Tipos de firewall más utilizados

16min

Los tipos de firewall más utilizados ya no se limitan al clásico cortafuegos instalado entre la red interna e Internet. Las empresas combinan equipos físicos, software de host, servicios cloud, WAF y plataformas de nueva generación para controlar conexiones, aplicaciones, identidades y amenazas. Elegir bien exige entender qué protege cada tecnología, qué impacto tiene sobre el rendimiento y cómo encaja en la arquitectura de seguridad.

Índice

¿Qué es un firewall o cortafuegos?

Un firewall es un sistema de seguridad que analiza el tráfico de red y aplica reglas para permitir, bloquear o inspeccionar comunicaciones. Puede funcionar como dispositivo físico, programa, máquina virtual o servicio en la nube. Su objetivo no es “hacer segura” una red por sí solo, sino reducir la superficie de exposición y controlar qué comunicaciones están autorizadas.

NIST define los firewalls como dispositivos o programas que controlan el flujo de tráfico entre redes o equipos con diferentes niveles de confianza. Su guía SP 800-41 Rev. 1 sobre firewalls y políticas de cortafuegos sigue siendo una referencia para comprender filtrado de paquetes, inspección con estado, proxies y gestión de reglas, aunque las soluciones actuales han evolucionado hacia arquitecturas mucho más integradas.

Por eso, al comparar los tipos de firewall más utilizados conviene separar dos cuestiones: dónde se despliega el cortafuegos y qué arquitectura de inspección utiliza. Un firewall físico perimetral, por ejemplo, puede incorporar funciones NGFW, mientras que un servicio FWaaS puede realizar inspección avanzada desde la nube.

Tipos de firewall de software y hardware

La primera clasificación diferencia el lugar en el que se ejecuta la protección. Hardware, software y nube no son categorías excluyentes, y en organizaciones medianas o grandes es habitual combinarlas para cubrir distintos puntos de la infraestructura.

Cortafuegos de hardware perimetrales

Un firewall de hardware se sitúa normalmente entre una red privada y otras redes, como Internet. Su ventaja es que centraliza el control del tráfico antes de que llegue a servidores y estaciones de trabajo. Puede incorporar VPN, filtrado, prevención de intrusiones, control de aplicaciones, segmentación e inspección cifrada, según el modelo.

Entre los tipos de firewall más utilizados en empresas siguen figurando estos equipos perimetrales, especialmente cuando existen oficinas, centros de datos, redes industriales o múltiples VLAN. Su capacidad real debe medirse con las funciones de seguridad activadas, no solo con el rendimiento máximo anunciado por el fabricante.

Un equipo capaz de procesar varios gigabits por segundo con filtrado básico puede ofrecer una cifra sensiblemente inferior al habilitar IPS, antivirus, inspección TLS y otras funciones avanzadas. Por eso, el dimensionamiento debe realizarse pensando en la configuración que se utilizará en producción.

Tipos de firewall software para dispositivos individuales

Los firewalls de host se ejecutan directamente en ordenadores o servidores. Permiten decidir qué aplicaciones pueden abrir conexiones, qué puertos quedan expuestos y desde qué redes se acepta tráfico.

Su principal valor es que mantienen una capa de protección, aunque el dispositivo se encuentre fuera de la red corporativa. Esto resulta importante con teletrabajo, portátiles y entornos híbridos. Windows, macOS y Linux disponen de mecanismos de filtrado propios, aunque las empresas suelen gestionarlos de manera centralizada mediante políticas.

La protección local también resulta útil frente al movimiento lateral. Que un atacante haya conseguido entrar en un segmento de red no significa que deba tener acceso sin restricciones al resto de dispositivos presentes en él.

Firewalls basados en la nube (FWaaS) y entornos virtualizados de red (NFV)

Firewall as a Service, o FWaaS, traslada la inspección y aplicación de políticas a una infraestructura cloud gestionada. Resulta especialmente útil cuando usuarios, aplicaciones y datos ya no están concentrados en una única sede.

Dentro de los tipos de firewall más utilizados en arquitecturas modernas, el FWaaS destaca por su capacidad para aplicar controles de forma distribuida sin obligar a que todo el tráfico pase por un único centro de datos. En paralelo, NFV permite desplegar funciones de red, incluido el firewall, como software sobre infraestructura virtualizada.

La ventaja es la elasticidad y la facilidad para extender la protección a nuevas ubicaciones. La exigencia es contar con una buena integración de identidades, rutas, políticas y observabilidad para no sustituir un perímetro tradicional por una seguridad cloud fragmentada.

