UD 4:

Instalacin y configuracin de
cortafuegos

Cortafuegos

Luis Alfonso Snchez Brazales 1
Concepto. Utilizacin de cortafuegos.
Un cortafuegos (firewall en ingls) es una parte de un sistema o una red que
est diseada para bloquear el acceso no autorizado, permitiendo al mismo
tiempo comunicaciones autorizadas.
Se trata de un dispositivo o conjunto de dispositivos configurados para permitir,
limitar, cifrar, descifrar, el trfico entre los diferentes mbitos sobre la base de
un conjunto de normas y otros criterios.

Los cortafuegos pueden ser implementados en hardware o software, o una
combinacin de ambos. Los cortafuegos se utilizan con frecuencia para evitar
que los usuarios de Internet no autorizados tengan acceso a redes privadas
conectadas a Internet, especialmente intranets. Todos los mensajes que entren
o salgan de la intranet pasan a travs del cortafuegos, que examina cada
mensaje y bloquea aquellos que no cumplen
los criterios de seguridad especificados.
Tambin es frecuente conectar al cortafuegos
a una tercera red, llamada Zona desmilitarizada o DMZ, en la que se ubican los servidores de la organizacin
que deben permanecer accesibles desde la red exterior.
Un cortafuegos correctamente configurado aade una proteccin necesaria a la
red, pero que en ningn caso debe considerarse suficiente. La seguridad informtica
abarca ms mbitos y ms niveles de trabajo y proteccin.

Luis Alfonso Snchez Brazales 2
Historia de los cortafuegos
El trmino firewall / fireblock significaba originalmente una pared para confinar un incendio o riesgo
potencial de incendio en un edificio. Ms adelante se usa para referirse a las estructuras similares, como
la hoja de metal que separa el compartimiento del motor de un vehculo o una aeronave de la cabina. La
tecnologa de los cortafuegos surgi a finales de 1980, cuando Internet era una tecnologa bastante
nueva en cuanto a su uso global y la conectividad. Los predecesores de los cortafuegos para la seguridad
de la red fueron los routers utilizados a finales de 1980, que mantenan a las redes separadas unas de
otras. La visin de Internet como una comunidad relativamente pequea de usuarios con mquinas
compatibles, que valoraba la predisposicin para el intercambio y la colaboracin, termin con una
serie de importantes violaciones de seguridad de Internet que se produjo a finales de los 80:

Clifford Stoll, que descubri la forma de manipular el sistema de espionaje alemn.
Bill Cheswick, cuando en 1992 instal una crcel simple electrnica para observar a un atacante.
En 1988, un empleado del Centro de Investigacin Ames de la NASA, en California, envi una nota
por correo electrnico a sus colegas que deca: "Estamos bajo el ataque de un virus de Internet! Ha
llegado a Berkeley, UC San Diego, Lawrence Livermore, Stanford y la NASA Ames."
El Gusano Morris, que se extendi a travs de mltiples vulnerabilidades en las mquinas de la
poca. Aunque no era malicioso, el gusano Morris fue el primer ataque a gran escala sobre la
seguridad en Internet; la red no esperaba ni estaba preparada para hacer frente a su ataque.

Luis Alfonso Snchez Brazales 3
Historia de los cortafuegos
Primera generacin cortafuegos de red: filtrado de paquetes

