Palo Alto Networks: los cortafuegos PA para pymes, sus cifras y su soporte

Palo Alto Networks fabrica cortafuegos de nueva generación, desde aparatos para una oficina pequeña hasta chasis para centros de datos. Todos usan el mismo sistema, PAN-OS. Para una pyme, lo que más pesa al comprar es el cambio de serie que está en marcha: la PA-400 tiene fecha de fin de venta y la PA-500 es la que la sustituye.

Qué series vende Palo Alto

La página de hardware del fabricante presenta hoy seis familias: PA-7500, PA-5500, PA-3500, PA-1500, PA-500 y PA-50R, esta última para entornos industriales. Otras siguen con ficha técnica y sin fecha de fin de venta, aunque ya no salen en esa página, como las PA-1400 y PA-3400.

• PA-500: la serie actual para oficinas y sedes pequeñas o medianas, del PA-501 al PA-560.
• PA-400: la anterior, en formato de sobremesa. Deja de venderse el 22 de marzo de 2027.
• PA-1400 y PA-1500: el escalón siguiente.
• PA-3400 y PA-3500: para más tráfico y más sesiones.

Ojo con el nombre: la serie PA-500 actual no es el antiguo PA-500, un modelo suelto que dejó de venderse el 31 de octubre de 2018 y llegó al fin de vida el 31 de octubre de 2023.

Son lo que se conoce como un NGFW: deciden por aplicación y por usuario, no solo por puerto. Si dudas de qué tipo de aparato necesitas, empieza por los tipos de firewall.

Cómo leer las cifras de Palo Alto

Palo Alto mide con tráfico variado (lo llama appmix), no con los paquetes grandes que dan las cifras más altas. Por eso conviene no comparar sus números con los de otra marca sin mirar antes cómo mide cada una. Según sus fichas:

• Firewall: con App-ID y el registro activos.
• Threat Prevention: con App-ID, IPS, antivirus, antispyware, WildFire, bloqueo de archivos y registro. Es la cifra más útil si vas a usar la protección completa.
• VPN IPsec: con transacciones HTTP de 64 KB y registro.
• Sesiones máximas: con transacciones HTTP.
• Sesiones nuevas por segundo: con application override y transacciones HTTP de 1 byte.

Las fichas de la PA-500, PA-1500 y PA-3500 están medidas con PAN-OS 12.2, y las de la PA-400, PA-1400 y PA-3400 con PAN-OS 12.1. En las de la PA-400 y la PA-1400, la cifra de Threat Prevention incluye también DNS Security, así que no es del todo igual que la de la PA-500.

Serie PA-500: la actual para oficinas

La tabla usa la ficha de la serie. El resumen de productos de octubre de 2026 da otras cifras en el PA-505 (62.000 sesiones y 9.000 nuevas por segundo): si ese modelo te queda justo, confírmalo con el distribuidor.

Los modelos PA-545-POE, PA-550, PA-555-POE y PA-560 añaden función de switch de nivel 2. La potencia PoE es de 181 W en el PA-545-POE y de 330 W en el PA-555-POE. Hay un kit opcional para montarlos en armario de 1U.

Ficha técnica oficial de la serie PA-500 (PDF, en la web de Palo Alto Networks)

Serie PA-400: todavía a la venta, con fecha de salida

También hay versiones con 5G, el PA-415-5G y el PA-455-5G; este último baja a 3,2 Gbps de firewall y 1,8 Gbps de Threat Prevention. La ficha describe la serie como de sobremesa.

Ficha técnica oficial de la serie PA-400 (PDF, en la web de Palo Alto Networks)

Las series mayores, de un vistazo

Para una sede grande o el centro de una red con varias oficinas, estas son las cifras principales. Se dejan fuera las sesiones nuevas por segundo porque, en la PA-1500, la ficha y el resumen de productos no coinciden.

Fichas técnicas oficiales (PDF, en la web de Palo Alto Networks): PA-1400, PA-1500, PA-3400 y PA-3500.

Las suscripciones de seguridad

Palo Alto llama a estos servicios Cloud-Delivered Security Services. Cada uno se contrata aparte o en paquetes. Las páginas consultadas no dan precios, ni detallan qué lleva cada paquete, así que eso hay que pedírselo a un distribuidor.

Hay otras para necesidades más concretas, como Device Security, SaaS Security o Enterprise DLP.

La VPN de usuarios tiene letra pequeña. Los portales y las pasarelas de GlobalProtect se pueden desplegar sin licencia y sin comprobación del estado del equipo. Las comprobaciones HIP, la aplicación móvil, las conexiones IPv6 y la VPN sin cliente sí piden una licencia por pasarela.

Para gestionar varios equipos hay dos caminos: Panorama y Strata Cloud Manager, este desde la nube. Strata Cloud Manager tiene dos niveles, y el Essentials va incluido sin coste para los clientes de cortafuegos de nueva generación.

Fin de venta y fin de soporte

Aquí hay dos fechas que no conviene mezclar: la del aparato y la de su última versión de PAN-OS. Un aparato deja de poder actualizarse a versiones nuevas antes de llegar a su fin de vida.

Las versiones de PAN-OS tienen su propio calendario:

La excepción importa: según Palo Alto, si una versión es la última admitida por un modelo, sigue en soporte ampliado hasta el fin de vida de ese modelo, aunque su fecha general ya haya pasado. Un PA-410 se queda en PAN-OS 12.1 y sigue así en soporte ampliado hasta 2032.

Las series PA-1500 y PA-3500 solo admiten PAN-OS 12.2, y la PA-500 admite 12.1 y 12.2. Antes de actualizar cualquier equipo, mira la tabla de versiones por modelo.

Cómo elegir un Palo Alto

1. Mira la cifra de Threat Prevention, no la de Firewall. Si tu línea es de 1 Gbps y quieres inspeccionarla entera con la protección activa, necesitas al menos un PA-510. Un PA-505 se queda en 0,8 Gbps.
2. Empieza por la PA-500 si compras nuevo. La PA-400 sigue a la venta hasta marzo de 2027 y tiene fin de vida en 2032, pero sus modelos PA-410 y PA-415 ya no pasan de PAN-OS 12.1.
3. Si te hace falta PoE, compara la potencia total de cada modelo con lo que vas a conectar, no solo el número de puertos.
4. Pide el precio con las suscripciones incluidas y a varios años, porque buena parte de la protección depende de ellas.
5. Si tienes un PA-220, PA-820 o PA-850, ya no se venden y tienen fecha de fin de vida: conviene planificar el cambio con tiempo.