Cómo funciona un firewall: filtrado de paquetes y control de conexiones

Imagina que tu computadora es una casa y la red es la calle afuera. Un firewall es como un portero inteligente en la puerta: ve cada carta que llega, revisa quién la envía y a dónde va dirigida, y decide si la deja pasar o la rechaza. Pero a diferencia de un portero que solo mira el sobre, un firewall moderno puede entender el contenido de lo que fluye, recordar conversaciones previas, e incluso inspeccionar qué tipo de mensaje es realmente.

Esta es la pregunta fundamental: ¿cómo sabe tu computadora qué tráfico es legítimo y cuál es potencialmente malicioso? La respuesta está en cómo funcionan los firewalls, y entender esto te ayudará a comprender tanto la seguridad de tu red casera como por qué algunos gobiernos pueden controlar qué contenido ves en internet.

Qué es un firewall, realmente

Un firewall es un filtro de red que se coloca entre dos redes o entre una red y un dispositivo. Su trabajo es decidir qué datos pueden pasar basándose en un conjunto de reglas. Técnicamente, trabaja analizando "paquetes": unidades pequeñas de datos que se envían por internet. Cada paquete contiene información sobre su origen (dirección IP de salida), su destino (dirección IP de llegada), el tipo de servicio que usa (el puerto, que es como un número de apartado), y otros metadatos.

Un firewall básico examina estos metadatos y dice: "Este paquete viene de 192.168.1.50 yendo al puerto 443 (HTTPS). ¿Corresponde con mis reglas? Sí. Lo dejo pasar." O: "Este viene del exterior hacia el puerto 22 (SSH). No lo esperaba. Lo bloqueo."

Filtrado simple: direcciones IP y puertos

El tipo más elemental de firewall es un filtro de paquetes. Mira dos cosas principalmente: la dirección IP (quién envía) y el puerto (qué servicio).

Piensa en las direcciones IP como direcciones de correo postal: 192.168.1.5 es una dirección única en tu red. Los puertos son como números de apartado en ese edificio. El puerto 80 es casi siempre tráfico web (HTTP), el puerto 443 es web seguro (HTTPS), el puerto 25 es correo electrónico (SMTP). Si configuras tu firewall casero para "bloquear todo tráfico desde el exterior hacia el puerto 22", estás diciendo: "No quiero que nadie de internet intente conectarse a mi servicio SSH."

Este enfoque es rápido y requiere poco procesamiento, pero tiene un problema obvio: es muy rígido. Un atacante podría usar un puerto permitido (como el 443) para enviar malware. El firewall lo dejaría pasar simplemente porque ve "tráfico en puerto 443" sin entender qué hay dentro del paquete.

Inspección stateful: recordar conversaciones

Los firewalls modernos hacen algo más inteligente: mantienen memoria de las conexiones. Esto se llama inspección stateful (inspección con estado). El firewall registra: "La computadora interna 192.168.1.5 acaba de iniciar una conexión HTTPS con un servidor externo. Está en progreso." Ahora, cuando llegan paquetes de retorno de ese servidor, el firewall reconoce que son parte de una conversación esperada y los deja pasar, incluso si su configuración de reglas por defecto sería bloquearlos.

Esto es crucial. Un firewall stateful evita un problema de los filtros simples: a menudo, para hacer cualquier cosa útil en internet, necesitas enviar datos hacia afuera y recibir respuestas. Si el firewall solo filtrara por puerto sin recordar qué conversaciones iniciaste, tendrías que permitir casi todo el tráfico entrante, lo que sería muy inseguro.

Tu router casero probablemente implementa inspección stateful. Por eso puedes acceder a cualquier sitio web sin tener que abrir manualmente cada puerto: el router recuerda que *tú* iniciaste esa conexión web, así que permite que la respuesta del servidor regrese.

Firewalls de aplicación: entender qué es realmente el tráfico

Un paso más allá está el firewall de aplicación (application-layer firewall o WAF, Web Application Firewall). Este no solo mira la dirección IP y el puerto. Entiende el protocolo específico: examina el contenido real de los mensajes HTTP, FTP, DNS, etc.

Por ejemplo, un WAF podría inspeccionar el contenido de una solicitud HTTP y decir: "Veo una solicitud web que intenta inyectar código SQL en la base de datos. Esto es un ataque. Lo bloqueo." Un firewall simple nunca lo vería; solo vería "puerto 443, tráfico HTTPS," y lo permitiría.

Esta capacidad es poderosa pero tiene un costo: requiere mucho procesamiento. Tu router casero probablemente no lo hace (sería demasiado lento). Los proveedores de internet y las empresas grandes sí mantienen estos.

Diferentes firewalls, diferentes escales

Tu router casero tiene un firewall. Tu sistema operativo (Windows, macOS, Linux) tiene otro. Las empresas mantienen firewalls en el perímetro de su red. Y los gobiernos... construyen firewalls continentales.

El Gran Cortafuegos de China (Great Firewall) es esencialmente un firewall stateful enorme con una capacidad adicional llamada inspección profunda de paquetes (DPI: deep packet inspection). El DPI examina el contenido de los paquetes en busca de palabras clave, patrones o certificados específicos. Si ve tráfico que se parece a una solicitud a un sitio prohibido, puede bloquearlo incluso si usa conexiones cifradas.

No es magia, no es un misterio. Es un firewall de aplicación a escala nacional, con reglas políticas en lugar de técnicas.

Limitaciones y equilibrios

Cada tipo de firewall intercambia cosas. Más inspección = mejor seguridad, pero más lentitud. Más reglas = control más fino, pero más complejidad y más puntos donde las reglas pueden conflictuar. Un firewall puede bloquear ataques, pero no puede protegerte de malware que ya está en tu máquina.

Además, un firewall solo ve direcciones, puertos y patrones de datos. No puede leer tu mente. Si visitas un sitio legítimo pero que luego te roba información, el firewall no lo detendrá, porque crees que quieres estar allí.

Lo fundamental

Un firewall es un filtro de red inteligente. Empieza simple (IP + puerto), se vuelve stateful (recuerda conversaciones), y puede volverse sofisticado (entiende protocolos y contenido). Cada máquina, cada red y cada país puede tener firewalls con diferentes reglas. Entender cómo funcionan te ayuda a comprender tanto tu propia seguridad como cómo la censura y el control de red operan a mayor escala. El próximo paso es aprender sobre cifrado, porque un firewall solo ve metadatos—si los datos están cifrados, todo lo que ve es que fluye información, no qué información fluye.