El primer documento publicado para la tecnologa firewall data de 1988, cuando el equipo de ingenieros Digital
Equipment Corporation (DEC) desarroll los sistemas de filtro conocidos como cortafuegos de filtrado de paquetes.
Este sistema, bastante bsico, fue la primera generacin de lo que se convertira en una caracterstica ms tcnica y
evolucionada de la seguridad de Internet. En AT&T Bell, Bill Cheswick y Steve Bellovin, continuaban sus investigaciones
en el filtrado de paquetes y desarrollaron un modelo de trabajo para su propia empresa, con base en su arquitectura
original de la primera generacin.
El filtrado de paquetes acta mediante la inspeccin de los paquetes (que representan la unidad bsica de
transferencia de datos entre computadoras en Internet). Si un paquete coincide con el conjunto de reglas del filtro, el
paquete se reducir (descarte silencioso) o ser rechazado (desprendindose de l y enviando una respuesta de error al
emisor). Este tipo de filtrado de paquetes no presta atencin a si el paquete es parte de una secuencia existente de
trfico. En su lugar, se filtra cada paquete basndose nicamente en la informacin contenida en el paquete en s (por
lo general utiliza una combinacin del emisor del paquete y la direccin de destino, su protocolo, y, en el trfico TCP y
UDP, el nmero de puerto). Los protocolos TCP y UDP comprenden la mayor parte de comunicacin a travs de
Internet, utilizando por convencin puertos bien conocidos para determinados tipos de trfico, por lo que un filtro de
paquetes puede distinguir entre ambos tipos de trfico (ya sean navegacin web, impresin remota, envo y recepcin
de correo electrnico, transferencia de archivos); a menos que las mquinas a cada lado del filtro de paquetes estn a
la vez utilizando los mismos puertos no estndar.
El filtrado de paquetes llevado a cabo por un cortafuegos acta en las tres primeras capas del modelo de referencia
OSI, lo que significa que todo el trabajo lo realiza entre la red y las capas fsicas. Cuando el emisor origina un paquete y
es filtrado por el cortafuegos, ste ltimo comprueba las reglas de filtrado de paquetes que lleva configuradas,
aceptando o rechazando el paquete en consecuencia. Cuando el paquete pasa a travs de cortafuegos, ste filtra el
paquete mediante un protocolo y un nmero de puerto base (GSS). Por ejemplo, si existe una norma en el cortafuegos
para bloquear el acceso telnet, bloquear el protocolo IP para el nmero de puerto 23.
Luis Alfonso Snchez Brazales 4
Historia de los cortafuegos
Segunda generacin cortafuegos de estado

Durante 1989 y 1990, tres colegas de los laboratorios AT&T Bell, Dave Presetto, Janardan Sharma, y Nigam Kshitij,
desarrollaron la tercera generacin de servidores de seguridad. Esta segunda generacin de cortafuegos tiene en
cuenta, adems, la colocacin de cada paquete individual dentro de una serie de paquetes. Esta tecnologa se conoce
generalmente como la inspeccin de estado de paquetes, ya que mantiene registros de todas las conexiones que pasan
por el cortafuegos, siendo capaz de determinar si un paquete indica el inicio de una nueva conexin, es parte de una
conexin existente, o es un paquete errneo. Este tipo de cortafuegos pueden ayudar a prevenir ataques contra
conexiones en curso o ciertos ataques de denegacin de servicio.

Tercera generacin - cortafuegos de aplicacin

Son aquellos que actan sobre la capa de aplicacin del modelo OSI. La clave de un cortafuegos de aplicacin es que
puede entender ciertas aplicaciones y protocolos (por ejemplo: protocolo de transferencia de ficheros, DNS o
navegacin web), y permite detectar si un protocolo no deseado se col a travs de un puerto no estndar o si se est
abusando de un protocolo de forma perjudicial.
Un cortafuegos de aplicacin es mucho ms seguro y fiable cuando se compara con un cortafuegos de filtrado de
paquetes, ya que repercute en las siete capas del modelo de referencia OSI. En esencia es similar a un cortafuegos de
filtrado de paquetes, con la diferencia de que tambin podemos filtrar el contenido del paquete. El mejor ejemplo de
cortafuegos de aplicacin es ISA (Internet Security and Acceleration).
Un cortafuegos de aplicacin puede filtrar protocolos de capas superiores tales como FTP, TELNET, DNS, DHCP, HTTP,
TCP, UDP y TFTP (GSS). Por ejemplo, si una organizacin quiere bloquear toda la informacin relacionada con una
palabra en concreto, puede habilitarse el filtrado de contenido para bloquear esa palabra en particular. No obstante, los
cortafuegos de aplicacin resultan ms lentos que los de estado.
Luis Alfonso Snchez Brazales 5
Historia de los cortafuegos
Acontecimientos posteriores

