Implementación y Arquitecturas de Cortafuegos para la Seguridad de Redes

Cortafuegos (Firewall): Definición y Función

Un Cortafuegos (o Firewall) es una aplicación o dispositivo diseñado para bloquear comunicaciones no autorizadas, permitiendo al mismo tiempo aquellas que sí están explícitamente permitidas.

Características Fundamentales

• Filtrado de paquetes (por dirección MAC, IP o puerto).
• Filtrado por aplicación.
• Distinción del tráfico de entrada y salida.
• Registro (log) de los paquetes filtrados.

Clasificación de Cortafuegos por Ubicación

Los cortafuegos pueden clasificarse según el lugar donde se implementan dentro de la infraestructura de red:

Firewall Basado en Servidor

Consiste en una aplicación de cortafuegos que se instala y se ejecuta en un Sistema Operativo de Red (NOS). Este tipo de implementación a menudo ofrece servicios adicionales como enrutamiento, proxy, DNS o DHCP.

Firewall Dedicado (Dispositivo de Red Exclusivo)

Son equipos de hardware que tienen instalada una aplicación específica de cortafuegos. Estos dispositivos trabajan de forma autónoma, dedicados exclusivamente a la función de protección.

Firewall Integrado en Dispositivos de Red

Se integran directamente en dispositivos de hardware existentes (como switches o routers) para ofrecer funcionalidad de cortafuegos adicional.

Firewall Personal (en PC)

Se instalan en los distintos equipos de la red (a nivel de host) para protegerlos individualmente de amenazas externas.

Arquitecturas Comunes de Cortafuegos

La arquitectura define cómo se posiciona el cortafuegos en relación con las redes interna y externa:

Screening Router

Actúa como frontera entre la red privada y la pública. Es un router que realiza tareas básicas de filtrado de paquetes.

Dual Homed-Host

Se utiliza un equipo servidor como frontera que realizará tareas de filtrado y enrutamiento mediante al menos dos tarjetas de red. Esto permite una mayor flexibilidad en la configuración e instalación de aplicaciones de seguridad.

Screened Host

Combina un router como equipo fronterizo exterior y un servidor proxy que filtrará y permitirá añadir reglas de filtrado específicas para las aplicaciones más utilizadas.

Screened Subnet (Subred Filtrada)

Implica la creación de una subred intermedia, denominada DMZ (Zona Desmilitarizada), situada entre la red externa y la red privada interna. Esta arquitectura permite establecer dos niveles de seguridad: uno ligeramente menor en el cortafuegos más externo y uno de mayor nivel de seguridad en el cortafuegos de acceso a la red interna.

La Red DMZ (Zona Desmilitarizada)

Propósito y Configuración

La DMZ es una red local que permite alojar servicios de carácter público accesibles desde el exterior (como servidores DNS, HTTP, FTP, etc.), mientras mantiene los equipos privados (como servidores de bases de datos) inaccesibles desde el exterior.

Una configuración típica de DMZ utiliza dos cortafuegos: la DMZ se sitúa en medio, conectándose a ambos. Un cortafuegos gestiona la conexión a la red interna y el otro a la red externa (Internet).