pagar algo extra, revisa qué incluye ya tu proveedor.

Cuando el firewall causa problemas

El error clásico es quedarte fuera de tu propio servidor: si activas un firewall en un servidor remoto sin permitir primero SSH en el puerto 22, la conexión que usarías para corregir el error es justo la que acabas de bloquear. El error silencioso es un firewall con una política predeterminada configurada para permitir el tráfico entrante: no filtra nada, aunque parezca que te protege.

Dos hábitos evitan ambos problemas: mantén una segunda vía de acceso mientras pruebas reglas nuevas, como la consola web de tu proveedor, y confirma que la política predeterminada del tráfico entrante esté configurada para bloquear antes de confiar en la configuración.