Configuración de firewall: guía completa para proteger tu red

Informatec Digital » Recursos » Configuración de firewall: guía completa para proteger tu red

En cualquier red moderna, desde la WiFi de casa hasta la infraestructura de una gran empresa, el firewall es la primera línea de defensa frente a ataques, accesos no autorizados y fuga de información. Sin una configuración mínimamente cuidada, es como dejar la puerta de casa entreabierta: puede que no pase nada… hasta que pasa.

Aun así, muchos usuarios y hasta algunas organizaciones tienen el cortafuegos funcionando con la configuración por defecto, sin entender muy bien qué hace ni cómo ajustarlo. Aquí vas a encontrar una guía amplia y muy práctica sobre qué es un firewall, cómo se configura en Windows, macOS, Linux, routers y entornos de servidores, además de buenas prácticas avanzadas (NGFW, segmentación, registros, herramientas extra) para que puedas adaptar el nivel de protección a tu entorno sin volverte loco.

Qué es un firewall y por qué es tan importante

Un firewall, también llamado cortafuegos, es un sistema que analiza el tráfico que entra y sale de tu red o de tu dispositivo y decide qué permitir y qué bloquear en función de unas reglas. Ese tráfico está formado por paquetes de datos que viajan usando diferentes protocolos (TCP, UDP, ICMP, etc.) y puertos.

La idea es sencilla: el firewall actúa como filtro y barrera entre el dispositivo o la red interna e Internet. Revisa de dónde viene un paquete, a dónde va, por qué puerto pasa y qué tipo de contenido lleva. Si coincide con una regla permitida, lo deja pasar; si no, lo bloquea. De esta lógica salen ventajas claras: más seguridad, menos probabilidad de infección por malware y un mayor control sobre qué sale y qué entra.

Imagina el cortafuegos como la puerta principal de tu casa digital: tú decides a quién abres, a quién mantienes fuera y qué zonas de la casa puede visitar cada invitado. Además, un firewall no solo frena ataques; también te permite limitar el acceso a determinadas webs o aplicaciones que, aunque no sean maliciosas, no quieres que se usen (por ejemplo, redes sociales en un entorno corporativo).

En el mundo real encontramos firewalls de dos grandes tipos: por software (integrados en el sistema operativo o instalados como programa) y por hardware (dispositivos dedicados, muchas veces integrados en routers profesionales o empresariales). A esto se suman los firewalls de nueva generación (NGFW), que combinan varias capas de seguridad avanzada, inspección profunda de paquetes, IPS y funcionalidades de segmentación y control de aplicaciones.

Tipos de firewall que puedes encontrarte

Dentro del paraguas “firewall” hay varias tecnologías con enfoques distintos. Entenderlas ayuda a saber qué tienes delante cuando miras la configuración de tu router, tu sistema operativo o un NGFW empresarial.

Un primer grupo son los firewalls de filtrado de paquetes. Crean puntos de control en routers o switches y realizan una comprobación sencilla de cada paquete basándose en IP origen, IP destino, puerto y protocolo. Son rápidos, pero no miran el contenido en profundidad.

Luego están los firewalls de pasarela a nivel de circuito, que se centran en aprobar o denegar conexiones según el estado de la sesión, sin inspeccionar cada paquete en detalle. Son muy eficientes, pero menos finos en la detección de amenazas complejas.

Los firewalls de inspección con estado (stateful inspection) combinan la información de los paquetes con el seguimiento de las conexiones TCP. Mantienen una tabla de sesiones activas y verifican que el tráfico concuerde con un flujo permitido, lo que da una protección más robusta que el simple filtrado estático.

También tenemos las puertas de enlace a nivel de aplicación o firewalls proxy. Trabajan en la capa de aplicación y revisan el tráfico HTTP, FTP, etc., pudiendo aplicar políticas muy detalladas según el tipo de aplicación o incluso el contenido. Este enfoque es la base de muchos firewalls en la nube y de inspección profunda de tráfico.

Los llamados firewalls de última generación (NGFW) integran inspección profunda, control por aplicaciones, funciones de IPS (sistema de prevención de intrusiones), filtrado por categorías web, análisis avanzado de archivos y, cada vez más, capacidades basadas en IA. Pueden desplegarse como equipos físicos, máquinas virtuales o servicios cloud.

