Un firewall —cortafuegos, en español— es el sistema que decide qué tráfico entra y sale de una red y qué tráfico se queda fuera. Es la primera pieza de seguridad que se instala en una empresa y, curiosamente, la que menos gente sabe si tiene bien configurada.
Porque tener firewall lo tiene todo el mundo: viene en el router del operador, viene en Windows y viene en cualquier equipo de red medianamente serio. La pregunta útil no es si lo tienes. Es qué está permitiendo pasar ahora mismo sin que nadie lo haya decidido.
Este artículo explica qué hace un firewall, cómo funciona por dentro, qué tipos existen, en qué se diferencia de un antivirus y qué necesita realmente una pyme, sin vender humo ni asustar con cifras.
Qué es un firewall y para qué sirve
Un firewall es un sistema —software, hardware o servicio en la nube— que se coloca entre dos redes y aplica una política: para cada conexión que intenta cruzarlo, decide si la deja pasar, la bloquea o la registra. La red de dentro es la de tu empresa; la de fuera, normalmente internet.
Esa decisión no es una intuición. Se toma comparando cada paquete de datos con un conjunto de reglas: de dónde viene, a dónde va, por qué puerto, con qué protocolo y —en los equipos modernos— qué aplicación lo está generando y qué usuario está detrás.
Sirve, en la práctica, para tres cosas:
- Impedir el acceso desde fuera a servicios que no deberían estar expuestos: un servidor de archivos, un escritorio remoto, la cámara de la entrada o el panel de administración de un equipo.
- Controlar lo que sale. Un equipo infectado intenta conectar con el servidor de quien lo controla. Un firewall bien configurado corta esa llamada y, sobre todo, la deja registrada.
- Separar zonas dentro de la propia empresa, para que la red de invitados, la de cámaras o la del taller no toquen la red donde están los datos.
Cómo funciona un firewall por dentro
Todos los firewalls hacen lo mismo en distinto grado de finura. Conviene entender esa escala, porque es la que separa un equipo de setenta euros de uno de empresa.
Filtrado de paquetes. El nivel básico. Mira la dirección de origen, la de destino, el puerto y el protocolo, y aplica la regla que corresponda. Es rápido y tosco: no sabe nada del contenido ni del contexto.
Inspección de estado. El firewall recuerda las conversaciones abiertas. Si un equipo de la oficina inicia una conexión con un servidor web, la respuesta de ese servidor se acepta porque forma parte de una conversación que empezó dentro. Un paquete que llega de fuera sin conversación previa, no. Es el comportamiento estándar desde hace décadas.
Inspección profunda y control de aplicaciones. El equipo ya no mira solo puertos: identifica qué aplicación viaja por dentro. Puede permitir la navegación web pero bloquear una aplicación de intercambio de archivos que usa ese mismo puerto 443. Aquí empieza lo que se llama firewall de nueva generación.
Inspección del tráfico cifrado. Prácticamente todo el tráfico va cifrado hoy. Un firewall que no puede mirar dentro del cifrado está viendo sobres cerrados. Los equipos de empresa pueden descifrar, inspeccionar y volver a cifrar el tráfico, con las implicaciones legales y de privacidad que eso tiene y que hay que documentar.
Tipos de firewall
Los nombres comerciales confunden mucho. Esta es la clasificación que importa:
| Tipo | Qué hace | Dónde se usa |
|---|---|---|
| De host o personal | Protege un solo equipo y controla qué programas pueden comunicarse | El firewall de Windows, activado por defecto en cada ordenador |
| De red perimetral | Filtra el tráfico entre la red de la empresa e internet | El equipo que hay —o debería haber— detrás del router del operador |
| De nueva generación (NGFW) | Suma control por aplicación y usuario, prevención de intrusiones, filtrado web y antimalware | El estándar actual en empresas, incluidas las pequeñas |
| De aplicación web (WAF) | Protege una web o una API de ataques dirigidos a la propia aplicación | Delante de tu tienda online o de tu portal de clientes |
| Como servicio (FWaaS) | La misma función, pero en la nube, sin equipo físico en la oficina | Empresas repartidas en varias sedes o con mucho teletrabajo |
A esa lista se le añade una etiqueta que verás en muchos presupuestos: UTM. Significa gestión unificada de amenazas y describe un equipo que junta en una sola caja firewall, antivirus perimetral, filtrado web, VPN y algún módulo más. Para una pyme suele ser la opción sensata: una caja, una licencia y un panel.