En 1992, Bob Braden y DeSchon Annette, de la Universidad del Sur de California (USC), dan forma al concepto de
cortafuegos. Su producto, conocido como "Visas", fue el primer sistema con una interfaz grfica con colores e iconos,
fcilmente implementable y compatible con sistemas operativos como Windows de Microsoft o MacOS de Apple. En
1994, una compaa israel llamada Check Point Software Technologies lo patent como software denominndolo
FireWall-1.

La funcionalidad existente de inspeccin profunda de paquetes en los actuales cortafuegos puede ser compartida por
los sistemas de prevencin de intrusiones (IPS).

Actualmente, el Grupo de Trabajo de Comunicacin Middlebox de la Internet Engineering Task Force (IETF) est
trabajando en la estandarizacin de protocolos para la gestin de cortafuegos.

Otro de los ejes de desarrollo consiste en integrar la identidad de los usuarios dentro del conjunto de reglas del
cortafuegos. Algunos cortafuegos proporcionan caractersticas tales como unir a las identidades de usuario con las
direcciones IP o MAC. Otros, como el cortafuegos NuFW, proporcionan caractersticas de identificacin real solicitando
la firma del usuario para cada conexin.
Luis Alfonso Snchez Brazales 6
Funciones principales de un cortafuegos: Filtrado de
paquetes de datos, filtrado por
aplicacin, Reglas de filtrado y registros de sucesos de
un cortafuegos.
Filtrado de paquetes de datos::
Un sistema firewall opera segn el principio del filtrado simple de paquetes, o filtrado de paquetes stateless.
Analiza el encabezado de cada paquete de datos (datagrama) que se ha intercambiado entre un ordenador de red
interna y
un ordenador externo. As, los paquetes de datos que se han intercambiado entre un ordenador con
red externa y uno con red interna pasan por el firewall y contienen los siguientes encabezados, los cuales son
analizados sistemticamente por el firewall:
- La direccin IP del ordenador que enva los paquetes
- La direccin IP del ordenador que recibe los paquetes
- El tipo de paquete (TCP,UDP, etc.)
- El nmero de puerto
(recordatorio: un puerto es un nmero asociado a
un servicio o a una aplicacin de red).
Las direcciones IP que los paquetes contienen permiten identificar el ordenador
que enva los paquetes y el ordenador de destino, mientras que el tipo de
paquete y el nmero de puerto indican el tipo de servicio que se utiliza.
Luis Alfonso Snchez Brazales 7
Funciones principales de un cortafuegos: Filtrado de
paquetes de datos, filtrado por
aplicacin, Reglas de filtrado y registros de sucesos de
un cortafuegos.
Filtrado por aplicacin

Trabaja en el nivel de aplicacin (capa 7 del modelo OSI), de manera que los filtrados se pueden adaptar a
caractersticas propias de los protocolos de este nivel. Por ejemplo, si trata de trfico HTTP, se pueden realizar filtrados
segn la URL a la que se est intentando acceder.

Un cortafuegos a nivel 7 de trfico HTTP suele denominarse proxy, y permite que los computadores de una
organizacin entren a Internet de una forma controlada. Un proxy oculta de manera eficaz las verdaderas direcciones
de red.

Luis Alfonso Snchez Brazales 8
Funciones principales de un cortafuegos: Filtrado de
paquetes de datos, filtrado por
aplicacin, Reglas de filtrado y registros de sucesos de
un cortafuegos.
Reglas de filtrado

Las reglas de filtrado se basan en revisar la informacin que poseen los paquetes en su encabezado, lo que hace posible
su desplazamiento en un proceso de IP.
Esta informacin consiste en la direccin IP fuente, la direccin IP destino, el protocolo de encapsulado (TCP, UDP,ICMP,
o IP tunnel), el puerto fuente TCP/UDP, el puerto destino TCP/UDP,
el tipo de mensaje ICMP, la interface de entrada del paquete, y la interface de salida del paquete. Si se encuentra la
correspondencia y las reglas permiten el paso del paquete,
este ser desplazado de acuerdo a la informacin a la tabla de ruteo, si se encuentra la correspondencia y las reglas
niegan el paso, el paquete es descartado.
Si estos no corresponden a las reglas, un parmetro configurable por incumplimiento determina descartar o desplazar
el paquete.