Además, desde el punto de vista de dónde residen, podemos hablar de firewalls por software (en cada PC, servidor o dispositivo) y firewalls por hardware (appliances dedicadas en el perímetro de la red). A esto se suman los firewalls en la nube, que actúan como grandes proxies con capacidad de escalar para proteger entornos distribuidos y organizaciones con muchos usuarios y sedes.

Firewall en el router: la primera barrera de tu red

El router que tienes en casa o en la oficina suele contar con un firewall integrado y con NAT/PAT. Esto significa que, de entrada, desde Internet nadie puede abrir una conexión directamente hacia tus equipos internos, salvo que exista un reenvío de puertos, una DMZ activa o protocolos como UPnP mal configurados.

La política típica en un router moderno es “denegar todo lo entrante si no se ha permitido expresamente”. Esto se refuerza con la NAT/PAT de IPv4: los dispositivos internos usan IP privadas y el router traduce sus conexiones salientes a una IP pública. Cualquier intento de iniciar comunicación desde Internet sin que haya un puerto abierto o una regla previa será rechazado.

Por eso es tan peligroso abrir una DMZ hacia un PC de la red local que no tiene su propio firewall correctamente configurado: ese equipo quedará totalmente expuesto a Internet, con todos los puertos accesibles salvo los redirigidos a otra máquina.

Buenas prácticas básicas en el firewall del router pasan por no abrir puertos que no sean estrictamente necesarios, evitar usar DMZ salvo para equipos muy concretos (como una consola) y desactivar siempre UPnP para que los dispositivos no puedan abrir puertos por su cuenta. Abrir manualmente los puertos te da control total de qué se expone.

Conviene también revisar periódicamente qué puertos están abiertos, cerrar los que ya no se usen y limitar, cuando sea posible, las IP que pueden acceder a servicios sensibles (por ejemplo, permitir SSH solo desde una IP concreta de administración y no desde todo Internet).

Opciones habituales de firewall en routers domésticos y avanzados

Según la marca de tu router, las opciones de configuración de firewall varían, pero la lógica es similar: perfil de seguridad, reglas y filtrados adicionales. Veamos algunos ejemplos muy representativos.

Routers ASUS

Los routers ASUS integran un firewall basado en iptables. Desde la interfaz web, en el menú de “Firewall”, puedes activar o desactivar el cortafuegos para IPv4 e IPv6 (por defecto viene habilitado, como debe ser) y configurar medidas anti-DoS que bloquean direcciones origen que realizan demasiados intentos de conexión.

Otra opción típica es bloquear las peticiones de ping (ICMP Echo-request) a la interfaz WAN, de forma que tu router no responda (modo “sigiloso”). En entornos IPv6, el firewall se configura con una política muy restrictiva para la entrada: cada equipo tiene su propia IP pública, pero las conexiones entrantes inesperadas se bloquean, mientras que las salientes se permiten con normalidad.

ASUS también ofrece funciones de “Filtro LAN a WAN”, con las que puedes bloquear tráfico desde la LAN hacia Internet según IP origen, IP destino y puertos. Además, el filtrado de URLs y palabras clave se apoya internamente en el firewall para aplicar las restricciones.

Routers Livebox (Livebox Fibra, etc.)

En los routers Livebox, muy usados por operadoras, el firewall se gestiona desde el menú “Configuración avanzada > Configuración de firewall”. Allí puedes seleccionar entre varios niveles: bajo, medio, alto y personalizado.

El nivel “bajo” prácticamente no filtra nada (más allá de lo imprescindible para NAT), y está destinado a usuarios avanzados que priorizan flexibilidad sobre seguridad. El nivel “medio”, que suele venir de fábrica, descarta todas las conexiones entrantes y permite el tráfico saliente salvo servicios muy concretos como NetBIOS.

El perfil “alto” es el más restrictivo: solo permite salir a servicios estándar bien definidos y bloquea conexiones entrantes no esperadas. El modo “personalizado” permite al usuario fijar reglas específicas, y está pensado para administradores que saben lo que hacen; con una mala configuración puedes bloquear servicios legítimos o dejar agujeros importantes.

Routers AVM FRITZ!Box

Los FRITZ!Box cuentan con un firewall bastante completo. En la vista avanzada, bajo el menú “Internet > Filtros”, puedes activar el modo sigiloso para no responder a pings en la WAN y bloquear puertos sensibles como el 25 (SMTP sin cifrar), NetBIOS o Teredo si no se usan.

