Un switch conecta los equipos de una misma red, un router une redes distintas y un cortafuegos decide qué tráfico pasa. En casa, los tres suelen ir en la misma caja, y por eso se confunden. Aquí está lo que hace cada uno y cuándo hacen falta por separado.
Foto: Brett Sayles, en Pexels
Los tres son cajas con puertos de red, así que es fácil tomar uno por otro. Pero trabajan en niveles distintos: ni un switch protege la red, ni un cortafuegos pequeño tiene puertos para toda una oficina.
| Equipo | Qué hace | En qué se fija | Pregunta que responde |
|---|---|---|---|
| Switch | Lleva los datos al puerto correcto dentro de una red | Dirección física (MAC) | ¿Por qué puerto sale esto? |
| Router | Pasa tráfico de una red a otra | Dirección IP y tabla de rutas | ¿Hacia qué red va esto? |
| Cortafuegos | Permite o bloquea tráfico según una política | Direcciones, puertos, estado y, en algunos, contenido | ¿Debe pasar esto? |
El glosario del NIST lo define como un dispositivo que dirige los datos que entran por uno de sus puertos hacia el puerto concreto que los lleva a su destino. El RFC 1983 describe con la misma idea al puente de red (bridge): reenvía tráfico entre segmentos según información de la capa de enlace, y esos segmentos comparten dirección de red.
En la práctica, es lo que conecta los ordenadores, impresoras y puntos de acceso de una oficina. Se compra por número de puertos y velocidad, y hay dos grandes clases:
Un switch no filtra por política de seguridad: si dos equipos están en la misma red, se hablan directamente y ese tráfico ni siquiera pasa por el cortafuegos. Por eso, separar con VLAN es lo que obliga a que pase por él.
El RFC 1983 lo define como un dispositivo que reenvía tráfico entre redes, y que decide con información de la capa de red y con tablas de rutas, a menudo construidas por protocolos de enrutamiento. Es el que sabe que lo que no es de tu red hay que mandarlo hacia internet.
El router de tu operador hace además muchas otras cosas, entre ellas NAT, que permite compartir una dirección pública. Eso no lo convierte en un cortafuegos completo, por mucho que el menú diga «firewall».
El NIST lo separa con claridad: como los routers, los cortafuegos permiten o bloquean actividad según una política, pero usan métodos mucho más sofisticados, como seguir el estado de las conexiones o inspeccionar el contenido. También tienen políticas más complejas y generan registros más detallados.
Sobre si un router puede hacer de cortafuegos, la misma guía dice dos cosas que conviene leer juntas:
Lo que hay por encima, como detección de intrusiones o filtrado web, está en la guía de tipos de cortafuegos.
Aquí está lo que más desconcierta. Según el NIST, la gran mayoría de los cortafuegos físicos incluyen funciones de router, y suelen enrutar entre las redes de la organización. Por eso, instalar uno a menudo significa sustituir a un router existente o cambiar las tablas de rutas de los demás.
La guía añade que en redes conmutadas el cortafuegos puede ir integrado en el propio switch, y que lo habitual es situarlo justo antes de que el tráfico entre en el router, o junto a él.
Este esquema es un ejemplo típico, no una norma:
En una red con servicios publicados, se añade una DMZ en un puerto aparte del cortafuegos.
¿Y mi router de casa? Es las tres cosas a la vez: router, un pequeño switch con varios puertos y un filtro básico, además de punto de acceso WiFi. Para una casa suele bastar. La guía de cortafuegos físico o por software ayuda a decidir cuándo deja de hacerlo.
Son observaciones de esta web, a partir de lo anterior:
Si estás eligiendo cortafuegos, puedes empezar por las guías de FortiGate, Zyxel o MikroTik.
El switch reparte el tráfico entre los puertos de una misma red, según las direcciones físicas de los equipos. El router pasa tráfico entre redes distintas, según las direcciones IP y sus tablas de rutas. Para salir a internet hace falta un router.
Hasta cierto punto. El NIST explica que un router con listas de control de acceso es el ejemplo más común de filtrado de paquetes puro, pero también advierte de que los routers están hechos para enrutar, y que un filtrado muy complejo sobrecarga su procesador.
A menudo, sí. Según el NIST, la gran mayoría de los cortafuegos físicos incluyen funciones de router, y es habitual que un cortafuegos sea quien enruta entre las distintas redes de una organización.
Foto: Damir K, en Pexels Guías Un firewall o cortafuegos es el dispositivo o programa que decide qué tráfico puede entrar y salir de una red o de un equipo. Aquí explicamos qué es, cómo funciona por dentro, dón…
Foto: Brett Sayles, en Pexels Guías SD-WAN es una forma de usar varias líneas a la vez y decidir por cuál va cada aplicación, sin depender de una sola. Muchos cortafuegos ya lo traen. Aquí está qué es, en qué se dis…