Qué hace un firewall de nueva generación, función por función
«Nueva generación» aparece en todos los folletos y casi nunca se explica. Detrás de la etiqueta hay un puñado de funciones concretas, y merece la pena saber para qué sirve cada una antes de pagarlas.
- Control de aplicaciones. Identifica el programa que hay detrás del tráfico, no solo el puerto. Permite decidir que el correo corporativo pase y que una aplicación de escritorio remoto instalada por alguien por su cuenta, no.
- Identidad de usuario. Conecta el firewall con el directorio de la empresa, de forma que las reglas se escriben por persona o por departamento en lugar de por dirección IP. Cuando alguien cambia de mesa o de portátil, sus permisos le siguen.
- Prevención de intrusiones (IPS). Compara el tráfico con patrones de ataques conocidos y corta el intento antes de que llegue al servidor. Es la función que más depende de tener la suscripción al día.
- Filtrado web por categorías. Bloquea el acceso a sitios de descarga, apuestas o páginas recién registradas, que es donde suelen vivir las campañas de phishing durante sus primeras horas de vida.
- Antimalware perimetral y sandbox. Analiza los archivos que cruzan y, si el archivo es desconocido, lo ejecuta en un entorno aislado para ver qué hace antes de entregarlo al usuario.
- Bloqueo geográfico. Si tu empresa no trabaja fuera de Europa, cortar las conexiones entrantes del resto del mundo reduce el ruido de golpe. No es una defensa por sí sola, pero limpia mucho el registro.
Ninguna de estas funciones viene activada por arte de magia. Se configuran, se ajustan durante las primeras semanas —siempre hay algo legítimo que se bloquea— y se revisan. Un equipo de nueva generación funcionando con la configuración de fábrica es un filtro de paquetes caro.
De dónde viene el cortafuegos
La idea es de finales de los ochenta, cuando internet conectaba universidades y centros de investigación y la seguridad consistía en confiar en el vecino. Los primeros cortafuegos eran filtros de paquetes: listas de direcciones y puertos permitidos.
A principios de los noventa llegó la inspección de estado, que fue el salto conceptual importante: el firewall dejó de mirar paquetes sueltos y empezó a seguir conversaciones enteras. Poco después aparecieron los proxies de aplicación, que hacían de intermediarios y entendían protocolos concretos como el correo o la web.
El siguiente cambio grande llegó cuando todo empezó a viajar por el puerto 443. Si el noventa por ciento del tráfico usa el mismo puerto que la navegación web, filtrar por puertos deja de significar nada, y de ahí nacieron los equipos que identifican aplicaciones y usuarios. Hoy el movimiento va hacia la nube: la misma política aplicada a gente que trabaja desde cualquier sitio, sin que el tráfico tenga que pasar físicamente por la oficina.
El firewall de tus servidores en la nube
Si tu empresa tiene máquinas en Azure, en AWS o en cualquier proveedor cloud, hay otro firewall que casi nadie mira: el que controla el tráfico de esas máquinas. Se llama grupo de seguridad, lista de control de acceso o directamente firewall del proveedor, según la plataforma, y funciona con la misma lógica de reglas.
El problema típico es el mismo de siempre, con el agravante de que aquí la máquina está expuesta directamente a internet: alguien levanta un servidor para una prueba, abre el acceso de administración a todo el mundo para poder entrar cómodamente y ese servidor se queda ahí. No hay router de operador que lo proteja. Está solo.
La regla en la nube es más estricta que en la oficina: acceso de administración únicamente desde direcciones conocidas o a través de una pasarela con doble factor, servicios publicados solo los imprescindibles y revisión de las reglas cada vez que alguien crea una máquina nueva.
Cuatro comprobaciones para saber si el tuyo funciona
No hace falta ser técnico para detectar los síntomas de un firewall abandonado. Con estas cuatro preguntas se sabe casi siempre en qué situación estás:
¿Alguien puede decirte qué puertos tienes abiertos hacia internet? Si la respuesta tarda más de un minuto o incluye un «habría que mirarlo», ya tienes la respuesta. Esa lista debería estar escrita y ser corta.
¿Está la suscripción en vigor? Mira la fecha de renovación del equipo. Las funciones de seguridad caducan aunque el aparato siga encendido y sin ninguna luz roja.
¿Se guardan los registros y los mira alguien? No hace falta un vigilante veinticuatro horas: basta con una revisión periódica y con que, el día del incidente, los datos existan.
¿Cuándo se revisaron las reglas por última vez? Las empresas cambian: gente que se va, servicios que se dejan de usar, proveedores que ya no acceden. Cada uno de ellos deja una regla viva que ya no debería estarlo.