En entornos NAT, es crucial revisar con cierta frecuencia los reenvíos de puertos que se han creado y cerrar aquellos que ya no tienen utilidad, para evitar que un servicio desactualizado se convierta en puerta de entrada. Los servicios de administración remota del propio FRITZ!Box también deberían estar desactivados si no son imprescindibles; en su lugar, es más seguro acceder mediante una VPN y, una vez dentro de la red, administrar el router por su IP privada.

Los FRITZ!Box ofrecen además conexiones VPN de acceso remoto y site-to-site basadas en IPsec. Es una buena forma de evitar exponer servicios directamente a Internet y obligar a que cualquier acceso remoto pase por un canal cifrado y controlado.

Firewalls de nueva generación (NGFW) y seguridad avanzada

En entornos corporativos, los firewalls de nueva generación, como la gama FortiGate, van bastante más allá del simple filtrado de puertos. Estos equipos integran funciones de red avanzadas y seguridad profunda sobre una misma plataforma, lo que reduce la necesidad de tener muchos dispositivos distintos.

FortiGate, por ejemplo, se basa en el sistema operativo FortiOS e incorpora SD-WAN, ZTNA (acceso de confianza cero), integración con WLAN y LAN, inspección profunda de tráfico cifrado, IPS, filtrado por categorías web y capacidades de análisis basadas en IA a través de los servicios FortiGuard.

Estos NGFW suelen apoyarse en una arquitectura ASIC personalizada, lo que permite un rendimiento muy alto y una mejor eficiencia energética, incluso inspeccionando grandes volúmenes de tráfico cifrado. Además, se integran en lo que se conoce como “Security Fabric”: una malla de seguridad que abarca redes, endpoints y nubes, con políticas unificadas gestionadas desde plataformas como FortiManager.

La clave de este enfoque es que toda la superficie de la red queda cubierta con políticas coherentes: desde el perímetro hasta el endpoint, pasando por entornos híbridos y cloud. Esto facilita responder rápido a nuevas amenazas, segmentar redes complejas y tener una visibilidad completa del tráfico y los eventos de seguridad.

Pasos para diseñar y configurar un firewall de red bien estructurado

Cuando hablamos de firewalls en redes empresariales (físicas o virtuales), no basta con enchufar el equipo y dejar los ajustes por defecto. Hace falta un diseño previo de zonas, direcciones IP y políticas que permita un control fino del tráfico.

Diseñar zonas de firewall y esquema de direcciones IP

El primer paso es identificar los activos de la red (servidores, aplicaciones críticas, puestos de trabajo, dispositivos IoT, TPV, VoIP, etc.) y agruparlos según su función, nivel de sensibilidad y necesidades de acceso. En lugar de una sola red plana donde todo se ve con todo, se crean segmentos o zonas.

Es típico definir una DMZ (zona desmilitarizada) para servidores expuestos a Internet, como web, correo, VPN o APIs públicas. En estas zonas se limita la entrada desde Internet a lo justo y necesario. Los servidores internos, como bases de datos, sistemas de gestión, estaciones de trabajo y dispositivos de voz o punto de venta, se colocan en zonas internas con políticas más estrictas.

Cuando se usa IPv4, es fundamental emplear rangos de direcciones privadas para todas las redes internas y configurar NAT para que los dispositivos internos puedan salir a Internet cuando sea necesario. A medida que se construye la infraestructura, se utilizan switches con soporte de VLAN para mantener la separación lógica de nivel 2 entre segmentos.

Una vez clara la estructura de zonas y el plan de direccionamiento IP, se crean en el firewall las zonas correspondientes y se asignan a interfaces físicas o subinterfaces. Este mapeo es clave para que después las reglas de firewall se apliquen correctamente entre zonas.

Configurar listas de control de acceso (ACL)

Con las zonas ya definidas, toca crear las reglas que dicen qué puede hablar con qué. Estas reglas se implementan como ACL (listas de control de acceso), donde se especifica el tráfico permitido (o denegado) entre zonas, con el máximo detalle posible.

Las ACL se aplican por interfaz o subinterfaz del firewall, y lo más recomendable es afinar al máximo en IP origen, IP destino y puertos. Es decir, mejor permitir “este servidor a este puerto en esta base de datos” que “toda esta red a todos los puertos de la otra”.

Una regla muy importante es la de “denegar todo” al final de cada ACL. Esta política restrictiva asegura que cualquier tráfico no contemplado explícitamente quede bloqueado. Posteriormente, se aplican ACL entrantes y salientes a cada interfaz, ajustando el comportamiento según la dirección del tráfico.

