¿Qué es un cortafuegos con seguimiento de estado?

Un cortafuegos con estado (SFW) realiza un seguimiento del estado de las conexiones de red activas en una tabla de sesiones, verificando la información de los paquetes de las capas 2 a 4 —direcciones, puertos y protocolo— con respecto a las sesiones establecidas antes de permitir, denegar o rechazar el tráfico que coincida.

Puntos clave

• Realiza un seguimiento de las conexiones en una tabla de sesión, en lugar de evaluar cada paquete por separado.
• Compara los encabezados de las capas 2 a 4 con las sesiones establecidas para permitir, denegar o rechazar el tráfico.
• Su funcionamiento resulta más económico que la inspección en profundidad: solo los paquetes de inicio requieren comprobaciones completas.
• En un VOS de tipo « Versa », SFW es una alternativa al NGFW por inquilino, no se integra con él.
• Se configura mediante políticas de acceso de seguridad ordenadas con reglas de coincidencia y acciones.

En esta página: Por qué es importante · Cómo funciona · Tipos · Cortafuegos con estado y Versa · Preguntas frecuentes

¿Por qué es importante un cortafuegos con seguimiento de estado?

Antes de la inspección con estado, los cortafuegos filtraban los paquetes de uno en uno según reglas estáticas, sin recordar si un paquete pertenecía a una conversación ya autorizada; esto resultaba poco seguro, ya que los paquetes falsificados podían imitar un intercambio permitido, y lento, ya que cada paquete requería una evaluación completa. Los cortafuegos con estado solucionaron ambos problemas mediante una tabla de sesiones: una vez que se permite una conexión, los paquetes posteriores se comprueban contra la tabla en lugar de contra toda la política, bloqueando así el tráfico que no pertenece a una sesión real y registrada.

Esa combinación de una aplicación más rigurosa y unos costes generales más bajos convirtió a la inspección con seguimiento de estado en el estándar de referencia para cualquier cortafuegos, y es la razón por la que los cortafuegos de nueva generación siguen utilizando un motor de inspección con seguimiento de estado como base para sus funciones de Capa 7, en lugar de sustituirlo. La tabla de estado también permite aplicar políticas más complejas: las reglas pueden basarse en el comportamiento de las sesiones, las zonas y la hora del día, y no solo en pares de IP y puertos.

¿Qué es un cortafuegos con seguimiento de estado?

Un cortafuegos con estado clasifica el tráfico según el puerto de destino y, a continuación, realiza un seguimiento de su estado a lo largo de cada interacción hasta que se cierra la conexión. Cuando llega un paquete, el cortafuegos comprueba en su tabla de sesiones si existe una conexión establecida o una solicitud que coincida; si no encuentra ninguna coincidencia, el paquete se evalúa en función de la política de acceso.

Esa política es un conjunto ordenado de reglas que combina criterios de coincidencia —cabezas de IP, nombres de dominio, servicios por puerto y protocolo, zonas de origen y destino, ubicación geográfica y programación por hora del día— con medidas de aplicación: registro (inicio, fin, ambos o nunca) y una disposición (permitir, denegar o rechazar con un reinicio TCP o un mensaje ICMP de puerto inaccesible). Las reglas se evalúan por orden y prevalece la primera que coincida, por lo que las reglas específicas tienen prioridad sobre las genéricas; a partir de ahí, los paquetes que coincidan con una sesión rastreada pasan con un procesamiento mucho menor que el de una reinspección completa.

Tipos de cortafuegos con estado

Existen tres grandes patrones. La inspección de paquetes con estado (SPI) tradicional es el modelo clásico: un seguimiento puro de sesiones de las capas 3 y 4 mediante una tabla de estado, sin reconocimiento del contenido de las aplicaciones. Los cortafuegos híbridos con estado y compatibilidad con ALG añaden una ayuda limitada en la capa de aplicación: una pasarela de capa de aplicación (ALG) entiende protocolos como FTP o SIP que abren conexiones secundarias dinámicas, y las rastrea sin necesidad de una inspección profunda de paquetes completa. Los cortafuegos con estado virtuales y basados en software desacoplan la función del hardware dedicado, ejecutándose en su lugar como una función de red virtual en un dispositivo perimetral SD-WAN o en una instancia en la nube; este es el modelo que utilizan hoy en día la mayoría de las plataformas de « SASE ».

