Un firewall físico es un aparato que protege toda la red; uno de software vive dentro de cada ordenador y protege solo ese equipo. No compiten: cubren cosas distintas, y en una empresa lo normal es tener los dos.
Todo cortafuegos hace lo mismo en esencia: decide qué conexiones se permiten (lo explicamos en qué es un firewall). La diferencia está en dónde vive y qué tráfico ve. Un firewall físico es un aparato propio que se coloca en la red; uno de software es un programa dentro de cada ordenador o servidor.
Un firewall físico o de hardware es un equipo dedicado, con sus propios puertos de red, procesador y sistema, que se coloca entre la red y la salida a Internet. Todo el tráfico de la oficina pasa por él, así que protege a la vez a todos los ordenadores, impresoras, cámaras, teléfonos y móviles conectados, tengan o no su propio cortafuegos.
INCIBE señala que estos equipos dedicados suelen tener más capacidad de proceso, porque están diseñados solo para esa tarea, aunque cuestan más que un programa. Palo Alto Networks lo define de forma parecida: un aparato físico que se pone entre la red y la conexión exterior y filtra lo que entra y sale.
Además de filtrar, un firewall físico suele concentrar funciones de toda la red: la VPN para trabajar desde fuera, la separación entre la red de empleados y la wifi de invitados, la DMZ para los servidores públicos y, en los modelos UTM y NGFW, el antivirus de red, el filtrado web o la prevención de intrusiones.
El cortafuegos de software, de host o personal es un programa que se ejecuta en el mismo equipo que protege y solo controla el tráfico de ese equipo. La guía del NIST recuerda que viene con los sistemas operativos habituales (Windows, macOS, Linux, BSD) o se puede instalar aparte.
Su ventaja es que sabe qué programa abre cada conexión. INCIBE explica que con él se decide qué aplicación puede conectarse a Internet o recibir conexiones, y que en la configuración avanzada se filtra por programa, dirección, protocolo, puerto, usuario y equipo.
Según la documentación de Microsoft, el Firewall de Windows viene incluido y activado por defecto en todas las ediciones. Por defecto:
Microsoft lo presenta como un complemento de los productos de seguridad de red de otros fabricantes, no como su sustituto. INCIBE aconseja, si no se tienen conocimientos técnicos, dejarlo activo con su configuración por defecto.
| Firewall físico | Cortafuegos de software | |
|---|---|---|
| Dónde está | En la red, entre el router e Internet o entre zonas | Dentro de cada ordenador o servidor |
| Qué protege | Todos los dispositivos de la red, también los que no tienen cortafuegos propio | Solo el equipo en el que está instalado |
| Tráfico entre equipos de la misma red | No lo ve, salvo que la red esté separada en zonas que pasen por él | Sí lo ve |
| Sabe qué programa conecta | No, ve direcciones, puertos y, en los NGFW, aplicaciones | Sí, cada regla puede ir por programa |
| Fuera de la oficina | No protege al portátil cuando se lleva a otra red | Sigue protegiendo al portátil allí donde vaya |
| Funciones de red | VPN, wifi de invitados, DMZ, filtrado web para todos | No |
| Coste | El aparato y, según la marca, sus licencias | Viene con el sistema |
No se trata de elegir uno. El NIST lo explica así: el cortafuegos del ordenador protege también frente a otros equipos de la misma subred, que no pasan por el de la red, y limitar lo que sale de cada equipo ayuda a frenar el malware. Y al revés, aunque cada ordenador tenga su cortafuegos personal, el aparato de la red sigue aportando una capa más: protege aunque el del equipo falle, esté desactivado o mal configurado.
Es la idea de defensa en profundidad: cada capa cubre los huecos de la otra.
INCIBE reconoce que los routers de los operadores traen funciones de firewall que se pueden configurar, y que para autónomos y micropymes puede bastar con eso y el cortafuegos del sistema operativo. Pero pone un límite claro: un router no está diseñado como cortafuegos y sus funciones de seguridad son mucho más reducidas que las de un equipo dedicado. Por eso desaconseja usar la opción «DMZ» del router para publicar un servidor, porque toda la protección quedaría en manos de un aparato que no es para eso.
La guía del NIST añade un detalle práctico: muchos routers y firewalls domésticos admiten que los programas les abran puertos solos mediante UPnP, y lo prudente es tenerlo desactivado.
Un cortafuegos físico dedicado empieza a ser necesario cuando la red tiene alguna de estas cosas:
Qué clase de firewall físico elegir (de filtrado, UTM, NGFW) depende de lo que tenga que inspeccionar; las diferencias están en tipos de firewall.
Hace parte de esa función: INCIBE recuerda que los routers de los operadores traen opciones de cortafuegos configurables. Pero también advierte de que un router no está diseñado como cortafuegos y sus funciones de seguridad son mucho más reducidas que las de un equipo dedicado.
No es recomendable. El físico no ve el tráfico entre equipos de la misma red, y el del ordenador sí. La guía del NIST plantea los dos como capas que se suman: si una falla o está mal configurada, la otra sigue protegiendo.
INCIBE indica que al autónomo y a la micropyme les puede bastar el cortafuegos del sistema operativo junto con el del router del operador bien configurado. Cuando hay varios equipos, servidores, wifi para clientes o datos que proteger, un firewall físico dedicado empieza a compensar.
Según INCIBE, Android e iOS no tienen un cortafuegos nativo que el usuario pueda configurar. En una oficina, el firewall físico de la red es lo que controla el tráfico de los móviles conectados a su wifi.
Foto: Damir K, en Pexels Guías Un firewall o cortafuegos es el dispositivo o programa que decide qué tráfico puede entrar y salir de una red o de un equipo. Aquí explicamos qué es, cómo funciona por dentro, dón…
Foto: Brett Sayles, en Pexels Guías SonicWall vende sus cortafuegos para pymes con el nombre TZ y los de empresa mediana como NSa. Ahora conviven dos generaciones: aquí están los modelos Gen 8 que la sustituyen, los…
Foto: Brett Sayles, en Pexels Guías WatchGuard vende sus cortafuegos con el nombre Firebox: la serie T de sobremesa para pymes y la serie M de rack. Aquí están los modelos actuales, sus cifras oficiales, los que se…
