Configuració de firewall: guia completa per protegir la teva xarxa

Informatec Digital » Recursos » Configuració de firewall: guia completa per protegir la teva xarxa

A qualsevol xarxa moderna, des de la WiFi de casa fins a la infraestructura d'una gran empresa, el tallafocs és la primera línia de defensa davant d'atacs, accessos no autoritzats i fugida d'informació. Sense una configuració mínimament cuidada, és com deixar la porta de casa entreoberta: potser no passi res… fins que passa.

Tot i així, molts usuaris i fins i tot algunes organitzacions tenen el tallafocs funcionant amb la configuració per defecte, sense entendre molt bé què fa ni com ajustar-ho . Aquí trobaràs una guia àmplia i molt pràctica sobre què és un firewall, com es configura a Windows, macOS, Linux, routers i entorns de servidors, a més de bones pràctiques avançades (NGFW, segmentació, registres, eines extra) perquè puguis adaptar el nivell de protecció al teu entorn sense tornar-te boig.

Què és un firewall i per què és tan important

Un firewall, també anomenat tallafocs, és un sistema que analitza el trànsit que entra i surt de la xarxa o del dispositiu i decideix què permetre i què bloquejar en funció d'unes regles. Aquest trànsit està format per paquets de dades que viatgen usant diferents protocols (TCP, UDP, ICMP, etc.) i ports.

La idea és senzilla: el tallafoc actua com a filtre i barrera entre el dispositiu o la xarxa interna i Internet . Revisa d'on ve un paquet, on va, per quin port passa i quin tipus de contingut porta. Si coincideix amb una regla permesa, ho deixa passar; si no, ho bloqueja. D'aquesta lògica en surten avantatges clars: més seguretat, menys probabilitat d'infecció per codi maliciós i més control sobre què surt i què entra.

Imagina el tallafocs com la porta principal de casa teva digital : tu decideixes a qui obris, a qui mantenes fora i quines zones de la casa pot visitar cada convidat. A més, un tallafocs no només frena atacs; també et permet limitar l'accés a determinades webs o aplicacions que, encara que no siguin malicioses, no vols que es facin servir (per exemple, xarxes socials en un entorn corporatiu).

Al món real trobem firewalls de dos grans tipus: per programari (integrats en el sistema operatiu o instal·lats com a programa) i per maquinari (dispositius dedicats, moltes vegades integrats en routers professionals o empresarials). A això se sumen els tallafocs de nova generació (NGFW) , que combinen diverses capes de seguretat avançada, inspecció profunda de paquets, IPS i funcionalitats de segmentació i control d'aplicacions.

Tipus de firewall que et pots trobar

Dins del paraigua firewall hi ha diverses tecnologies amb enfocaments diferents. Entendre-les ajuda a saber què tens al davant quan mires la configuració del teu router, el teu sistema operatiu o un NGFW empresarial.

Un primer grup són els tallafocs de filtrat de paquets . Creen punts de control a routers o switches i realitzen una comprovació senzilla de cada paquet basant-se en IP origen, IP destinació, port i protocol. Són ràpids, però no miren el contingut en profunditat.

Després hi ha els tallafocs de passarel·la a nivell de circuit , que se centren a aprovar o denegar connexions segons l'estat de la sessió, sense inspeccionar cada paquet en detall. Són molt eficients, però menys fins a la detecció d'amenaces complexes.

Els tallafocs d' inspecció amb estat (stateful inspection) combinen la informació dels paquets amb el seguiment de les connexions TCP. Mantenen una taula de sessions actives i verifiquen que el trànsit concordi amb un flux permès, cosa que dóna una protecció més robusta que el simple filtratge estàtic.

També tenim les portes denllaç a nivell daplicació o firewalls proxy . Treballen a la capa d'aplicació i revisen el trànsit HTTP, FTP, etc., podent aplicar polítiques molt detallades segons el tipus d'aplicació o fins i tot el contingut. Aquest enfocament és la base de molts tallafocs al núvol i dinspecció profunda de trànsit.

Els anomenats firewalls d'última generació (NGFW) integren inspecció profunda, control per aplicacions, funcions d'IPS (sistema de prevenció d'intrusions), filtratge per categories web, anàlisi avançada d'arxius i, cada cop més, capacitats basades en IA. Poden desplegar-se com a equips físics, màquines virtuals o serveis cloud.

A més, des del punt de vista d'on resideixen, podem parlar de tallafocs per programari (a cada PC, servidor o dispositiu) i tallafocs per maquinari (appliances dedicades al perímetre de la xarxa). A això se sumen els firewalls al núvol , que actuen com a grans proxies amb capacitat d'escalar per protegir entorns distribuïts i organitzacions amb molts usuaris i seus.

Firewall al router: la primera barrera de la teva xarxa

El router que tens a casa oa l'oficina sol comptar amb un tallafoc integrat i amb NAT/PAT . Això significa que, d'entrada, des d'Internet ningú no pot obrir una connexió directament cap als equips interns, llevat que hi hagi un reenviament de ports, una DMZ activa o protocols com UPnP mal configurats.

La política típica en un router modern és “denegar tot allò entrant si no s'ha permès expressament” . Això es reforça amb la NAT/PAT d'IPv4: els dispositius interns usen IP privades i el router tradueix les connexions sortints a una IP pública. Qualsevol intent d'iniciar comunicació des d'Internet sense que hi hagi un port obert o una regla prèvia serà rebutjat.

Per això és tan perillós obrir una DMZ cap a un PC de la xarxa local que no té el seu propi tallafocs correctament configurat: aquest equip quedarà totalment exposat a Internet, amb tots els ports accessibles tret dels redirigits a una altra màquina.

Bones pràctiques bàsiques al tallafoc del router passen per no obrir ports que no siguin estrictament necessaris, evitar utilitzar DMZ excepte per a equips molt concrets (com una consola) i desactivar sempre UPnP perquè els dispositius no puguin obrir ports pel seu compte. Obrir manualment els ports us dóna control total de què s'exposa.

Convé també revisar periòdicament quins ports estan oberts, tancar els que ja no es facin servir i limitar, quan sigui possible, les IP que poden accedir a serveis sensibles (per exemple, permetre SSH només des d'una IP concreta d'administració i no des de tot Internet).

Opcions habituals de firewall a routers domèstics i avançats

Segons la marca del teu router, les opcions de configuració de tallafocs varien, però la lògica és similar: perfil de seguretat, regles i filtrats addicionals . Vegem-ne alguns exemples molt representatius.

Routers ASUS

Els routers ASUS integren un tallafocs basat en iptables . Des de la interfície web, al menú de “Firewall”, pots activar o desactivar el tallafocs per a IPv4 i IPv6 (per defecte ve habilitat, com ha de ser) i configurar mesures anti-DoS que bloquegen adreces origen que fan massa intents de connexió.

Una altra opció típica és bloquejar les peticions de ping (ICMP Echo-request) a la interfície WAN, de manera que el teu router no respongui (manera “sigil·losa”). En entorns IPv6 , el tallafoc es configura amb una política molt restrictiva per a l'entrada : cada equip té la seva pròpia IP pública, però les connexions entrants inesperades es bloquegen, mentre que les sortints es permeten amb normalitat.

ASUS també ofereix funcions de “Filtre LAN a WAN”, amb les quals pots bloquejar trànsit des de la LAN cap a Internet segons IP origen, IP destí i ports. A més, el filtratge d'URLs i paraules clau es recolza internament al tallafoc per aplicar les restriccions.

Routers Livebox (Livebox Fibra, etc.)

Als routers Livebox, molt usats per operadores, el firewall es gestiona des del menú “Configuració avançada > Configuració de firewall”. Allí pots seleccionar entre diversos nivells: baix, mitjà, alt i personalitzat.

El nivell “baix” pràcticament no filtra res (més enllà del que és imprescindible per a NAT), i està destinat a usuaris avançats que prioritzen flexibilitat sobre seguretat. El nivell mitjà, que sol venir de fàbrica, descarta totes les connexions entrants i permet el trànsit sortint excepte serveis molt concrets com NetBIOS.

El perfil “alt” és el més restrictiu: només permet sortir a serveis estàndard ben definits i bloqueja connexions entrants no esperades. El mode “personalitzat” permet a l'usuari fixar regles específiques, i està pensat per a administradors que saben què fan; amb una mala configuració pots bloquejar serveis legítims o deixar forats importants.

Routers AVM FRITZ!Box

Els FRITZ!Box compten amb un firewall força complet. A la vista avançada, sota el menú “Internet > Filtres”, pots activar el mode sigil·lós per no respondre a pings a la WAN i bloquejar ports sensibles com el 25 (SMTP sense xifrar), NetBIOS o Teredo si no es fan servir.

En entorns NAT, és crucial revisar amb certa freqüència els reenviaments de ports que s'han creat i tancar els que ja no tenen utilitat per evitar que un servei desactualitzat es converteixi en porta d'entrada. Els serveis d'administració remota del FRITZ!Box també haurien d'estar desactivats si no són imprescindibles; al seu lloc, és més segur accedir-hi mitjançant una VPN i, un cop dins de la xarxa, administrar el router per la seva IP privada.

Els FRITZ!Box ofereixen a més connexions VPN d'accés remot i site-to-site basades en IPsec. És una bona manera d' evitar exposar serveis directament a Internet i obligar que qualsevol accés remot passi per un canal xifrat i controlat.

Firewalls de nova generació (NGFW) i seguretat avançada

En entorns corporatius, els tallafocs de nova generació, com la gamma FortiGate, van força més enllà del simple filtratge de ports. Aquests equips integren funcions de xarxa avançades i seguretat profunda sobre una mateixa plataforma, cosa que redueix la necessitat de tenir molts dispositius diferents.

FortiGate, per exemple, es basa en el sistema operatiu FortiOS i incorpora SD-WAN, ZTNA (accés de confiança zero), integració amb WLAN i LAN, inspecció profunda de trànsit xifrat, IPS , filtratge per categories web i capacitats d'anàlisi basades en IA a través dels serveis FortiGuard.

Aquests NGFW solen recolzar-se en una arquitectura ASIC personalitzada , la qual cosa permet un rendiment molt alt i una millor eficiència energètica, fins i tot inspeccionant grans volums de trànsit xifrat. A més, s'integren en el que es coneix com a “Security Fabric”: una malla de seguretat que abasta xarxes, endpoints i núvols, amb polítiques unificades gestionades des de plataformes com FortiManager.

La clau d'aquest enfocament és que tota la superfície de la xarxa queda coberta amb polítiques coherents : des del perímetre fins a l'endpoint passant per entorns híbrids i cloud. Això facilita respondre ràpidament a noves amenaces, segmentar xarxes complexes i tenir una visibilitat completa del trànsit i els esdeveniments de seguretat.

Passos per dissenyar i configurar un firewall de xarxa ben estructurat

Quan parlem de tallafocs en xarxes empresarials (físiques o virtuals), no n'hi ha prou amb endollar l'equip i deixar els ajustaments per defecte. Fa falta un disseny previ de zones, adreces IP i polítiques que permeti un control fi del trànsit.

Dissenyar zones de tallafocs i esquema d'adreces IP

El primer pas és identificar els actius de la xarxa (servidors, aplicacions crítiques, llocs de treball, dispositius IoT, TPV, VoIP, etc.) i agrupar-los segons la funció, el nivell de sensibilitat i les necessitats d'accés . En comptes d'una sola xarxa plana on tot es veu amb tot, es creen segments o zones.

És típic definir una DMZ (zona desmilitaritzada) per a servidors exposats a Internet, com ara web, correu, VPN o APIs públiques. En aquestes zones es limita l'entrada des d'Internet al que és just i necessari. Els servidors interns, com ara bases de dades, sistemes de gestió, estacions de treball i dispositius de veu o punt de venda, es col·loquen en zones internes amb polítiques més estrictes.

Quan es fa servir IPv4, és fonamental utilitzar rangs d' adreces privades per a totes les xarxes internes i configurar NAT perquè els dispositius interns puguin sortir a Internet quan sigui necessari. A mesura que es construeix la infraestructura, s'utilitzen switches amb suport de VLAN per mantenir la separació lògica de nivell 2 entre segments.

Un cop clara l'estructura de zones i el pla d'adreçament IP, es creen al tallafocs les zones corresponents i s'assignen a interfícies físiques o subinterfícies . Aquest mapatge és clau perquè després les regles de tallafocs s'apliquin correctament entre zones.

Configura llistes de control d'accés (ACL)

Amb les zones ja definides, toca crear les regles que diuen què pot parlar amb què . Aquestes regles s'implementen com a ACL (llistes de control d'accés), on s'especifica el trànsit permès (o denegat) entre zones, amb el màxim detall possible.

Les ACL s'apliquen per interfície o subinterfície del tallafocs, i el més recomanable és afinar al màxim en IP origen, IP destinació i ports . És a dir, és millor permetre “aquest servidor a aquest port en aquesta base de dades” que “tota aquesta xarxa a tots els ports de l'altra”.

Una regla molt important és la de “denegar-ho tot” al final de cada ACL. Aquesta política restrictiva assegura que qualsevol trànsit no contemplat explícitament quedi bloquejat . Posteriorment, s'apliquen ACL entrants i sortints a cada interfície, ajustant el comportament segons la direcció del trànsit.

És bona idea desactivar l'accés públic a les interfícies d'administració del tallafocs i assegurar-se de provar no només que les aplicacions funcionen, sinó també que el trànsit que no volem efectivament no passa . Cal verificar, per exemple, que les funcions de control de nivell aplicació (bloqueig per categories web, anàlisi avançada de fitxers, IPS, etc.) estan operant com s'espera.

Configurar serveis addicionals i registres

A molts firewalls és possible activar serveis complementaris com DHCP, NTP o IPS directament a l'equip. Només haurien d'habilitar-se aquells que s'usaran realment; la resta cal desactivar-los per reduir la superfície d'atac.

Una altra part crítica és la configuració de registres (logging). Per complir normatives com PCI DSS , cal que el firewall enviï logs detallats a un servidor de registre o SIEM, cobrint aspectes com qui accedeix, des d'on, a quin servei i amb quin resultat. PCI DSS, per exemple, fixa requisits concrets als apartats 10.2 i 10.3 sobre el contingut d'aquests registres.

El volum de logs pot ser elevat, però és l'única manera d' auditar accessos i detectar patrons d'atac o anomalies . Convé definir polítiques de retenció, rotació i monitorització d'aquests esdeveniments per poder respondre ràpidament quan no quadra alguna cosa.

Provar exhaustivament la configuració

Abans de posar en producció una nova configuració de tallafocs, o després d'un canvi important, cal validar que bloqueja el que deu i permet el que cal . Això inclou escanejos de ports, anàlisi de vulnerabilitats i proves de penetració.

També és imprescindible comptar amb còpies de seguretat de la configuració en un lloc segur i provar el procés de reversió a un estat anterior. Abans de tocar res crític, documenta els canvis previstos i valida que saps restaurar el tallafoc si alguna cosa surt malament al mig de la finestra de manteniment.

Firewall a xarxes de servidors virtuals (cloud privat o públic)

En plataformes de servidors cloud, és habitual disposar d'un tallafocs a nivell de xarxa configurable des del tauler de control, a més del tallafocs del propi sistema operatiu i de possibles tallafocs intermedis. Entendre l'ordre en què s'apliquen ajuda a evitar conflictes entre regles.

En general, els paquets entrants primer passen pel firewall de xarxa (el que gestiona la plataforma), després pel firewall del servidor (per exemple, iptables a Linux o Windows Firewall) i, finalment, per qualsevol mecanisme addicional que hi hagi per programari. Al trànsit sortint es recorre el camí invers.

En aquest tipus de panells, la configuració sol basar-se en regles amb nom, acció (permetre o denegar), origen i destinació (IP, rangs, CIDR, “qualsevol”, “intern”, “extern”), ports d'origen i destinació (un port concret, rang o “qualsevol”) i protocol (TCP, UDP).

Un detall clau és l' ordre de les regles : com més amunt està una regla a la llista, més prioritat té. Una regla de “denegar” situada abans que una de “permetre” per al mateix trànsit provocarà que aquest es bloquegi. Per això solen permetre reordenar les regles mitjançant arrossegar i deixar anar, per ajustar les prioritats.

Si el tallafoc està en mode apagat, tots els paquets entren i surten sense filtratge. En mode actiu, el comportament per defecte sol ser “permetre el que no coincideixi amb cap regla”, encara que és molt més segur establir una política de denegar per defecte i permetre només allò necessari , especialment en entorns amb dades sensibles.

Firewall al sistema operatiu: Windows, macOS i Linux

A més del firewall del router i del possible firewall de xarxa al núvol, cada sistema modern porta la seva pròpia capa de protecció. Configurar-la bé aporta una defensa en profunditat , especialment útil si algun servei s'exposa a Internet o si un atacant aconsegueix entrar a la xarxa local.

Firewall de Windows: configuració bàsica i avançada

Al Windows, el tallafoc integrat (Windows Defender Firewall o Microsoft Defender Firewall) filtra el trànsit en funció de regles predefinides i personalitzades . Podeu veure'l i administrar-lo des de l'aplicació “Seguretat de Windows”, a l'apartat “Firewall i protecció de xarxa”.

El primer és comprovar el perfil de xarxa actiu: domini, privat o públic. En una xarxa privada (com la de casa) s'assumeix un entorn relativament fiable i es permeten més connexions entrants, mentre que en una xarxa pública (WiFi d'una cafeteria) les regles són més estrictes i es bloqueja gairebé tot allò que vingui de fora.

Des d'aquesta interfície pots activar o desactivar el tallafocs per a cada tipus de xarxa, encara que desactivar-lo no és una bona idea perquè incrementa l'exposició davant d'accessos no autoritzats . Si una aplicació legítima no funciona perquè està bloquejada, el correcte és crear una excepció o obrir un port concret per a ella, no apagar tot el tallafoc.

A la configuració avançada es gestionen les regles d'entrada i sortida , que decideixen quines connexions es permeten. Windows classifica aquestes regles en quatre tipus: de programa (permeten o bloquegen un executable concret), de port (controlen ports TCP/UDP específics), predefinides (proporcionades pel sistema) i personalitzades (les més flexibles, podent combinar programa, port, protocol i adreça).

A més, hi ha una opció per bloquejar totes les connexions entrants , incloses les que estan a la llista de permeses. És útil quan necessites un nivell de seguretat màxim, encara que pot fer que deixin de funcionar serveis necessaris (comparticions, escriptori remot, etc.).

En moltes organitzacions es fan servir eines de gestió centralitzada, com ara la Configuració de l'agent de solucions tipus Ivanti Endpoint Security. Aquestes permeten crear una política de Windows Firewall i desplegar-la en massa a dispositius amb diferents versions de Windows (XP/2003, Vista i posteriors), definint regles d'entrada/sortida, excepcions i activació/desactivació del tallafocs com a part de tasques de configuració o reparació.

Ajuts, utilitats i definicions de seguretat al Windows Firewall

La configuració detallada pot resultar una mica enrevessada, així que hi ha eines que faciliten el dia a dia. TinyWall , per exemple, actua com a capa de gestió sobre el tallafocs de Windows i permet canviar modes de funcionament (més o menys restrictius), mostrar connexions actives, crear llistes blanques i evitar que el mateix tallafocs bloquegi aplicacions que necessites.

Un altre cas és Windows Firewall Control , que s'integra a la safata del sistema i ofereix perfils ràpids (filtre alt, mitjà, baix, sense filtre) i una interfície còmoda per gestionar regles, importar/exportar configuracions i activar una manera d'aprenentatge que detecta programes signats digitalment per crear regles de manera més intel·ligent.

En solucions de seguretat corporativa com Ivanti Endpoint Security es defineixen amenaces de seguretat específiques relacionades amb Windows Firewall (per exemple, ST000102 per a Windows Firewall a XP/2003). Aquestes definicions inclouen variables personalitzables que permeten rastrejar si la configuració real del tallafocs coincideix amb la política desitjada i, si no, marcar l'equip com a vulnerable i llançar tasques de reparació per forçar els ajustaments correctes.

Firewall a macOS

A Mac, el tallafoc es configura des de “Configuració del sistema” (o “Preferències del sistema” en versions més antigues), dins de l'apartat de Xarxa i Firewall . Allà podeu activar-lo i després accedir a opcions avançades per decidir com tractar les connexions entrants.

Entre altres coses, podeu impedir connexions no sol·licitades , permetre només apps i serveis essencials, controlar quines aplicacions concretes poden rebre trànsit i activar l'afegit automàtic d'apps de confiança a la llista de permeses. És un sistema més simple que el de Windows quant a detall de ports, però molt efectiu per a lusuari mitjà.

En entorns corporatius, sol complementar-se amb polítiques de seguretat gestionades centralment, que asseguren que totes les màquines Mac segueixen les mateixes normes respecte a serveis exposats i aplicacions permeses per rebre connexions.

Firewall a Linux: UFW com a opció senzilla

A Linux, especialment en distribucions com Ubuntu, el més habitual és gestionar iptables (o nftables) a través d'eines més amigables. Una de les més populars és UFW (Uncomplicated Firewall) , que ofereix ordres clares per activar el tallafocs i definir regles.

La instal·lació es fa mitjançant el gestor de paquets (per exemple, “sudo apt-get install ufw”), i encara que UFW sol venir deshabilitat per defecte, convé comprovar-ho amb “sudo ufw status” abans d'activar-lo. No s'ha d'habilitar sense haver definit prèviament les regles bàsiques perquè bloquejaria totes les connexions entrants i podries perdre accés remot.

Les regles típiques inclouen permetre SSH (“sud ufw allow ssh”) per no perdre accés remot, obrir HTTP i HTTPS (“sud ufw allow https”, “sud ufw allow https”) per a servidors web i, a partir d'aquí, anar afegint ports segons les necessitats. Un cop fixades les regles bàsiques, s'habilita el tallafoc amb “sud ufw enable” i es revisa l'estat amb “sud ufw status”, on es veu el llistat de serveis i ports permesos.

Atès que Linux ja és un sistema força robust, comptar amb UFW configurat aporta una capa addicional de seguretat molt recomanable , especialment en servidors accessibles des d'Internet.

Segmentació de xarxa, polítiques i prevenció de robatori de credencials

Una de les estratègies més efectives per millorar la seguretat és la segmentació de xarxa . En dividir la xarxa en segments (per funció, tipus de dispositiu, nivell de risc), el trànsit d'un no és visible des de l'altre, reduint l'impacte de qualsevol incident.

Això és especialment rellevant amb dispositius IoT, que sovint corren sistemes antics i plens de vulnerabilitats. Col·locar-los a VLAN o zones aïllades i limitar estrictament a què poden accedir minimitza el risc que una fallada en una càmera IP o un sensor acabi comprometent tota la xarxa corporativa.

Una altra qüestió clau és l' optimització de polítiques de tallafocs . Afegir regles sense revisar provoca acumulacions caòtiques, conflictes i un tallafocs gairebé inadministrable. L'ideal és anar migrant les regles basades només en ports a regles basades en aplicacions, amb visibilitat clara de quins serveis s'estan permetent o denegant, i revisar-los periòdicament per eliminar entrades obsoletes.

Alguns firewalls avançats inclouen funcions per prevenir el robatori de credencials corporatives . Escanegen intents de login (usuari i contrasenya) i els creuen amb llistes internes de comptes de l'organització, bloquejant el seu ús en llocs externs com a xarxes socials o serveis aliens al negoci. També poden mostrar avisos a lusuari explicant els riscos de reutilitzar credencials professionals.

Aquest tipus de controls no només aturen atacs directes, sinó que serveixen com a eina de conscienciació en seguretat , en fer més visible per als empleats l'impacte dels seus hàbits d'ús de contrasenyes fora de l'entorn corporatiu.

Què passa si desactives el tallafocs (i per què no ho hauries de fer)

És freqüent que, en tenir problemes amb una aplicació o un joc en línia, algú provi a desactivar el tallafoc “per veure si funciona” . I sí, de vegades arregla el símptoma, però obre la porta a un munt de riscos que no es veuen immediatament.

Sense tallafocs, el sistema queda exposat a amenaces externes com malware, troians, virus i altres atacs que poden instal·lar-se sense cap barrera. Els atacants poden intentar escanejar ports del router i, si a més hi ha regles NAT descurades, trobar serveis mal protegits i fer-los servir com a porta d'entrada.

Un tallafocs també controla la sortida de dades : sense ell, qualsevol aplicació maliciosa tindria via lliure per enviar informació sensible a l'exterior. A més, moltes aplicacions confien en el tallafoc per esmorteir atacs d'escaneig de ports o DDoS lleugers; en desactivar-lo, es perd aquest matalàs.

Si una app no ​​funciona per culpa del tallafoc, la solució professional no és apagar-lo, sinó crear una regla específica que permeti el trànsit necessari , revisar si el router requereix obrir algun port i alinear les regles perquè no hi hagi conflictes entre el tallafoc local i el de l'equip de xarxa.

Convivència de diversos tallafocs: router i PC alhora

Quan tens un tallafocs al router i un altre al PC (per exemple, el de Windows), tot el trànsit entrant passa primer pel router i després per l'equip. Aquesta doble capa, ben configurada, augmenta la seguretat global perquè una fallada en una de les barreres pot ser compensada per l'altra.

No obstant això, cal anar amb compte amb les regles inconsistents . Si el router bloqueja un port que el firewall del PC permet, o al revés, pots trobar-te amb serveis que no funcionen i no saber gaire bé en quina de les dues capes hi ha el problema.

A la pràctica, el més raonable és que el firewall del router faci de barrera perimetral principal , permetent només el que de debò hagi d'entrar des d'Internet, i que el firewall del PC controli el trànsit entre equips de la LAN i qualsevol comunicació sortint sospitosa. Això, unit a una bona configuració NAT i no abusar de DMZ ni UPnP, ofereix un nivell de protecció molt sòlid per a un entorn domèstic o petita oficina.

Al final, entendre com funcionen i s'encadenen els diferents firewalls (router, sistema operatiu, núvol, NGFW corporatius) et permet prendre decisions més conscients: quins serveis exposar, on segmentar, quins registres guardar i de quina manera ajustar les regles per mantenir l'equilibri entre seguretat i usabilitat a la xarxa i als dispositius.