Cortafuegos con estado y Versa

VOS ofrece el cortafuegos con seguimiento de estado como uno de los dos modos de cortafuegos por inquilino, junto con el cortafuegos de nueva generación (NGFW); cada inquilino utiliza uno u otro: si una licencia incluye NGFW, las opciones del cortafuegos con seguimiento de estado no aparecen en la interfaz gráfica de usuario (GUI) de Director. La configuración sigue el mismo modelo en ambos casos: consulte «Configurar el cortafuegos con seguimiento de estado» para el procedimiento estándar, o «Configurar el cortafuegos con seguimiento de estado (NGFW)» para el procedimiento equivalente en dispositivos con licencia NGFW. VOS también combina una pasarela de capa de aplicación con el cortafuegos con seguimiento de estado para protocolos como FTP y SIP, y dado que VOS no descifra QUIC, los administradores deben bloquear el tráfico QUIC para que los módulos de seguridad funcionen correctamente.

Dado que VOS admite la multitenencia, es posible habilitar el cortafuegos con seguimiento de estado para un inquilino mientras que otro utiliza un cortafuegos de nueva generación (NGFW), a través de planes de suscripción como «Default-Stateful-FW-Plan» o «Default-SFW-IPSEC-CGNAT-Plan», que lo combinan con servicios como IPsec y CGNAT. El cortafuegos con seguimiento de estado está disponible desde la versión 20.2.

Preguntas frecuentes

¿Cuál es la diferencia entre un cortafuegos con estado y un cortafuegos de nueva generación (NGFW)?

Un cortafuegos con estado (SFW) inspecciona la información de las capas 2 a 4: direcciones, puertos y estado de la sesión. Un cortafuegos de nueva generación (NGFW) añade reconocimiento de aplicaciones de la capa 7, como la inspección profunda de paquetes y la identificación de aplicaciones. En un VOS de Versa , el SFW y el NGFW son alternativas con licencia por inquilino, no se combinan entre sí.

¿Qué es un cortafuegos sin estado y en qué se diferencia?

Un cortafuegos sin estado evalúa cada paquete de forma independiente según unas reglas estáticas, sin conservar información sobre los paquetes anteriores de la conexión. Por el contrario, un cortafuegos con estado registra cada conexión en una tabla de sesiones, por lo que solo el primer paquete requiere una evaluación completa de las reglas según la política.

¿Qué es una tabla de sesión (tabla de estado)?

Una tabla de estado registra cada conexión activa: direcciones de origen y destino, puertos, protocolo y estado de la conexión. Cada paquete entrante se compara primero con la tabla; solo los paquetes que no coinciden con ninguna entrada existente se evalúan según la política de acceso completa.

¿Puede un cortafuegos con estado detener las amenazas en la capa de aplicación?

Solo hasta cierto punto. La inspección básica se limita a la capa 4, aunque las pasarelas de capa de aplicación la amplían a protocolos como FTP y SIP, que establecen conexiones secundarias. Para detectar malware, vulnerabilidades o amenazas ocultas en el tráfico cifrado es necesaria la inspección de la capa 7 que ofrece un NGFW.

¿En qué se diferencia una conexión rechazada de una denegada?

Una acción de denegación descarta silenciosamente los paquetes coincidentes sin enviar ninguna respuesta al remitente. Una acción de rechazo también descarta los paquetes, pero envía un mensaje de reinicio TCP o un mensaje ICMP de «puerto inaccesible», de modo que el remitente se entera de inmediato en lugar de tener que esperar a que se agote el tiempo de espera.

Más información sobre los cortafuegos con estado

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre cortafuegos con estado, te conviene echarles un vistazo a continuación.