Firewall y antivirus no son lo mismo
Es la confusión más repetida y la que más agujeros deja. Un firewall vigila el tráfico: por dónde entran y salen las conexiones. Un antivirus —o, mejor dicho hoy, un EDR— vigila lo que ocurre dentro del equipo: qué procesos se ejecutan, qué archivos se cifran, qué cambios raros aparecen en el sistema.
Cada uno ve una película distinta. El firewall no detecta que un empleado ha abierto un adjunto malicioso, porque ese archivo entró por correo, cifrado, como entra el resto del correo legítimo. El EDR no impide que alguien deje expuesto a internet un escritorio remoto, porque eso ocurre en la red, no en el equipo.
La seguridad de una empresa pequeña se sostiene sobre las dos piezas, más las copias de seguridad. Quitar una de las tres es dejar la puerta abierta por otro sitio.
Dónde está el firewall de tu empresa
En una oficina normal hay tres capas, y a menudo solo funciona una de ellas.
El router del operador. Trae un firewall básico que, por defecto, impide las conexiones entrantes. Cumple lo mínimo. El problema empieza cuando alguien abre puertos para poder trabajar desde casa y nadie los vuelve a cerrar.
El firewall de cada equipo. Windows lo trae activado y hace bien su trabajo, sobre todo con portátiles que salen de la oficina y se conectan a redes ajenas. Se convierte en un problema cuando un programa pide desactivarlo «para funcionar» y alguien acepta.
El firewall perimetral de la empresa. Un equipo dedicado entre el router y la red interna. Es el que permite separar zonas, aplicar reglas por usuario, publicar servicios con criterio y —lo más valioso— registrar qué pasa. Sin él, cuando ocurre un incidente no hay forma de reconstruir qué entró y por dónde.
¿Sabes qué puertos tiene abiertos hoy tu empresa hacia internet? Hacemos un análisis de vulnerabilidades y te lo enseñamos en un informe.
Cómo se configura bien un firewall
Un firewall caro mal configurado protege menos que uno modesto bien puesto. Estos son los principios que se aplican en cualquier instalación seria.
Denegar por defecto. Todo está prohibido salvo lo que se autoriza expresamente. Es lo contrario de lo que se hace por comodidad, que es abrir cuando algo falla y no volver a cerrarlo nunca.
Mínimo privilegio en cada regla. No «abrir el puerto a internet», sino permitir ese puerto desde direcciones concretas, para un servicio concreto y, si se puede, en un horario concreto.
Segmentar la red. Invitados, cámaras, dispositivos de producción y puestos de trabajo en zonas separadas. Que una cámara comprometida no vea el servidor de facturación es cuestión de diseño, no de suerte.
Documentar cada regla. Quién la pidió, para qué y hasta cuándo. Un firewall con doscientas reglas que nadie sabe explicar es un firewall que ya no se puede tocar sin miedo.
Guardar y revisar los registros. Los logs sirven para dos cosas: detectar lo raro mientras ocurre y reconstruir lo que pasó después. Si se sobrescriben cada tres días, no sirven para ninguna de las dos.
Actualizar y renovar la suscripción. Las funciones de filtrado y prevención de intrusiones dependen de una licencia viva. Un equipo con la suscripción caducada sigue encendido, con las luces verdes, y ya no protege de lo nuevo.
Un firewall perimetral sin licencia activa conserva el filtrado por reglas —lo básico— pero deja de recibir las firmas de amenazas, el filtrado de categorías web y las actualizaciones del motor de intrusiones. Por fuera no cambia nada: por eso pasa desapercibido durante meses.
Los errores que vemos una y otra vez
- El escritorio remoto abierto a internet. Es la vía de entrada clásica del ransomware en una pyme. Si hay que acceder desde fuera, se hace por VPN o por una pasarela publicada con doble factor, nunca abriendo el puerto.
- Reglas «cualquiera con cualquiera». Una regla que permite todo desde todo, creada un día para salir del paso, que se queda arriba en la lista y anula el resto.
- El mismo firewall para invitados y para la empresa. El wifi de visitas conectado a la red interna es un pasillo directo a los datos.
- Sin copia de la configuración. Cuando el equipo muere, rehacer doscientas reglas de memoria cuesta días de parón.
- Nadie mira las alertas. Un firewall que avisa y no tiene detrás a alguien que lea los avisos es un detector de humos con la batería quitada.
Firewall, teletrabajo y VPN
El perímetro dejó de ser una línea el día que la mitad de la gente empezó a trabajar fuera de la oficina. Eso no ha eliminado el firewall: le ha cambiado el papel.
