Saltar la navegación

5.2. Cortafuegos

En la seguridad perimetral es común encontrar un router que actúe como firewall o cortafuegos. Los conceptos de cortafuegos y router son totalmente diferentes, pero ocurre que muchos routers incorporan un cortafuegos en su software y por ello no es necesario incorporar un cortafuegos adicional.

La configuración del cortafuegos se puede hacer a través del interfaz web del router, accediendo con cualquier navegador que incorpore el S.O.

En la imagen de la derecha se puede ver como el router TP-LINK TL-WR840Nv6, tiene un interfaz que nos permite configurar un cortafuegos o firewall sencillo con algunas opciones básicas al ser de uso doméstico. Se puede ver como se tiene la opción de configurar parámetros para que el router pueda ser atravesado por conexiones VPN.

La palabra que más se repite entre las opciones del firewall es “filtrar”. El cortafuegos más simple es un filtrado de paquetes, en el que los routers miran la dirección origen, la dirección destino y el puerto destino. Estos filtros aceptan o deniegan los paquetes permitiendo al router eliminar o dejar pasar el paquete.

Un ejemplo de este tipo de filtrado son las listas de control de acceso (ACL), son listados de restricciones o permisos que se aplican a un router para controlar el tráfico de entrada y de salida del mismo. Para crear una lista de control de acceso se emplea el comando access-list.

SAD03(config)#access-list Nº permit|deny [dirección IP] [máscara]

SAD03(config-if)#ip access-group Nº in|out

  • En el primero, Nº representa un número entre 0 y 99 que identifica a la lista, permit o deny se emplean para permitir o denegar, “dirección IP” representa a las direcciones que se van a filtrar o no y la “máscara” se utiliza para que el router sepa cuantos bits de la dirección especificada deben coincidir con los de la dirección del paquete analizado.
  • En el segundo, Nº es el número que representa a la lista y los parámetros in|out especifican si el tráfico es de entrada o de salida.

Para denegar el tráfico entrante a la red 192.168.1.0:

SAD03(config)#access list 2 deny 192.168.1.0 0.0.0.255

SAD03(config-if)#ip access-group 2 in

Además de las listas de control, otra solución es un proxy firewall, cuando una conexión llega al proxy, el proxy completa la conexión, y crea una nueva desde el proxy hasta el destino, el proxy no enruta el trafico, guarda información y realiza o no la conexión. El proxy es un intermediario entre los equipos de la red corporativa e Internet.