Registros de sucesos de un cortafuegos.
Puede habilitar el registro de sucesos del cortafuegos como ayuda para identificar el origen del trfico entrante
y obtener informacin detallada acerca de qu trfico se est bloqueando. Normalmente el trfico saliente
correcto no se registra. El trfico saliente que no est bloqueado no se registra.

Luis Alfonso Snchez Brazales 9
Listas de control de acceso (ACL)
Una lista de control de acceso o ACL (del ingls, access control list) es un concepto de seguridad
informtica usado para fomentar la separacin de privilegios. Es una forma de determinar los
permisos de acceso apropiados a un determinado objeto, dependiendo de ciertos aspectos del
proceso que hace el pedido. Las ACL permiten controlar el flujo del trfico en equipos de redes, tales como enrutadores
y
conmutadores. Su principal objetivo es filtrar trfico, permitiendo o denegando el trfico de red de
acuerdo a alguna condicin. Sin embargo, tambin tienen usos adicionales, como por ejemplo,
distinguir "trfico interesante" (trfico suficientemente importante como para activar o mantener
una conexin) en RDSI.
En redes informticas, ACL se refiere a una lista de reglas que detallan puertos de servicio o
nombres de dominios (de redes) que estn disponibles en un terminal u otro dispositivo de capa de
red, cada uno de ellos con una lista de terminales y/o redes que tienen permiso para usar el
servicio. Tanto servidores individuales como enrutadores pueden tener ACL de redes. Las listas de
control de acceso pueden configurarse generalmente para controlar trfico entrante y saliente y en
este contexto son similares a un cortafuegos. Existen dos tipos de listas de control de acceso:
-Listas estndar, donde solo tenemos que especificar una direccin de origen;
-Listas extendidas, en cuya sintaxis aparece el protocolo y una direccin de origen y de
destino.
Luis Alfonso Snchez Brazales 10
Ventajas y Limitaciones de los cortafuegos
Ventajas:

-Bloquea el acceso a personas y/o aplicaciones no autorizadas a redes privadas.

-Administran los accesos provenientes de Internet hacia la red privada. Sin un firewall , cada uno
de los servidores propios del sistema se exponen al ataque de otros servidores en el Internet.
Por ello la seguridad en la red privada depende de la "dureza" con que el firewall cuente.

-Administran los accesos provenientes de la red privada hacia el Internet .

-Permite al administrador de la red mantener fuera de la red privada a los usuarios no autorizados
(tal, como, hackers , crakers y espas), prohibiendo potencialmente la entrada o salida de datos.

-El firewall crea una bitcora en donde se registra el trfico ms significativo que pasa a travs l.

-Concentra la seguridad Centraliza los accesos
Luis Alfonso Snchez Brazales 11
Ventajas y Limitaciones de los cortafuegos
Limitaciones:

-Un cortafuegos no puede proteger contra aquellos ataques cuyo trfico no pase a travs de l.

- El cortafuegos no puede proteger de las amenazas a las que est sometido por ataquesinternos o usuarios
negligentes.
El cortafuegos no puede prohibir a espas corporativos copiar datos sensibles en medios fsicos de almacenamiento
(discos, memorias, etc.) y
sustraerlas del edificio.

-El cortafuegos no puede proteger contra los ataques de ingeniera social.

-El cortafuegos no puede proteger contra los ataques posibles a la red interna por virus informticos
a travs de archivos y software. La solucin real est en que la organizacin
debe ser consciente en instalar software antivirus en cada mquina para protegerse de los
virus que llegan por cualquier medio de almacenamiento u otra fuente.

