¿Qué es una pasarela de capa de aplicación (ALG)?

La pasarela de capa de aplicación (ALG), también denominada «pasarela de nivel de aplicación», es un componente de seguridad que inspecciona los protocolos que incorporan direcciones de conexión dentro de su propia carga útil —FTP, SIP, PPTP, TFTP e IKE ESP— y abre dinámicamente «agujeros» temporales en el cortafuegos para que dichos protocolos sigan funcionando a través de los límites del NAT y del cortafuegos.

Puntos clave

• ALG inspecciona los protocolos que incorporan direcciones dentro de su propia carga útil.
• Abre aberturas temporales en el cortafuegos en lugar de reenvíos de puertos estáticos.
• Los protocolos que admite son FTP, SIP, PPTP, TFTP e IKE ESP.
• IKE ESP ALG está desactivado por defecto a partir de la versión 22.1.4 de VOS.
• Versa configura las políticas de ALG tanto en Concerto como en Director.

En esta página: Por qué es importante · Cómo funciona · Tipos · ALG y Versa · Preguntas frecuentes

¿Por qué es importante el ALG?

El NAT convencional y los cortafuegos con seguimiento de estado solo reescriben las cabeceras de los paquetes: las direcciones y los puertos de las capas IP y TCP/UDP. Algunos protocolos rompen esa premisa: el FTP negocia una segunda conexión de datos escribiendo una dirección y un puerto en la carga útil de su sesión de control, y el SIP hace lo mismo para establecer una transmisión de voz o vídeo. Un cortafuegos o un dispositivo CGNAT que solo inspeccione las cabeceras nunca ve esos valores incrustados, por lo que no puede determinar qué conexión entrante debe permitir, y la sesión se bloquea.

ALG elimina esa barrera sin tener que abrir agujeros fijos en el cortafuegos ni desactivar el NAT por completo. Lee la carga útil para encontrar la dirección incrustada, la reescribe para que coincida con la dirección traducida al otro lado y abre un «agujero» temporal limitado a esa única conexión, lo que permite que las transferencias FTP, las llamadas SIP y los túneles VPN sigan funcionando a través del NAT mientras el cortafuegos permanece cerrado a todo lo demás.

¿Qué es ALG?

El ALG resuelve el problema de las direcciones integradas de dos maneras: o bien la aplicación identifica una combinación de dirección y puerto que el cortafuegos debe permitir en el tráfico entrante, o bien el ALG supervisa el tráfico de control y abre dinámicamente la asignación de puertos correspondiente. Los dispositivos VOS utilizan el segundo enfoque.

Tomemos el FTP en modo activo como ejemplo paradigmático. El FTP utiliza dos sesiones: una sesión de control en el puerto 21, que muestra los directorios y ejecuta comandos, y una sesión de datos independiente que transfiere el archivo. Un cliente detrás de un NAT envía al servidor una dirección interna en la carga útil de control —una dirección a la que el servidor no puede enrutar y en la que nunca se le indicó al cortafuegos que esperara una conexión—. El ALG escucha en el puerto 21, detecta el paquete que inicia la sesión de datos, reescribe la dirección incrustada por la dirección NAT externa y crea una regla temporal en el cortafuegos que permite la conexión. Una vez finalizada la sesión de datos, el «pinhole» se cierra.

Tipos de ALG

El ALG se implementa por protocolo, ya que cada uno integra la información de conexión de forma diferente. El ALG de FTP reescribe la dirección en la sesión de control para que la conexión de datos del servidor llegue al cliente a pesar del NAT. El ALG de SIP analiza los campos SDP en la señalización SIP para abrir los puertos de medios (RTP) que utiliza una llamada. El ALG de PPTP realiza un seguimiento del túnel GRE que establece una VPN del Protocolo de Túnel Punto a Punto (PPTP) junto con su canal de control TCP. El ALG de TFTP gestiona las transferencias sin conexión del FTP trivial, invisibles para un cortafuegos que solo analiza las cabeceras. El ALG de IKE ESP se encarga de la negociación IPsec que cambia del canal UDP de IKE a ESP para el túnel cifrado.

ALG y Versa

En los dispositivos VOS de la serie « Versa », ALG viene habilitado de forma predeterminada para FTP, PPTP, SIP y TFTP; IKE ESP también estaba habilitado hasta la versión 22.1.4 de VOS (versión de servicio del 23 de septiembre de 2025), tras lo cual viene deshabilitado de forma predeterminada y requiere una vsm-configs editar en /opt/versa/etc/vsboot.conf además de reiniciar el servicio para volver a activarlo.

En Concerto, los administradores crean una política ALG a partir del flujo de trabajo de la plantilla principal de SD-WAN, o bien de forma independiente en «Servidores y configuración» > «Políticas de puerta de enlace de capa de aplicación»; consulte «Configurar la puerta de enlace de capa de aplicación» para las versiones actuales y «Configurar la puerta de enlace de capa de aplicación (ALG)» para las versiones 12.1.1 a 12.2.2. En Director, la opción equivalente se encuentra en el menú «Otros > ALG» de una organización; véase «Configurar ALG». En cualquier caso, la configuración se asocia al perfil maestro de un dispositivo.

Preguntas frecuentes

¿Cuál es la diferencia entre ALG y NAT?

El NAT traduce las direcciones IP y los puertos que figuran en la cabecera de un paquete. El ALG va más allá, ya que inspecciona la carga útil de los protocolos que incorporan su propia información de direcciones y puertos, y abre los «pinholes» temporales en el cortafuegos que el NAT por sí solo no puede crear para esos datos incorporados.

¿Qué protocolos admite ALG en los dispositivos VOS de Versa ?

FTP, SIP, PPTP, TFTP e IKE ESP. Cada uno de ellos se implementa como una instancia ALG independiente, por lo que los administradores pueden activarlos o desactivarlos de forma individual e incorporar servicios definidos por el usuario para cada protocolo, en lugar de activar o desactivar la inspección de la capa de aplicación para todo el dispositivo a la vez.

¿Por qué ahora el algoritmo IKE ESP está desactivado por defecto?

A partir de la versión 22.1.4 de VOS (versión de servicio con fecha del 23 de septiembre de 2025), el ALG IKE ESP viene desactivado y no se puede volver a activar a través de la interfaz de usuario. Para volver a activarlo, es necesario editar el vsm-configs estrofa en /opt/versa/etc/vsboot.conf para configurar enable_ike_alg=true, y a continuación reiniciar los servicios con el vsh restart Comando de la CLI.

¿Funciona ALG con cortafuegos, NAT o ambos?

Ambas cosas. ALG mejora específicamente el funcionamiento conjunto del cortafuegos y el NAT de nivel de operador (CGNAT); es el mecanismo que permite que los protocolos que requieren conexiones negociadas dinámicamente sigan funcionando cuando un dispositivo se encuentra simultáneamente detrás de una barrera NAT y de un cortafuegos con seguimiento de estado.

¿Cómo se configura una política ALG en un dispositivo « Versa »?

En Concerto, se crea a través del flujo de trabajo de la plantilla principal de SD-WAN o en la sección «Servidores y configuración», y luego se aplica mediante permisos y un objeto de política reutilizable. En Director, se configura por organización en «Otros > ALG» y se asocia al perfil de un dispositivo.

Más información sobre ALG

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre ALG, te recomiendo que eches un vistazo a lo siguiente.