La forma habitual de resolverlo en una pyme es una VPN contra el propio firewall: el portátil de casa monta un túnel cifrado hasta la oficina y, a partir de ahí, se le aplican las mismas reglas que si estuviera sentado en su mesa. Con doble factor de autenticación, que hoy no es opcional.
La evolución de eso es el modelo de confianza cero: en lugar de dar acceso a toda la red, se da acceso solo a la aplicación concreta que esa persona necesita, comprobando cada vez quién es, desde qué equipo entra y en qué estado está ese equipo. Para muchas empresas es el paso natural cuando el número de accesos externos crece.
Qué no hace un firewall
Conviene decirlo con la misma claridad con la que se cuenta lo que sí hace, porque la mitad de los sustos vienen de dar por protegido algo que el firewall nunca miró.
No para lo que entra invitado. Si un empleado abre un adjunto o introduce sus credenciales en una página falsa, el tráfico es legítimo desde el punto de vista del firewall: alguien de dentro pidió salir. Ahí trabajan el filtrado web, el correo protegido y la formación de las personas.
No protege lo que ya está dentro. Un portátil infectado en casa que vuelve el lunes a la oficina entra por la puerta, no por el perímetro. Por eso importa la segmentación de la red y el EDR en cada equipo.
No sustituye a las copias de seguridad. Ningún fabricante garantiza el cien por cien. Lo que decide si un ataque de ransomware es un mal día o el fin de la empresa es tener copias aisladas y probadas.
No se configura solo. Es la más obvia y la más ignorada. Un firewall es una política de acceso escrita en reglas, y una política sin nadie que la mantenga envejece hasta dejar de servir.
Qué necesita realmente una pyme
Depende de tres cosas: cuánta gente hay, qué se publica hacia fuera y cuánto duele parar un día. Con eso en la mano, la escala razonable es esta.
Menos de diez personas, sin servidores propios y todo en la nube. El firewall del router bien revisado, el de cada equipo activado y un EDR decente en los puestos. Lo importante aquí es que nadie haya abierto puertos y que las contraseñas de administración del router no sean las de fábrica.
Entre diez y cincuenta personas, con servidor, carpetas compartidas o acceso remoto. Toca firewall perimetral de nueva generación, con VPN para el acceso desde fuera, red de invitados separada y registros que se guarden. Es el punto donde la mayoría de las empresas descubre que llevaba años sin protección real.
Varias sedes o mucha movilidad. Firewall en cada sede unidas por túneles, o directamente el modelo en la nube, con una política común y un solo panel de control. Lo caro aquí no es el equipo: es mantener diez configuraciones distintas hechas por gente distinta.
Y en los tres casos, lo mismo: alguien tiene que revisar las reglas de vez en cuando. Un firewall no es un electrodoméstico; es una política que envejece.
Preguntas frecuentes sobre firewalls
Es el sistema que controla qué tráfico entra y sale de una red aplicando un conjunto de reglas. Sirve para impedir accesos no autorizados desde internet, cortar las conexiones que un equipo infectado intenta hacer hacia fuera y separar zonas dentro de la propia empresa.
De host o personal, que protege un equipo; de red perimetral, entre la empresa e internet; de nueva generación, que añade control por aplicación y usuario, prevención de intrusiones y filtrado web; de aplicación web o WAF, para proteger una web o una API; y como servicio en la nube, para empresas con varias sedes o mucho teletrabajo.
No. El firewall vigila el tráfico de red: qué conexiones entran y salen. El antivirus o el EDR vigilan lo que ocurre dentro del equipo: procesos, archivos y comportamientos sospechosos. Son piezas complementarias y ninguna sustituye a la otra.
Hay hasta tres capas: el firewall básico del router del operador, el firewall del sistema operativo de cada equipo —en Windows viene activado— y, en empresas con servidores o acceso remoto, un firewall perimetral dedicado entre el router y la red interna.
Técnicamente sí, y algunos programas lo piden para instalarse. Es mala idea: deja el equipo aceptando conexiones desde cualquier red a la que se conecte, incluidas las públicas. Si un programa concreto necesita paso, se crea una regla para ese programa, no se apaga la protección entera.
Si son pocas personas, todo está en la nube y no hay puertos abiertos, basta con el del router bien revisado y el de cada equipo. En cuanto hay servidor, carpetas compartidas o acceso remoto, hace falta un firewall perimetral de nueva generación con VPN, red de invitados separada y registros que se conserven.
¿Sabes qué está dejando pasar hoy el firewall de tu empresa?
Revisa tu seguridad con nosotros Sin compromiso · Respuesta en menos de 24 h