-El cortafuegos no protege de los fallos de seguridad de los servicios y protocolos cuyo
trfico est permitido. Hay que configurar correctamente y cuidar la seguridad de los
servicios que se publiquen en Internet.
Luis Alfonso Snchez Brazales 12
Polticas de cortafuegos
Existen dos tipos de polticas de cortafuegos:

-Poltica restrictiva:
Se deniega todo el trfico excepto el que est explcitamente permitido.
El cortafuegos obstruye todo el trfico y hay que habilitar expresamente el trfico de los
servicios que se necesiten. Esta aproximacin es la que suelen utilizar la empresas y organismos gubernamentales.

-Poltica permisiva:
Se permite todo el trfico excepto el que est explcitamente denegado.
Cada servicio potencialmente peligroso necesitar ser aislado bsicamente caso por caso,
mientras que el resto del trfico no ser filtrado. Esta aproximacin la suelen utilizar
universidades, centros de investigacin y servicios pblicos de acceso a internet.

La poltica restrictiva es la ms segura, ya que es ms difcil permitir por error trfico
potencialmente peligroso, mientras que en la poltica permisiva es posible que no se haya
contemplado algn caso de trfico peligroso y sea permitido por omisin.
Luis Alfonso Snchez Brazales 13
Tipos de cortafuegos
Clasificacin por ubicacin.

-Cortafuegos personales (para PC).
Los Cortafuegos personales son programas que se instalan de forma residente en nuestro ordenador y que permiten
filtrar y controlar la conexin a la red.

-Cortafuegos para pequeas oficinas.
Los Cortafuegos personales son programas que se instalan de forma residente en un aparato (router) de una pequea y
que permiten filtrar y controlar la conexin a la red.

-Cortafuegos corporativos.
Es un cortafuegos para sistemas interconectados de organizaciones y empresas en donde cierta cantidad de equipos
podran estar conectados en red compartiendo y accediendo a cientos de
recursos simultneamente. Estos sistemas tienen el objetivo de filtrar las comunicaciones en el borde de la
organizacin.
Este tipo de dispositivos puede ser de software o hardware y su costo depender del tamao y prestaciones brindadas.



Luis Alfonso Snchez Brazales 14
Tipos de cortafuegos
Los principales aspectos crticos que deber resolver la configuracin del cortafuegos en los sistemas corporativos se
centrarn en las siguientes problemticas:

-Comunes con el usuario:
usurpacin de la identidad e integridad de la informacin.

-Accesos autorizados:
permitir el acceso a las direcciones de origen validadas y autorizadas.

-Aplicaciones autorizadas:
permitir el acceso a las aplicaciones en funcin de la identidad validada.

-Filtrado de solicitudes de conexin desde nuestra red a Internet.

-Proteccin de los datos de identidad de nuestros usuarios en los accesos autorizados a Internet.

-Proteccin ante caballos de Troya, en forma de archivos Java, PostScript, etc.

-Realizar todas las funciones anteriores sin afectar a las prestaciones y funcionalidades de
Internet que los usuarios internos demandan.

Luis Alfonso Snchez Brazales 15
Tipos de cortafuegos
Clasificacin por tecnologa.

-Filtros de paquetes.

Es un cortafuegos que consiste en filtrar paquetes de red, con el objetivo de que el router puedo
bloquear o permitir la comunicacin mediante las listas de control de acceso (ACL) en funcin de
las caractersticas de la tramas de los paquetes. Para determinar el filtrado se miran las direcciones
origen y destino, el protocolo, los puertos origen y destino (en el caso de TCP y UDP), el tipo de
mensaje (en el caso de ICMP) y los interfaces de entrada y salida de la trama en el router. La
desventaja de este cortafuegos es que no dispone de un sistema de monitorizacin sofisticado y el
administrador no distingue entre si el router est siendo atacado o si su seguridad se ha visto comprometida..

