≡En resumen
- Un firewall de red decide qué paquetes pasan entre redes según IP, puerto, protocolo y estado de la conexión.
- Los firewalls con estado (stateful) recuerdan las conexiones abiertas y solo aceptan respuestas legítimas.
- Los de nueva generación (NGFW) añaden control de aplicaciones, prevención de intrusiones e inspección TLS.
- No inspecciona el contenido de las peticiones web como un WAF: para proteger una web necesitas los dos.
- Segmentar la red interna con firewalls limita el daño si un equipo queda comprometido.
01 ¿Qué es un firewall de red?
Se le llama «de red» para distinguirlo del firewall de host, que protege un único equipo, y del firewall de aplicaciones web (WAF), que protege una web leyendo el contenido de las peticiones HTTP. El de red protege redes completas o segmentos de ellas y trabaja sobre todo con la información de cabecera de los paquetes: de dónde vienen, a dónde van y por qué puerto.
02 Cómo funciona un firewall de red
Cada paquete lleva una cabecera con la dirección IP de origen y destino, el protocolo (TCP, UDP, ICMP) y los puertos. El firewall compara esos datos con su lista de reglas, en orden, y aplica la acción de la primera que coincide. Si ninguna coincide, se aplica la política por defecto, que en una configuración segura es denegar.
| N.º | Origen | Destino y puerto | Acción | Para qué |
|---|---|---|---|---|
| 1 | Cualquiera | Servidor web, TCP 443 | Permitir | Tráfico HTTPS de los visitantes |
| 2 | Cualquiera | Servidor web, TCP 80 | Permitir | Redirigir HTTP a HTTPS |
| 3 | IP de la oficina | Servidor web, TCP 22 | Permitir | Administración por SSH solo desde la oficina |
| 4 | Servidor web | Base de datos, TCP 3306 | Permitir | La web consulta la base de datos |
| 5 | Cualquiera | Cualquiera | Denegar | Política por defecto: todo lo demás se bloquea |
03 Tipos de firewall de red
Filtrado de paquetes (stateless)
Evalúa cada paquete de forma aislada, sin memoria. Muy rápido, pero hay que permitir expresamente el tráfico de respuesta, lo que abre más huecos.
Inspección con estado (stateful)
Mantiene una tabla de conexiones activas. Si un equipo interno abre una conexión, acepta sus respuestas y rechaza paquetes que no pertenezcan a ninguna conexión conocida.
Proxy y pasarela de circuito
Hace de intermediario: el cliente se conecta al proxy y este a su vez al destino, de modo que las dos redes nunca se tocan directamente.
Nueva generación (NGFW)
Firewall con estado que además identifica aplicaciones y usuarios, integra prevención de intrusiones (IPS), filtrado de URL e inspección del tráfico cifrado.
Firewall en la nube (FWaaS)
El proveedor cloud o de seguridad ofrece el firewall como servicio: grupos de seguridad, firewalls gestionados de red o protección de oficinas y teletrabajadores desde la nube.
| Característica | Grupo de seguridad (stateful) | ACL de red (stateless) |
|---|---|---|
| Dónde se aplica | A cada instancia | A toda la subred |
| Tipo de reglas | Solo permitir | Permitir y denegar |
| Evaluación | Todas las reglas antes de decidir | En orden, hasta la primera que coincide |
| Tráfico de respuesta | Permitido automáticamente | Hay que permitirlo de forma explícita |
AWS recomienda usar los grupos de seguridad como mecanismo principal y las ACL de red como capa adicional de defensa. Es un buen resumen de cómo conviven hoy ambos modelos en cualquier cloud hosting.
04 Firewall de red vs firewall de aplicaciones web (WAF)
| Aspecto | Firewall de red | WAF |
|---|---|---|
| Qué protege | Redes, segmentos y servidores completos | Una web o API concreta |
| Qué analiza | IP, puertos, protocolos y estado de conexión | Contenido de peticiones HTTP/HTTPS |
| Ataques que frena | Accesos no autorizados, escaneos de puertos, servicios expuestos | Inyección SQL, XSS, bots, fuerza bruta contra el login |
| Dónde se coloca | Perímetro de la red y entre segmentos internos | Delante del servidor web, a menudo en una CDN |
| Ejemplos | Firewall del router, NGFW, grupos de seguridad cloud, nftables | Cloudflare WAF, AWS WAF, ModSecurity |
05 Ejemplos de firewall de red
| Entorno | Ejemplos | Uso típico |
|---|---|---|
| Hogar y pequeña oficina | Firewall integrado en el router | Bloquear conexiones entrantes no solicitadas |
| Empresa | NGFW de fabricantes como Fortinet, Palo Alto Networks o Cisco | Perímetro, VPN, segmentación y control de aplicaciones |
| Open source | pfSense, OPNsense | Firewalls completos sobre hardware estándar |
| Servidores Linux | nftables, iptables, ufw | Filtrar el tráfico del propio servidor |
| Nube | Grupos de seguridad, ACL de red, firewalls gestionados | Proteger instancias y subredes |
06 Buenas prácticas para un firewall de red
- ✓Política por defecto de denegar, tanto de entrada como, en lo posible, de salida.
- ✓Reglas documentadas con su motivo, responsable y fecha de revisión.
- ✓Accesos de administración solo desde IP concretas o a través de VPN.
- ✓Segmentación interna: separar servidores, puestos de trabajo, invitados y dispositivos IoT.
- ✓Registros activados y enviados a un sistema de alertas.
- ✓Firmware y firmas del firewall siempre actualizados.
- ✓Revisión periódica para eliminar reglas temporales y servicios retirados.
En una web o una plataforma online, la configuración del firewall debe revisarse dentro del mantenimiento web, igual que las actualizaciones y las copias de seguridad. Cuando construyes una aplicación desde cero, la arquitectura de red, las subredes privadas y los grupos de seguridad se diseñan desde el principio: es parte del trabajo de una agencia de desarrollo web y, en productos por suscripción con datos de muchos clientes, del desarrollo de software SaaS.
Preguntas frecuentes sobre Firewall de red
Es un dispositivo o servicio que filtra el tráfico entre redes según direcciones IP, puertos, protocolos y estado de las conexiones, para permitir solo lo autorizado.
El stateless evalúa cada paquete por separado y hay que permitir las respuestas de forma explícita; el stateful recuerda las conexiones abiertas y acepta automáticamente sus respuestas legítimas.
Un firewall de nueva generación: un firewall con estado que además identifica aplicaciones y usuarios, incluye prevención de intrusiones e inspecciona tráfico cifrado.
El firewall de red protege redes filtrando por IP, puertos y conexiones; el WAF protege una web analizando el contenido de las peticiones HTTP. Se complementan.
Es una zona de red separada donde se colocan los servidores accesibles desde internet, como la web o el correo, para que un fallo en ellos no dé acceso a la red interna.
Sí, la mayoría de routers domésticos incluyen un firewall que bloquea las conexiones entrantes no solicitadas. No abras puertos en él salvo que sea imprescindible.
nftables es el marco actual del kernel de Linux, disponible desde la versión 3.13 y sucesor de iptables. Herramientas como ufw simplifican su configuración.
Fuentes consultadas
Sobre el autor
Germán Gutiérrez
Development Manager en appyweb
Dirige el equipo de desarrollo de appyweb: aplicaciones web y móviles, SaaS, integraciones y arquitectura de software.
Ver perfil en LinkedIn ↗