Firewall de Windows: cómo funciona, sus perfiles, sus reglas y cómo se desactiva bien

El Firewall de Windows, que en el sistema aparece como Firewall de Windows Defender, es el cortafuegos que trae el propio Windows. Microsoft lo define como un cortafuegos de host: filtra el tráfico que entra y sale del equipo por dirección IP, protocolo y puerto, y también por programa o servicio. Viene incluido y activado por defecto en todas las ediciones, desde Windows 10 y 11 hasta Windows Server.

Es un cortafuegos de software: protege solo el equipo en el que está. La diferencia con un equipo dedicado que protege toda la red se explica en la guía de firewall físico o de software. Aquí va cómo funciona el de Windows por dentro.

Qué hace por defecto

Según Microsoft, su comportamiento de fábrica es:

• Bloquear todo el tráfico entrante, salvo el que responde a algo que el equipo ha pedido o el que coincide con una regla que lo permite.
• Permitir todo el tráfico saliente, salvo el que coincide con una regla que lo bloquea.

Microsoft recomienda mantener esa configuración siempre que se pueda, porque está pensada para proteger el equipo en la mayoría de las redes. INCIBE da el mismo consejo a quien no tenga conocimientos técnicos: asegurarse de que está activo y dejar la configuración que trae.

Los tres perfiles

El Firewall de Windows aplica reglas distintas según la red a la que esté conectado el equipo. Tiene tres perfiles:

Cada regla se asigna a uno o varios perfiles. Así, una aplicación puede recibir conexiones en la red privada y no en la pública. Microsoft recomienda crear las reglas en los tres perfiles y activarlas solo en los que hagan falta. En PowerShell, la orden Get-NetConnectionProfile dice qué categoría tiene la red activa y Set-NetConnectionProfile la cambia entre privada y pública.

Esto es criterio de esta web: si el portátil de la empresa se conecta a una red como «privada» sin serlo, por ejemplo la wifi de un hotel, se abren las reglas pensadas para la oficina. Conviene revisar que las redes desconocidas se queden como públicas.

Las reglas

Las reglas dicen qué tráfico se permite o se bloquea. Según Microsoft, pueden filtrar por:

• El programa, el servicio o la aplicación.
• Las direcciones IP de origen y destino, incluidos valores dinámicos como la puerta de enlace, los servidores DNS o la subred local.
• El protocolo y, en TCP y UDP, el puerto o un rango de puertos.
• El tipo de interfaz y el tipo de mensaje ICMP.

Qué regla gana

En el Firewall de Windows el administrador no puede ordenar las reglas a mano, a diferencia de lo que se hace en muchos cortafuegos dedicados. Decide con tres principios, según Microsoft:

1. Una regla que permite algo de forma explícita gana al bloqueo por defecto.
2. Una regla de bloqueo explícita gana a cualquier regla de permiso que choque con ella.
3. La regla más concreta gana a la más general, salvo que haya un bloqueo explícito. Una regla para una sola IP gana a otra para un rango.

La consecuencia práctica: una regla de bloqueo olvidada puede impedir un tráfico que otra regla debería dejar pasar. Antes de añadir permisos, hay que buscar bloqueos que se solapen.

El aviso al abrir un programa

La primera vez que un programa intenta recibir conexiones y no hay regla, Windows muestra un aviso para permitirlo o bloquearlo. Microsoft explica lo que pasa:

• Si el usuario es administrador y responde que no, o cierra el aviso, se crean reglas de bloqueo, normalmente una para TCP y otra para UDP.
• Si el usuario no es administrador, se crean reglas de bloqueo elija lo que elija.
• Una vez creadas, el aviso no vuelve a salir: hay que borrar esas reglas para que se repita.

Microsoft lo pone entre los motivos por los que un programa no se comunica en red: alguien cerró el aviso sin entenderlo y se crearon reglas de bloqueo. En equipos de usuarios sin permisos de administrador, Microsoft recomienda crear las reglas antes del primer uso del programa y desactivar los avisos.

Lo que recomienda Microsoft

• Ser lo más concreto posible en las reglas de entrada, pero usar rangos de puertos o subredes seguidas en lugar de muchas reglas sueltas, para no restar rendimiento.
• Documentar cada regla: para qué aplicación es, qué puertos usa y cuándo se creó.
• Abrir excepciones solo para aplicaciones y servicios con un fin legítimo.
• Bloquear también la salida solo en entornos de alta seguridad, con un inventario de las aplicaciones que necesitan red. Y no cambiar nunca la entrada para que lo permita todo por defecto.

Con qué se maneja

Microsoft lista estas herramientas, todas sobre el mismo servicio y con distinto nivel de control. Para cambiar la configuración hacen falta permisos de administrador:

Un ejemplo de la documentación de Microsoft en PowerShell: New-NetFirewallRule -DisplayName "Allow Inbound Telnet" -Direction Inbound -Program %SystemRoot%\System32\tlntsvr.exe -RemoteAddress LocalSubnet -Action Allow crea una regla de entrada para un programa y la limita a la subred local. En una empresa, las reglas que se reparten por directiva de grupo se actualizan en segundo plano cada 90 minutos, con un margen aleatorio de hasta 30.

El registro

El Firewall de Windows puede guardar en un archivo lo que bloquea y lo que deja pasar. Microsoft recomienda:

• Activar el registro de paquetes descartados y de conexiones correctas.
• Subir el tamaño del archivo a al menos 20 MB; el máximo es de unos 32 MB.
• Usar un archivo por perfil en lugar del predeterminado, pfirewall.log, que está en la carpeta logfiles\firewall de system32.

En un solo equipo se activa con netsh advfirewall set allprofiles logging allowedconnections enable y netsh advfirewall set allprofiles logging droppedconnections enable. Para analizarlo, Microsoft propone reenviar los eventos a un recopilador central o a un SIEM.

Cómo desactivarlo sin romper Windows

Microsoft recomienda no desactivarlo. Si se apaga, se pierden también las reglas de IPsec, la protección frente a ataques que identifican el equipo por su huella de red, la protección de los servicios de Windows y los filtros que actúan durante el arranque. Si se instala otro cortafuegos, es ese programa el que debe desactivar lo que choque, no el usuario.

Si de verdad hay que desactivarlo, la forma correcta es apagar los perfiles y dejar el servicio funcionando. En PowerShell: Set-NetFirewallProfile -Profile Domain,Public,Private -Enabled False, y para volver a encenderlo, lo mismo con True.