Luis Alfonso Snchez Brazales 16
Tipos de cortafuegos
-Proxy de aplicacin.

Adems del filtrado de paquetes, es habitual que los cortafuegos utilicen aplicaciones software
para reenviar o bloquear conexiones a servicios como finger, telnet o FTP; a tales aplicaciones se les
denomina servicios proxy, mientras que a la mquina donde se ejecutan se le llama pasarela de aplicacin.
Los servicios proxy poseen una serie de ventajas de cara a incrementar nuestra seguridad:
En primer lugar, permiten nicamente la utilizacin de servicios para los que existe un proxy, por lo que si en nuestra
organizacin la pasarela de aplicacin contiene nicamente proxies
para telnet, HTTP y FTP, el resto de servicios no estarn disponibles para nadie.
Una segunda ventaja es que en la pasarela es posible filtrar protocolos basndose en algo ms que la cabecera de las
tramas,
lo que hace posible por ejemplo tener habilitado un servicio como FTP
pero con rdenes restringidas (podramos bloquear todos los comandos put para que nadie pueda subir ficheros a un
servidor).
El principal inconveniente que encontramos a la hora de instalar una pasarela de aplicacin es que
cada servicio que deseemos ofrecer necesita su propio proxy; adems se trata de un elemento que
frecuentemente es ms caro que un simple filtro de paquetes, y su rendimiento es mucho menor
(por ejemplo, puede llegar a limitar el ancho de banda efectivo de la red, si el anlisis de cada trama es costoso).

Luis Alfonso Snchez Brazales 17
Tipos de cortafuegos
En el caso de protocolos cliente-servidor (como telnet) se aade la desventaja de que necesitamos
dos pasos para conectar hacia la zona segura o hacia el resto de la red; incluso algunas
implementaciones necesitan clientes modificados para funcionar correctamente. Una variante de
las pasarelas de aplicacin la constituyen las pasarelas de nivel de circuito (Circuit-level Gateways)
sistemas capaces de redirigir conexiones (reenviando tramas) pero que no pueden procesar o filtrar
paquetes en base al protocolo utilizado; se limitan simplemente a autenticar al usuario (a su conexin) antes de
establecer el circuito virtual entre sistemas.
El firewall est programado para distinguir los paquetes legtimos para diferentes tipos de conexiones.
Slo los paquetes que coincidan con una conexin conocida activa sern permitidos por el firewall, mientras que otros
sern rechazados.

- Hibrido
Conscientes de las debilidades de los firewalls de filtrado de paquetes y de los de nivel de
aplicacin, algunos proveedores han introducido firewalls hbridos que combinan las tcnicas de los
otros dos tipos. Debido a que los firewalls hbridos siguen basndose en los mecanismos de filtrado
de paquetes para soportar ciertas aplicaciones, an tienen las mismas debilidades en la seguridad.

Luis Alfonso Snchez Brazales 18
Arquitectura de cortafuegos
Arquitectura - Cortafuego de filtrado de paquetes.

Es un cortafuegos que consiste en filtrar paquetes de red, con el objetivo de que el router puedo
bloquear o permitir la comunicacin mediante las listas de control de acceso (ACL) en funcin de
las caractersticas de la tramas de los paquetes. Para determinar el filtrado se miran las direcciones
origen y destino, el protocolo, los puertos origen y destino (en el caso de TCP y UDP), el tipo de
mensaje (en el caso de ICMP) y los interfaces de entrada y salida de la trama en el router. La
desventaja de este cortafuegos es que no dispone de un sistema de monitorizacin sofisticado y el
administrador no distingue entre si el router est siendo atacado o si su seguridad se ha visto comprometida..