Tipos de firewall que existen según su arquitectura

La segunda clasificación analiza cómo toma decisiones el firewall. Cuanto mayor es la profundidad de inspección, mayor puede ser también el consumo de recursos y la complejidad operativa. Por eso, la opción con más funciones no es automáticamente la más adecuada.

Firewall de filtrado de paquetes (Packet-Filtering Firewall)

Es la forma más básica. Analiza atributos como IP de origen, IP de destino, protocolo y puertos. Normalmente no interpreta el contexto completo de una sesión ni el contenido de la aplicación.

NIST señala que el filtrado de paquetes sigue formando parte del núcleo de muchos firewalls modernos, aunque hoy es poco habitual encontrar soluciones empresariales limitadas únicamente a filtrado sin estado. Su sencillez lo hace rápido y útil en routers, ACL y controles muy concretos.

El problema aparece cuando una decisión de seguridad necesita contexto. Permitir tráfico al puerto 443, por ejemplo, no indica por sí mismo qué aplicación está utilizándolo ni si el contenido transportado es legítimo.

Firewall de inspección de estado (Stateful Inspection)

La inspección de estado mantiene información sobre las conexiones activas. No se limita a revisar un paquete aislado: verifica si forma parte de una sesión válida y si su estado coincide con lo esperado.

Este enfoque está entre los tipos de firewall más utilizados porque ofrece un equilibrio sólido entre rendimiento, contexto y control. Por ejemplo, puede permitir la respuesta a una conexión iniciada desde el interior sin dejar abierto permanentemente el mismo acceso desde el exterior.

NIST explica que estos sistemas mantienen una tabla de estado con información como origen, destino, puertos y estado de la conexión, lo que permite detectar paquetes que pretenden aparentar que pertenecen a una sesión existente.

Firewall Proxy o de pasarela de aplicación (Application-Level Gateway)

Un proxy de aplicación actúa como intermediario entre cliente y servidor. En lugar de permitir una comunicación directa, termina una conexión y crea otra hacia el destino.

Esto permite inspeccionar el protocolo y aplicar controles específicos a nivel de aplicación, además de ocultar determinados detalles de la red interna. Como contrapartida, puede introducir más latencia y exigir configuración específica para los protocolos que se quieran intermediar.

El modelo proxy sigue teniendo sentido cuando se necesita un control especialmente profundo del protocolo o cuando se quiere evitar una conexión directa entre dos extremos con diferentes niveles de confianza.

Firewall de Próxima Generación (NGFW)

Un NGFW amplía las funciones tradicionales con capacidades como identificación de aplicaciones, prevención de intrusiones, inteligencia de amenazas, inspección profunda y, según la plataforma, descifrado TLS, filtrado DNS o análisis de malware.

Cuando se estudian los tipos de firewall más utilizados en redes corporativas actuales, los NGFW ocupan una posición central porque permiten aplicar políticas más allá de una simple combinación de IP y puerto.

Esto facilita reglas del tipo “permitir esta aplicación a este grupo de usuarios” en lugar de limitar la decisión a un puerto concreto. También permite analizar patrones compatibles con ataques conocidos mediante funciones IDS o IPS.

El criterio importante es comprobar qué capacidades están incluidas, cuáles requieren licencias adicionales y qué rendimiento mantiene el dispositivo cuando están activos todos los motores de seguridad necesarios.

Firewall de Aplicaciones Web (WAF)

Un WAF protege aplicaciones web y API filtrando tráfico HTTP y HTTPS. Trabaja en la capa de aplicación y puede detectar o bloquear patrones asociados a ataques como inyección SQL, XSS, inclusión de archivos o peticiones maliciosas. Un WAF funciona como una barrera entre la aplicación web e Internet y analiza específicamente el tráfico destinado a ella.

Un WAF no sustituye a un firewall de red. Su función está especializada en proteger la capa web. Por eso, una infraestructura puede utilizar simultáneamente un firewall para controlar comunicaciones de red y un WAF delante de WordPress, WooCommerce, una aplicación SaaS o una API.

Firewalls de Gestión Unificada de Amenazas (UTM)

UTM agrupa diferentes funciones de seguridad en una única plataforma: firewall, antivirus, filtrado web, antispam, VPN y, con frecuencia, IDS/IPS.

Su atractivo está en simplificar la administración. Para pymes y sedes pequeñas puede resultar eficiente, aunque debe comprobarse si la consolidación crea un cuello de botella o una dependencia excesiva de un único dispositivo.

Fortinet define la gestión unificada de amenazas o UTM como la integración de múltiples funciones de seguridad en una misma solución, facilitando una gestión centralizada.

¿Cómo elegir entre los tipos de cortafuegos o firewall adecuados?

