Tema 10
Un firewall protege, pero también puede convertirse en un punto crítico de falla. La defensa necesita continuidad: equipos redundantes, configuraciones respaldadas, pruebas de recuperación y cambios controlados.
Un firewall suele estar en puntos críticos de la infraestructura: salida a internet, conexión entre sedes, acceso a DMZ, segmentación interna o enlaces con la nube. Si falla o queda mal configurado, puede interrumpir servicios importantes o dejar tráfico expuesto.
Por eso la defensa no termina al escribir reglas. También hay que asegurar que el firewall siga funcionando, que pueda recuperarse ante fallas, que sus configuraciones estén respaldadas y que los cambios se apliquen con control.
Este tema explica los conceptos esenciales de alta disponibilidad, redundancia, respaldos y gestión de cambios aplicados a firewalls.
La alta disponibilidad, o HA por High Availability, busca que el servicio continúe funcionando incluso si un componente falla. En firewalls, suele implementarse con dos o más equipos trabajando como par o clúster.
La idea es que si el firewall activo falla, otro firewall tome su lugar con la menor interrupción posible. Esto se conoce como failover.
Los esquemas de alta disponibilidad más comunes son activo-pasivo y activo-activo.
| Modelo | Cómo funciona | Uso típico |
|---|---|---|
| Activo-pasivo | Un firewall procesa tráfico y el otro queda en espera. | Diseños donde se prioriza simplicidad y failover claro. |
| Activo-activo | Varios firewalls procesan tráfico simultáneamente. | Escenarios con necesidad de distribuir carga o alta capacidad. |
Activo-activo puede aportar capacidad, pero también aumenta complejidad. No debe elegirse solo porque suena más avanzado.
Failover es el proceso por el cual un equipo secundario asume el rol del principal cuando se detecta una falla. Para que funcione bien, los firewalls deben sincronizar estado, configuración o ambos, según el diseño.
Aspectos importantes:
Algunos pares HA pueden sincronizar la tabla de sesiones. Esto permite que, ante un failover, las conexiones existentes continúen o se interrumpan menos.
Sin sincronización de sesiones, un cambio de firewall activo puede cortar conexiones existentes, aunque las nuevas conexiones funcionen correctamente. Esto puede impactar VPN, aplicaciones críticas, transferencias o sesiones de usuarios.
La decisión depende de criticidad, capacidad del equipo y complejidad aceptable.
No alcanza con tener dos firewalls si todos dependen de un único enlace, switch, proveedor o camino físico. La redundancia debe analizarse de extremo a extremo.
Elementos a revisar:
En entornos críticos, puede ser necesario contar con más de un proveedor de internet, rutas alternativas o enlaces privados redundantes. Esto evita que la caída de un único proveedor interrumpa toda la conectividad.
Sin embargo, más rutas también implican más diseño: hay que controlar qué tráfico sale por cada enlace, cómo se mantiene la seguridad, cómo se registran eventos y cómo se evita una ruta alternativa sin controles equivalentes.
Una ruta de respaldo no debe convertirse en un camino menos protegido.
Los respaldos de configuración permiten recuperar un firewall después de una falla, reemplazo, error humano o actualización problemática. Deben incluir reglas, objetos, NAT, rutas, VPN, certificados, usuarios locales si existen, perfiles de seguridad y parámetros del sistema.
Un respaldo útil debe ser:
| Elemento | Por qué importa |
|---|---|
| Reglas y objetos | Representan la política de acceso. |
| NAT y rutas | Definen cómo se alcanza cada red o servicio. |
| VPN | Permiten recuperar acceso remoto o conectividad entre sedes. |
| Certificados | Pueden ser necesarios para inspección, VPN o administración segura. |
| Perfiles IDS/IPS o seguridad | Evitan recuperar solo conectividad sin controles defensivos. |
| Configuración administrativa | Usuarios, roles, logging, NTP, DNS y monitoreo. |
Tener respaldos no alcanza. Hay que probar que pueden restaurarse. Muchas organizaciones descubren en una emergencia que el respaldo está incompleto, corrupto, desactualizado o protegido con una clave que nadie conoce.
Una prueba de restauración puede realizarse en laboratorio, equipo de reemplazo o entorno controlado. Debe verificar que la configuración carga, que las reglas aparecen correctamente y que servicios críticos pueden recuperarse.
También conviene documentar el tiempo estimado de recuperación.
La gestión de cambios busca que las modificaciones en firewalls se realicen con control. Una regla mal aplicada puede cortar servicios, abrir accesos indebidos o afectar monitoreo.
Un cambio controlado debería incluir:
Una ventana de mantenimiento es un período acordado para realizar cambios que pueden afectar la operación. No todos los cambios requieren una ventana extensa, pero los cambios de alto impacto sí deben planificarse.
Ejemplos de cambios que suelen requerir ventana:
Un plan de reversión indica cómo volver al estado anterior si el cambio falla. Debe definirse antes de implementar, no durante la emergencia.
Un buen plan de reversión incluye:
Los firewalls también necesitan actualizaciones. Estas pueden corregir vulnerabilidades, mejorar estabilidad, agregar firmas, resolver fallas o incluir nuevas funciones.
Antes de actualizar conviene revisar:
Un firewall crítico debe monitorearse. No basta con esperar a que los usuarios reporten caída de internet o de aplicaciones.
Métricas y eventos útiles:
Supongamos que se necesita permitir una nueva comunicación desde una aplicación en DMZ hacia una base de datos interna. Un proceso responsable podría ser:
Una prueba de failover debe realizarse con planificación. No se trata de apagar un equipo sin aviso y esperar que todo salga bien.
Pasos recomendados:
La seguridad de un firewall no depende solo de sus reglas. También depende de que esté disponible, respaldado, monitoreado y administrado con cambios controlados. Un firewall bien configurado pero sin continuidad operativa puede convertirse en un riesgo para la organización.
En el próximo tema estudiaremos registro y monitoreo de firewalls: logs, métricas, alertas y trazabilidad. Allí veremos cómo convertir la actividad del firewall en información útil para defensa e investigación.