Luis Alfonso Snchez Brazales 19
Arquitectura de cortafuegos
Arquitectura - Cortafuego Dual-Homed Host.
Es un cortafuegos que se instala en un host con dos tarjetas de red que acta como router entre dos redes.
Tiene la funcin de permitir directamente la comunicacin de una red a (red privada por ejemplo) a otra red B (red
pblica por ejemplo);
pero la comunicacin de la red B a la red A no se permite directamente. El sistema interno al Firewall puede
comunicarse con el dual-homed host
,y los sistemas fuera de Firewall tambin pueden comunicarse con l, pero los sistemas no pueden comunicarse
directamente entre ellos.
En la estructura se implementa entre la red interna y la externa junto a un host bastion.
Luis Alfonso Snchez Brazales 20
Arquitectura de cortafuegos
Arquitectura - Screened Host.

Cortafuegos que se combina con un host bastion, situado entre la red externa y el host bastion situado en la red
interna. El cortafuegos filtra los paquetes de modo que el host bastion es el nico sistema accesible desde la red
externa, y se permite a los host de la red interna establecer conexiones con la red externa de acuerdo con unas
polticas de seguridad.




Luis Alfonso Snchez Brazales 21
Arquitectura de cortafuegos
Arquitectura - Screened Subnet (DMZ).

Este cortafuegos se realiza en una estructura DMZ donde se emplean dos routers exterior e interior, entre los router se
incluye el host bastin. El router exterior bloquea el trfico no deseado en ambos sentidos, por otro lado el router
interior bloquea el trfico no deseado tanto hacia la red DMZ como hacia la red interna. De este modo, para atacar la
red protegida se tendra que romper la seguridad de ambos routers.


Luis Alfonso Snchez Brazales 22
Arquitectura de cortafuegos
Otras arquitecturas.
Una manera de incrementar en gran medida el nivel de seguridad de la red interna y al mismo tiempo facilitar la
administracin de los cortafuegos consiste en emplear un host bastin distinto
para cada protocolo o servicio en lugar de un nico host bastin. Muchas organizaciones no pueden adoptar esta
arquitectura porque presenta el inconveniente de la cantidad de mquinas
necesarias para implementar el cortafuegos. Una alternativa la constituye el hecho de utilizar un nico bastin pero
distintos servidores proxy para cada uno de los servicios ofrecidos.
Otra posible arquitectura se da en el caso en que se divide la red interna en diferentes subredes, lo cual es
especialmente aplicable en organizaciones que disponen de distintas entidades separadas.
En esta situacin es recomendable incrementar los niveles de seguridad de las zonas ms comprometidas situando
cortafuegos internos entre dichas zonas y la red exterior. Aparte de incrementar la seguridad, los firewalls internos son
especialmente recomendables en zonas de la red desde la que no se permite a priori la conexin con Internet.

Luis Alfonso Snchez Brazales 23
Arquitectura de cortafuegos
Mostramos un ejemplo de arquitectura hibrida:


Luis Alfonso Snchez Brazales 24
Pruebas de funcionamiento. Sondeo
Un Firewall funciona, en principio, denegando cualquier trfico que se produzca cerrando todos los puertos de nuestro
PC. En el momento que un determinado servicio o programa intente acceder al ordenador nos lo har saber.
Podremos en ese momento aceptar o denegar dicho trfico, pudiendo asimismo hacer (para no tener que repetir la
operacin cada vez) "permanente" la respuesta hasta que no cambiemos nuestra poltica de aceptacin.
Tambin puedes optar por configurar el Firewall de manera que reciba sin problemas cierto tipo de datos (FTP,chato
correo, por ejemplo) y que filtre el resto de posibilidades.

Un firewall puede ser un dispositivo software o hardware, es decir, un aparatito que se conecta entre la red y el cable
de la conexin a Internet, o bien un programa que se instala en la mquina que tiene
el modem que conecta con Internet. Windows XP cuenta con un Firewall, aunque muy sencillo. Slo te permite filtrarla
informacin que entra en tu ordenador, no la que sale.
De esta forma, no te servir de nada si tienes instalado un programa Adware que recoge datos de tu equipo y se
conecta al exterior para enviarlos. Conviene que te instales un Firewall ms completo y que te permita configurar
polticas de seguridad.



Luis Alfonso Snchez Brazales 25