No existe un firewall universalmente mejor. La decisión debe partir del riesgo, la arquitectura y los requisitos operativos, no de una lista de funciones comerciales. En muchos casos, la solución correcta será una combinación de controles.

Evaluación de la infraestructura existente

El primer paso es identificar sedes, servidores, servicios cloud, dispositivos remotos, aplicaciones públicas y flujos entre redes. También hay que conocer qué sistemas ya realizan filtrado: routers, grupos de seguridad cloud, WAF, endpoints o plataformas de acceso remoto.

A partir de ahí puede decidirse dónde deben aplicarse los diferentes tipos de firewall más utilizados y evitar duplicidades innecesarias.

También conviene dibujar los flujos reales. Saber que existen diez servidores aporta menos información que conocer qué sistemas necesitan comunicarse, mediante qué protocolos y con qué usuarios o servicios.

Análisis del volumen de tráfico, ancho de banda y latencia máxima permitida

El rendimiento debe calcularse con las funciones reales que se van a utilizar. IPS, antivirus, inspección TLS o sandboxing pueden reducir de forma significativa el throughput frente a la cifra obtenida con filtrado básico.

También importa la latencia. Una oficina que accede principalmente a aplicaciones SaaS puede tolerar peor una arquitectura que obligue a desviar el tráfico por una sede central situada a cientos o miles de kilómetros.

En esos escenarios, servicios distribuidos y arquitecturas SASE pueden evitar recorridos innecesarios, siempre que el proveedor disponga de presencia adecuada y la política esté correctamente diseñada.

Determinación del nivel de protección

Una aplicación pública expuesta a Internet no tiene el mismo perfil de riesgo que una red administrativa aislada. El nivel de inspección debe ajustarse al activo, la amenaza y el impacto de un incidente.

Cuanto más crítico sea el recurso, más importante resulta combinar controles preventivos, detección, segmentación y registro, en lugar de confiar exclusivamente en el firewall.

Una aplicación web crítica, por ejemplo, puede requerir firewall de red, WAF, autenticación fuerte, protección DDoS, segmentación y monitorización. Ninguna de estas medidas elimina por sí sola la necesidad de las demás.

Requisitos de cumplimiento normativo y políticas de seguridad corporativa

Sectores regulados pueden necesitar conservar registros, restringir determinados flujos, demostrar segregación de redes o aplicar políticas de mínimo privilegio. El firewall debe permitir generar evidencias y mantener trazabilidad sobre cambios y accesos.

No basta con que la plataforma tenga una función disponible. Debe ser posible documentarla, auditarla y mantenerla dentro del proceso de seguridad de la organización.

También es recomendable separar las funciones de administración cuando resulte necesario y conservar un historial fiable de quién realizó cada cambio, cuándo y con qué justificación.

Evaluación del presupuesto disponible, costes de licenciamiento y capacidad de gestión interna

El coste real incluye hardware o suscripción, renovaciones, soporte, licencias de seguridad, alta disponibilidad, almacenamiento de logs y tiempo de administración.

Entre los tipos de firewall más utilizados existen soluciones muy diferentes en precio y complejidad. Una plataforma avanzada mal gestionada puede ofrecer menos protección práctica que una solución más sencilla, bien configurada y revisada periódicamente.

También debe valorarse qué aporta ya la infraestructura contratada. Por ejemplo, los Servidores Cloud de Arsys incluyen capacidades de firewall y protección DDoS, además de redes privadas y públicas. Aprovechar controles integrados puede simplificar determinados despliegues cuando las cargas ya se encuentran alojadas en esa plataforma.

El rol del firewall en el modelo Zero Trust y arquitecturas SASE

El firewall sigue siendo relevante, pero ya no puede considerarse la única frontera de confianza. Zero Trust desplaza el control desde la ubicación de red hacia la identidad, el dispositivo, el recurso y el contexto de acceso.

De la seguridad perimetral tradicional al principio de «Nunca confiar, siempre verificar»

La arquitectura Zero Trust parte de una idea esencial: encontrarse dentro de la red corporativa no debe otorgar confianza automática.

La publicación NIST SP 800-207 sobre Zero Trust Architecture establece que no se concede confianza implícita a usuarios o dispositivos únicamente por su ubicación física, su ubicación dentro de una red o su propiedad. La autenticación y autorización deben evaluarse antes de permitir el acceso a los recursos.

Esto cambia la forma de utilizar los tipos de firewall más utilizados: las políticas dejan de depender exclusivamente de direcciones IP o segmentos y empiezan a incorporar identidad, estado del dispositivo y sensibilidad del recurso.

