Los tipos de firewall se distinguen por lo que miran del tráfico: desde las direcciones y puertos de cada paquete hasta la aplicación y el contenido. Aquí están todos, del más sencillo al más completo, con lo que aporta cada uno.
Todos los cortafuegos aplican reglas para decidir qué tráfico pasa (lo explicamos en qué es un firewall). Lo que cambia de un tipo a otro es cuánto miran antes de decidir: solo la dirección del sobre, la conversación entera o lo que va dentro. La clasificación que sigue es la de la guía del NIST sobre cortafuegos (SP 800-41), completada con la de los fabricantes para los tipos más recientes.
Una aclaración antes de empezar: estos tipos se suman. Un cortafuegos actual hace filtrado de paquetes, inspección de estado y, según el modelo, varias funciones de aplicación a la vez. Y cualquiera de ellos puede venir como aparato físico o como programa (ver firewall físico o de software).
Es la función más básica. El cortafuegos mira cada paquete por separado, con sus datos de cabecera (dirección IP de origen y destino, protocolo, puerto) y lo deja pasar o lo descarta según las reglas. No recuerda nada: no sabe si ese paquete es la respuesta a algo que pidió un equipo de dentro ni mira el contenido.
El NIST explica que esta función está en el núcleo de casi todos los cortafuegos, pero que hoy se venden pocos que solo hagan esto, porque son más vulnerables: un atacante puede fabricar paquetes que parezcan respuestas legítimas.
El cortafuegos de inspección de estado guarda una tabla con cada conexión abierta: quién habla con quién, por qué puertos y en qué fase está. En TCP distingue el establecimiento, el uso y el cierre de la conexión. Así deja pasar las respuestas de lo que un equipo de dentro ha pedido y rechaza lo que llega sin que nadie lo espere.
Su límite, según el NIST, está en los protocolos que no tienen fases de conexión, como UDP o ICMP: con ellos solo puede hacer un seguimiento aproximado. Según la historia que recoge Palo Alto Networks, este tipo se generalizó a principios de los años 2000 y es hoy la base de cualquier cortafuegos.
Aquí el cortafuegos ya entiende el protocolo de la aplicación (web, correo, FTP…) y lo compara con lo que se considera un uso normal. El NIST lo llama análisis de protocolo con estado o inspección profunda de paquetes. Sus ejemplos dan la idea:
Un proxy hace de intermediario y nunca deja que el equipo de dentro hable directamente con el de fuera: abre una conexión con el cliente y otra con el destino, y pasa el contenido de una a otra después de revisarlo. Según el NIST, eso oculta las direcciones internas, permite pedir a cada usuario que se identifique y, en algunos casos, descifrar el tráfico cifrado para inspeccionarlo.
A cambio, es más lento que los tipos anteriores y solo funciona con los protocolos que conoce.
Un UTM reúne en un solo equipo el cortafuegos y otras defensas: antivirus de red, detección de intrusiones, filtrado web, antispam o VPN, gestionadas desde una sola consola. El NIST señala su ventaja (es más sencillo de llevar) y su contrapartida: el aparato necesita recursos para todas las tareas a la vez y tiene que traer todas las funciones que se buscan. Es el formato típico de las pymes.
El NGFW identifica y controla las aplicaciones y los usuarios, no solo puertos y direcciones, e integra la prevención de intrusiones en el mismo motor. Según Palo Alto Networks llegó en 2008. Qué lo distingue exactamente de un UTM, y de dónde viene cada término, lo explicamos en qué es un NGFW y en qué se diferencia de un UTM.
El WAF es un cortafuegos de aplicación especializado en una sola cosa: proteger una web. Va delante del servidor web y filtra el tráfico entre el navegador y la página en los dos sentidos, contra ataques como la inyección SQL o el XSS, los que recoge el proyecto OWASP.
INCIBE describe tres formas de ponerlo:
También explica sus dos modelos: el positivo, que lo deniega todo y solo acepta lo que reconoce como válido, y el negativo, que lo acepta todo y solo bloquea lo que reconoce como ataque.
Cuando varias máquinas virtuales comparten un mismo servidor físico, el tráfico entre ellas no sale del servidor y un cortafuegos externo no lo ve. El NIST lo señala como un hueco que cubren las plataformas de virtualización con su propio cortafuegos o con el de otros fabricantes.
Palo Alto Networks define el firewall virtual como un NGFW en forma de máquina virtual, para entornos virtualizados y nubes, que controla tanto el tráfico que entra y sale (norte-sur) como el que circula dentro (este-oeste) y permite separar cada aplicación de las demás (microsegmentación).
El cortafuegos como servicio no se instala en la oficina: lo presta un proveedor desde su nube, por suscripción, y el tráfico de cada sede o de cada empleado pasa por él. Según Palo Alto Networks, ofrece lo mismo que un NGFW (inspección, prevención de amenazas, control de aplicaciones) y forma parte del modelo SASE, pensado para empresas con mucha gente trabajando fuera de la oficina.
| Tipo | Qué mira | Dónde se usa |
|---|---|---|
| Filtrado de paquetes | Direcciones, protocolo y puerto de cada paquete | Base de todos; solo, en routers sencillos |
| Inspección de estado | Además, la conexión a la que pertenece cada paquete | Base de cualquier cortafuegos actual |
| De aplicación | El protocolo de la aplicación | Dentro de UTM y NGFW |
| Proxy de aplicación | Todo el contenido, haciendo de intermediario | Navegación web y correo |
| UTM | Cortafuegos con antivirus, IPS, filtrado web y VPN | Pymes y sucursales |
| NGFW | Aplicaciones, usuarios y contenido, con IPS integrado | Empresas medianas y grandes |
| WAF | Las peticiones a una web | Delante de un servidor web |
| Virtual | Igual que un NGFW, dentro de la virtualización | Centros de datos y nubes |
| FWaaS | Igual que un NGFW, desde la nube del proveedor | Sedes repartidas y teletrabajo |
Casi todos los cortafuegos que se venden hacen inspección de estado como base y añaden encima funciones de aplicación, es decir, son UTM o NGFW. La guía del NIST indica que hoy se venden pocos cortafuegos que solo filtren paquetes.
No. Un WAF protege una aplicación web concreta frente a ataques como la inyección SQL o el XSS, y va delante de ese servidor. El firewall de la red protege todo lo demás. Una web expuesta a Internet suele necesitar los dos.
El virtual es el mismo cortafuegos instalado como máquina virtual dentro de tu servidor o de tu nube. El firewall como servicio (FWaaS) lo presta un proveedor desde su nube por suscripción, sin que tengas que instalar nada en tus oficinas.
Foto: Damir K, en Pexels Guías Un firewall o cortafuegos es el dispositivo o programa que decide qué tráfico puede entrar y salir de una red o de un equipo. Aquí explicamos qué es, cómo funciona por dentro, dón…
Foto: Brett Sayles, en Pexels Guías SonicWall vende sus cortafuegos para pymes con el nombre TZ y los de empresa mediana como NSa. Ahora conviven dos generaciones: aquí están los modelos Gen 8 que la sustituyen, los…
Foto: Brett Sayles, en Pexels Guías WatchGuard vende sus cortafuegos con el nombre Firebox: la serie T de sobremesa para pymes y la serie M de rack. Aquí están los modelos actuales, sus cifras oficiales, los que se…