Es buena idea desactivar el acceso público a las interfaces de administración del firewall y asegurarse de probar no solo que las aplicaciones funcionan, sino también que el tráfico que no queremos efectivamente no pasa. Hay que verificar, por ejemplo, que las funciones de control de nivel aplicación (bloqueo por categorías web, análisis avanzado de archivos, IPS, etc.) están operando como se espera.

Configurar servicios adicionales y registros

En muchos firewalls es posible activar servicios complementarios como DHCP, NTP o IPS directamente en el equipo. Solo deberían habilitarse aquellos que se van a usar realmente; el resto conviene desactivarlos para reducir la superficie de ataque.

Otra parte crítica es la configuración de registros (logging). Para cumplir normativas como PCI DSS, es necesario que el firewall envíe logs detallados a un servidor de registro o SIEM, cubriendo aspectos como quién accede, desde dónde, a qué servicio y con qué resultado. PCI DSS, por ejemplo, fija requisitos concretos en sus apartados 10.2 y 10.3 sobre el contenido de esos registros.

El volumen de logs puede ser elevado, pero es la única forma de auditar accesos y detectar patrones de ataque o anomalías. Conviene definir políticas de retención, rotación y monitorización de estos eventos para poder responder rápidamente cuando algo no cuadra.

Probar exhaustivamente la configuración

Antes de poner en producción una nueva configuración de firewall, o tras un cambio importante, hay que validar que bloquea lo que debe y permite lo que hace falta. Esto incluye escaneos de puertos, análisis de vulnerabilidades y pruebas de penetración.

También es imprescindible contar con copias de seguridad de la configuración en un lugar seguro y probar el proceso de reversión a un estado anterior. Antes de tocar nada crítico, documenta los cambios previstos y valida que sabes restaurar el firewall si algo sale mal en medio de la ventana de mantenimiento.

Firewall en redes de servidores virtuales (cloud privado o público)

En plataformas de servidores cloud, es habitual disponer de un firewall a nivel de red configurable desde el panel de control, además del firewall del propio sistema operativo y de posibles firewalls intermedios. Entender el orden en que se aplican ayuda a evitar conflictos entre reglas.

Por lo general, los paquetes entrantes primero pasan por el firewall de red (el que gestiona la plataforma), luego por el firewall del servidor (por ejemplo, iptables en Linux o Windows Firewall) y, por último, por cualquier mecanismo adicional que haya por software. En el tráfico saliente se recorre el camino inverso.

En este tipo de paneles, la configuración suele basarse en reglas con nombre, acción (permitir o denegar), origen y destino (IP, rangos, CIDR, “cualquiera”, “interno”, “externo”), puertos de origen y destino (un puerto concreto, rango o “cualquiera”) y protocolo (TCP, UDP, ambos o ICMP).

Un detalle clave es el orden de las reglas: cuanto más arriba está una regla en la lista, mayor prioridad tiene. Una regla de “denegar” situada antes que una de “permitir” para el mismo tráfico provocará que este se bloquee. Por eso suelen permitir reordenar las reglas mediante arrastrar y soltar, para ajustar las prioridades.

Si el firewall está en modo apagado, todos los paquetes entran y salen sin filtrado. En modo activo, el comportamiento por defecto suele ser “permitir lo que no coincida con ninguna regla”, aunque es mucho más seguro establecer una política de denegar por defecto y permitir solo lo necesario, especialmente en entornos con datos sensibles.

Firewall en el sistema operativo: Windows, macOS y Linux

Además del firewall del router y del posible firewall de red en la nube, cada sistema moderno trae su propia capa de protección. Configurarla bien aporta una defensa en profundidad, especialmente útil si algún servicio se expone a Internet o si un atacante logra entrar en la red local.

Firewall de Windows: configuración básica y avanzada

En Windows, el firewall integrado (Windows Defender Firewall o Microsoft Defender Firewall) filtra el tráfico en función de reglas predefinidas y personalizadas. Puedes verlo y administrarlo desde la aplicación “Seguridad de Windows”, en el apartado “Firewall y protección de red”.

Lo primero es comprobar el perfil de red activo: dominio, privada o pública. En una red privada (como la de casa) se asume un entorno relativamente confiable y se permiten más conexiones entrantes, mientras que en una red pública (WiFi de una cafetería) las reglas son más estrictas y se bloquea casi todo lo que venga de fuera.

Desde esta interfaz puedes activar o desactivar el firewall para cada tipo de red, aunque deshabilitarlo no es buena idea porque incrementa la exposición ante accesos no autorizados. Si una aplicación legítima no funciona porque está bloqueada, lo correcto es crear una excepción o abrir un puerto concreto para ella, no apagar todo el cortafuegos.

En la configuración avanzada se gestionan las reglas de entrada y salida, que deciden qué conexiones se permiten. Windows clasifica estas reglas en cuatro tipos: de programa (permiten o bloquean un ejecutable concreto), de puerto (controlan puertos TCP/UDP específicos), predefinidas (proporcionadas por el sistema) y personalizadas (las más flexibles, pudiendo combinar programa, puerto, protocolo y dirección).

Además, existe una opción para bloquear todas las conexiones entrantes, incluidas las que están en la lista de permitidas. Es útil cuando necesitas un nivel de seguridad máximo, aunque puede hacer que dejen de funcionar servicios necesarios (comparticiones, escritorio remoto, etc.).

En muchas organizaciones se usan herramientas de gestión centralizada, como la Configuración del agente de soluciones tipo Ivanti Endpoint Security. Estas permiten crear una política de Windows Firewall y desplegarla en masa a dispositivos con distintas versiones de Windows (XP/2003, Vista y posteriores), definiendo reglas de entrada/salida, excepciones y activación/desactivación del firewall como parte de tareas de configuración o reparación.

Ayudas, utilidades y definiciones de seguridad en Windows Firewall

La configuración detallada puede resultar algo enrevesada, así que hay herramientas que facilitan el día a día. TinyWall, por ejemplo, actúa como capa de gestión sobre el firewall de Windows y permite cambiar modos de funcionamiento (más o menos restrictivos), mostrar conexiones activas, crear listas blancas y evitar que el propio firewall bloquee aplicaciones que necesitas.

Otro caso es Windows Firewall Control, que se integra en la bandeja del sistema y ofrece perfiles rápidos (filtro alto, medio, bajo, sin filtro) y una interfaz cómoda para gestionar reglas, importar/exportar configuraciones y activar un modo de aprendizaje que detecta programas firmados digitalmente para crear reglas de forma más inteligente.

En soluciones de seguridad corporativa como Ivanti Endpoint Security se definen amenazas de seguridad específicas relacionadas con Windows Firewall (por ejemplo, ST000102 para Windows Firewall en XP/2003). Estas definiciones incluyen variables personalizables que permiten rastrear si la configuración real del firewall coincide con la política deseada y, si no, marcar el equipo como vulnerable y lanzar tareas de reparación para forzar los ajustes correctos.

Firewall en macOS

En Mac, el cortafuegos se configura desde “Ajustes del sistema” (o “Preferencias del sistema” en versiones más antiguas), dentro del apartado de Red y Firewall. Allí puedes activarlo y luego acceder a opciones avanzadas para decidir cómo tratar las conexiones entrantes.

Entre otras cosas, puedes impedir conexiones no solicitadas, permitir solo apps y servicios esenciales, controlar qué aplicaciones concretas pueden recibir tráfico y activar el añadido automático de apps de confianza a la lista de permitidas. Es un sistema más simple que el de Windows en cuanto a detalle de puertos, pero muy efectivo para el usuario medio.

En entornos corporativos, suele complementarse con políticas de seguridad gestionadas centralmente, que aseguran que todas las máquinas Mac siguen las mismas normas respecto a servicios expuestos y aplicaciones permitidas para recibir conexiones.

Firewall en Linux: UFW como opción sencilla

En Linux, especialmente en distribuciones como Ubuntu, lo habitual es gestionar iptables (o nftables) a través de herramientas más amigables. Una de las más populares es UFW (Uncomplicated Firewall), que ofrece comandos claros para activar el firewall y definir reglas.

La instalación se hace mediante el gestor de paquetes (por ejemplo, “sudo apt-get install ufw”), y aunque UFW suele venir deshabilitado por defecto, conviene comprobarlo con “sudo ufw status” antes de activarlo. No se debe habilitar sin haber definido previamente las reglas básicas, porque bloquearía todas las conexiones entrantes y podrías perder acceso remoto.

Las reglas típicas incluyen permitir SSH (“sudo ufw allow ssh”) para no perder acceso remoto, abrir HTTP y HTTPS (“sudo ufw allow http”, “sudo ufw allow https”) para servidores web y, a partir de ahí, ir añadiendo puertos según las necesidades. Una vez fijadas las reglas básicas, se habilita el firewall con “sudo ufw enable” y se revisa el estado con “sudo ufw status”, donde se ve el listado de servicios y puertos permitidos.

Dado que Linux ya es un sistema bastante robusto, contar con UFW configurado aporta una capa adicional de seguridad muy recomendable, especialmente en servidores accesibles desde Internet.

Segmentación de red, políticas y prevención de robo de credenciales

Una de las estrategias más efectivas para mejorar la seguridad es la segmentación de red. Al dividir la red en segmentos (por función, tipo de dispositivo, nivel de riesgo), el tráfico de uno no es visible desde otro, reduciendo el impacto de cualquier incidente.

Esto es especialmente relevante con dispositivos IoT, que a menudo corren sistemas antiguos y llenos de vulnerabilidades. Colocarlos en VLAN o zonas aisladas y limitar estrictamente a qué pueden acceder minimiza el riesgo de que un fallo en una cámara IP o un sensor acabe comprometiendo toda la red corporativa.

Otra cuestión clave es la optimización de políticas de firewall. Añadir reglas sin revisar provoca acumulaciones caóticas, conflictos y un firewall casi inadministrable. Lo ideal es ir migrando las reglas basadas solo en puertos a reglas basadas en aplicaciones, con visibilidad clara de qué servicios se están permitiendo o denegando, y revisar periódicamente para eliminar entradas obsoletas.

Algunos firewalls avanzados incluyen funciones para prevenir el robo de credenciales corporativas. Escanean intentos de login (usuario y contraseña) y los cruzan con listas internas de cuentas de la organización, bloqueando su uso en sitios externos como redes sociales o servicios ajenos al negocio. También pueden mostrar avisos al usuario explicando los riesgos de reutilizar credenciales profesionales.

Este tipo de controles no solo detienen ataques directos, sino que sirven como herramienta de concienciación en seguridad, al hacer más visible para los empleados el impacto de sus hábitos de uso de contraseñas fuera del entorno corporativo.

Qué pasa si desactivas el firewall (y por qué no deberías hacerlo)

Es frecuente que, al tener problemas con una aplicación o un juego online, alguien pruebe a desactivar el firewall “para ver si así funciona”. Y sí, a veces arregla el síntoma, pero abre la puerta a un montón de riesgos que no se ven de inmediato.

Sin cortafuegos, el sistema queda expuesto a amenazas externas como malware, troyanos, virus y otros ataques que pueden instalarse sin barrera alguna. Los atacantes pueden intentar escanear puertos del router y, si además hay reglas NAT descuidadas, encontrar servicios mal protegidos y usarlos como puerta de entrada.

Un firewall también controla la salida de datos: sin él, cualquier aplicación maliciosa tendría vía libre para enviar información sensible al exterior. Además, muchas aplicaciones confían en el firewall para amortiguar ataques de escaneo de puertos o DDoS ligeros; al desactivarlo, se pierde ese colchón.

Si una app no funciona por culpa del firewall, la solución profesional no es apagarlo, sino crear una regla específica que permita el tráfico necesario, revisar si el router requiere abrir algún puerto y alinear las reglas para que no haya conflictos entre el firewall local y el del equipo de red.

Convivencia de varios firewalls: router y PC a la vez

Cuando tienes un firewall en el router y otro en el PC (por ejemplo, el de Windows), todo el tráfico entrante pasa primero por el router y luego por el equipo. Esta doble capa, bien configurada, aumenta la seguridad global, porque un fallo en una de las barreras puede ser compensado por la otra.

Sin embargo, hay que tener cuidado con las reglas inconsistentes. Si el router bloquea un puerto que el firewall del PC permite, o al revés, puedes encontrarte con servicios que no funcionan y no saber muy bien en cuál de las dos capas está el problema.

En la práctica, lo más razonable es que el firewall del router haga de barrera perimetral principal, permitiendo solo lo que de verdad deba entrar desde Internet, y que el firewall del PC controle el tráfico entre equipos de la LAN y cualquier comunicación saliente sospechosa. Esto, unido a una buena configuración NAT y a no abusar de DMZ ni UPnP, ofrece un nivel de protección muy sólido para un entorno doméstico o pequeña oficina.

Al final, entender cómo funcionan y se encadenan los distintos firewalls (router, sistema operativo, nube, NGFW corporativos) te permite tomar decisiones más conscientes: qué servicios exponer, dónde segmentar, qué registros guardar y de qué forma ajustar las reglas para mantener el equilibrio entre seguridad y usabilidad en tu red y en tus dispositivos.