Integración de FWaaS en plataformas SASE (Secure Access Service Edge) y SSE

SASE converge funciones de red y seguridad suministradas desde infraestructuras distribuidas. SSE representa la parte centrada específicamente en servicios de seguridad.

Cloudflare explica en su comparación entre SASE y SSE que SSE puede integrar Secure Web Gateway, CASB, ZTNA y FWaaS, mientras que SASE incorpora además la vertiente de conectividad, como SD-WAN.

Esta convergencia resulta útil cuando empleados y aplicaciones están repartidos entre oficinas, hogares, nubes públicas y servicios SaaS. En lugar de llevar obligatoriamente todo el tráfico a un perímetro físico, la política puede aplicarse mediante servicios cloud distribuidos.

Firewalls basados en la identidad del usuario (Identity-Aware Firewalls) y contexto del dispositivo

Las políticas modernas pueden asociarse a usuarios, grupos, aplicaciones o postura de seguridad del dispositivo. Así, dos conexiones hacia el mismo servidor y puerto pueden recibir decisiones diferentes según quién las inicia y desde qué equipo.

La identidad no elimina la necesidad de segmentación de red; la complementa con contexto adicional.

NIST ha llevado estos principios a entornos cloud-native y multicloud mediante SP 800-207A, donde las identidades de aplicaciones, servicios y cargas de trabajo adquieren un papel relevante, además de las identidades de usuarios y dispositivos.

Gestión, auditoría y mantenimiento de políticas de firewall

La eficacia de un firewall depende tanto de su tecnología como del mantenimiento de sus reglas. Una política antigua, redundante o demasiado permisiva puede neutralizar buena parte de la inversión en seguridad.

Optimización y depuración de reglas obsoletas o redundantes

Las reglas deben revisarse periódicamente para localizar accesos temporales que nunca se retiraron, objetos duplicados, servicios sin uso, excepciones demasiado amplias o reglas que ya no responden a ninguna necesidad empresarial.

Entre los tipos de firewall más utilizados, prácticamente todos permiten registrar coincidencias de reglas. Estos datos ayudan a identificar políticas que llevan meses sin utilizarse antes de plantear su eliminación.

Sin embargo, una regla sin actividad reciente no puede eliminarse automáticamente: podría proteger un proceso mensual, trimestral o destinado exclusivamente a contingencias. Cualquier retirada debe seguir un procedimiento controlado, con copia de seguridad y posibilidad de reversión.

Automatización y orquestación de políticas de seguridad mediante código (GitOps y Terraform)

La infraestructura como código permite definir determinadas reglas de red en archivos versionados y someter los cambios a revisión, pruebas y aprobación.

HashiCorp documenta el uso de Terraform para gestionar reglas de entrada y salida de red, estandarizar configuraciones, aplicar mínimo privilegio y detectar cambios manuales que hayan provocado desviaciones respecto a la configuración declarada.

En un flujo GitOps, un cambio puede pasar por repositorio, revisión de código y pipeline antes de desplegarse. Esto mejora la trazabilidad y reduce modificaciones manuales no documentadas, aunque exige validaciones adecuadas para evitar que un error automatizado se replique simultáneamente en muchos entornos.

La automatización aporta especialmente valor cuando existen decenas o cientos de redes, cuentas cloud o entornos que deben mantener reglas coherentes.

Monitorización de eventos e integración de registros (Logs) con sistemas SIEM y SOAR para respuesta ante incidentes

Los logs del firewall aportan información sobre conexiones permitidas y bloqueadas, reglas activadas, direcciones implicadas, anomalías y cambios administrativos. Guardarlos únicamente en el propio equipo limita enormemente su utilidad.

Integrarlos con un SIEM permite correlacionar esos datos con identidades, endpoints, servidores, sistemas de autenticación y aplicaciones. Una sucesión de conexiones bloqueadas puede ser irrelevante por separado y adquirir importancia al relacionarla con otros eventos ocurridos al mismo usuario o dispositivo.

Los sistemas SOAR pueden añadir automatización a determinados procedimientos de respuesta, como enriquecer una alerta, consultar indicadores o ejecutar acciones previamente definidas.

La automatización, sin embargo, necesita límites. Bloquear automáticamente una dirección, cuenta o servicio a partir de un único evento puede provocar falsos positivos y afectar a usuarios legítimos.

En definitiva, los tipos de firewall más utilizados deben entenderse como piezas de una estrategia de seguridad más amplia. El mejor diseño no es el que acumula más funciones, sino el que aplica controles coherentes en cada punto, mantiene políticas claras, registra lo que ocurre y se adapta al riesgo real de la organización.

Sergio Arias

Artículos relacionados

Productos relacionados: