Para mucha gente, el firewall es "la caja que nos protege" —un talismán en el rack al que se le atribuye una seguridad casi mágica—. Es una media verdad peligrosa. Un firewall moderno hace bastantes cosas, y —igual de importante— no hace otras tantas que la gente cree que hace. Confundir esas dos listas es cómo se termina con una falsa sensación de seguridad detrás de una caja carísima. Desarmemos qué es de verdad un perímetro hoy.
De "abrir y cerrar puertos" a una pila de funciones
El firewall nació haciendo una cosa: decidir qué tráfico pasa según su dirección, puerto y protocolo. Eso sigue siendo la base, pero el perímetro moderno es mucho más: una pila de funciones que trabajan juntas —conciencia de aplicaciones y usuarios, prevención de intrusiones, inspección del tráfico cifrado, acceso remoto, y gestión inteligente de los enlaces de internet—. Cada una es un tema, y cada una tiene su artículo:
- Ver más allá del puerto: qué cambia de un firewall tradicional a uno de nueva generación, y el costo de mirar dentro del cifrado. → NGFW e inspección TLS.
- Bloquear ataques en tránsito: qué logra y qué no el IPS. → El IPS de un firewall.
- Usar bien tus enlaces: SD-WAN sin marketing y el failover real. → SD-WAN.
- Dar acceso remoto sin abrir todo: el ocaso de la VPN clásica. → VPN vs. ZTNA.
- Mantenerlo sano: por qué las reglas envejecen mal. → Auditar un policy set.
- Verlo todo a escala: cuándo la gestión y correlación centralizadas dejan de ser un lujo. → FortiManager y FortiAnalyzer.
Lo que un firewall NO hace (dígalo en voz alta)
El contrapeso honesto que evita el falso sentido de seguridad: un firewall no reemplaza la seguridad del endpoint —si el ataque entra por un correo y se ejecuta en una laptop, el firewall del perímetro poco puede hacer; para eso está el EDR—. No ve dentro del tráfico cifrado a menos que actives la inspección TLS (con su costo). No detiene lo que aún no tiene firma. Y no se cuida solo: un firewall con reglas podridas y firmware viejo es una caja de falsa confianza. El perímetro es una capa de una defensa en profundidad, no la muralla única.
Una nota sobre el hardware
Y no, no todo lo que rutea es un firewall empresarial —ya discutimos si un equipo genérico basta como firewall de empresa—. Las funciones de esta serie exigen una plataforma pensada para seguridad, con el rendimiento para sostenerlas (sobre todo la inspección TLS). Marcas como Fortinet construyen su línea FortiGate justo alrededor de esta pila.
Y ojo: el firewall también es un objetivo
Un giro que a mucha gente le cuesta aceptar: el firewall no es solo el guardián, también es un blanco preferido. Está expuesto a internet por definición, tiene acceso privilegiado a toda la red, y corre su propio software —con sus propias vulnerabilidades—. En los últimos años, varias de las brechas más sonadas empezaron por una falla crítica en el firmware de un firewall o su portal VPN, explotada antes de que la organización parchara. La moraleja es incómoda pero clara: la caja que te protege necesita, ella misma, mantenerse parchada, con su gestión aislada y su acceso administrativo blindado. Un firewall desactualizado no es una muralla; es una puerta con el nombre del dueño en el buzón. Protege al protector.
La idea que se queda
El firewall moderno no es una caja mágica: es una pila de funciones —aplicación, IPS, TLS, VPN/ZTNA, SD-WAN— que hay que entender, dimensionar y mantener, y que protege un flanco (el perímetro) pero no todos. Saber qué hace y qué no es la diferencia entre seguridad real y una caja cara que da tranquilidad falsa. Es el corazón de un buen diseño de seguridad de red.