¿Qué es un cortafuegos? Reglas, puertos y acceso a la red
Un cortafuegos (firewall) permite o bloquea el tráfico de red según unas reglas. Puede funcionar en un ordenador, en un router doméstico o en el perímetro de una red en la nube. Las reglas controlan el acceso a las conexiones, pero no convierten en segura una aplicación por el mero hecho de permitirla.
Cómo funcionan las reglas del cortafuegos
Una regla puede tener en cuenta el sentido de la conexión, las direcciones, el protocolo, el puerto y, a veces, la aplicación. Un router doméstico suele limitar el tráfico entrante no solicitado, mientras que el cortafuegos del sistema operativo controla el tráfico que llega al propio dispositivo. Los cortafuegos con estado pueden dejar pasar las respuestas a conexiones salientes ya establecidas sin abrir todos los puertos de entrada.
El tráfico puede atravesar varias capas. Un grupo de seguridad en la nube puede permitir un puerto que el cortafuegos del equipo bloquea. Una regla local que permite el acceso también puede no servir de nada si el router no redirige el puerto o si el proveedor de Internet usa CGNAT. Identifique cada capa antes de hacer cambios de gran alcance.
Por qué un servicio no es accesible
Compruebe primero que la aplicación está en marcha y escuchando en el protocolo, el puerto y la dirección de red esperados. Un servicio vinculado solo a loopback está disponible localmente, pero no desde fuera. Revise después la regla del equipo, la redirección del router y las restricciones del proveedor. Una prueba de puertos externa muestra la accesibilidad desde su punto de observación, pero no puede señalar la única causa del fallo.
Distinga entre una conexión rechazada, un tiempo de espera agotado y un error de la aplicación. Apuntan a puntos de fallo distintos, aunque el filtrado puede enmascararlos. Haga la prueba desde una red realmente independiente: algunos routers tratan las conexiones a su propia dirección pública de forma distinta al tráfico externo. Para comprobar la accesibilidad desde fuera de su red, utilice la comprobación de puertos abiertos de 2IP; si el resultado es «cerrado», todavía tendrá que revisar el cortafuegos local, NAT y el servicio que escucha.
Cómo cambiar una regla con más seguridad
Permita solo el acceso que necesita el servicio y, cuando sea posible, desde un conjunto limitado de direcciones de origen. Mantenga el servicio actualizado y exija una autenticación adecuada. Documente por qué existe cada regla y elimínela cuando retire el servicio. Bloquear todas las conexiones salientes puede impedir las actualizaciones o el DNS, así que conozca las dependencias antes de aplicar una regla.
Un cortafuegos no evita el phishing, las descargas peligrosas ni la explotación de un servicio permitido. Combínelo con actualizaciones, copias de seguridad y una buena seguridad de las cuentas. Después de un cambio, verifique que funciona la conexión necesaria y que no ha quedado nada expuesto sin querer.
En IPv6, compruebe la dirección real de la interfaz y la política del cortafuegos en lugar de dar por hecho que se aplican las reglas de NAT de IPv4. Una aplicación puede escuchar en una familia de direcciones mientras el cliente intenta conectarse por la otra.
ICMP es mucho más que ping
ICMP transporta los mensajes Echo, pero también información de control y de error que utilizan las herramientas de diagnóstico y mecanismos como Path MTU Discovery. Bloquearlo sin criterio puede provocar fallos difíciles de diagnosticar. Más detalles en las guías sobre ICMP y sobre la MTU.