Firewalls: filtrado con estado y opciones de macOS

El trabajo de un firewall parece simple: dejar pasar el tráfico bueno y mantener alejado el tráfico malo. Lo interesante es cómo decide y a qué nivel. Esta lección cubre el filtrado con estado como concepto, luego las herramientas específicas e independientes que ofrece macOS, cada una trabajando en una capa diferente.

Filtrado con estado: recordar la conversación

Uno de los primeros firewalls "sin estado" inspecciona cada paquete de forma aislada según un conjunto fijo de reglas. En cambio, un firewall con estado realiza un seguimiento de las conexiones abiertas y, como lo describe el glosario de redes de Cloudflare, "guarda información sobre las conexiones abiertas y utiliza esta información para analizar el tráfico entrante y saliente, en lugar de inspeccionar cada paquete" desde cero. En la práctica, esto significa que un firewall con estado puede mantener los puertos efectivamente cerrados hasta que una conexión que usted inició solicite una respuesta y luego permitir que esa respuesta específica vuelva a ingresar, sin abrir el puerto a nada más. Casi todos los firewalls de consumidores y sistemas operativos que se utilizan hoy en día, incluido el de macOS, tienen estado.

Filtrado de entrada y de salida

El filtrado entrante controla las conexiones que llegan a la máquina, sin ser invitadas, desde el exterior: alguien o algo que intenta comunicarse con un servicio que se ejecuta en ella. El filtrado de salida (saliente) controla las conexiones que la propia máquina, o una aplicación en ella, intenta realizar hacia afuera. Los dos importan por diferentes razones. El filtrado entrante evita que una máquina sea alcanzada y sondeada en primer lugar. El filtrado de salida es importante después de que algo sale mal: el software dañino que ingresa a una máquina aún necesita llamar a casa, recibir instrucciones o enviar datos, y cada uno de ellos necesita una conexión saliente. Una máquina con un fuerte firewall de entrada y sin ningún filtrado de salida aún puede filtrar todo lo que contiene, una conexión saliente a la vez.

Lo que realmente te ofrece macOS

La lectura práctica de esta tabla es que el cortafuegos integrado y compatible de macOS (el cortafuegos de aplicaciones) cubre bien las conexiones entrantes, pero no dice nada sobre lo que sale de la máquina. pf técnicamente puede hacer ambas cosas, pero es una herramienta de bajo nivel basada en scripts dirigida a administradores que se sienten cómodos editando archivos de configuración y razonando sobre el orden de las reglas, no es algo que este curso explicará en la configuración, ya que un error en un conjunto de reglas escrito a mano puede fallar silenciosamente al abrir o bloquear el acceso a la red por completo, y Apple no lo trata como una configuración de primera clase y compatible para el usuario final de la forma en que lo hace con el Firewall de aplicaciones. Las guías de fortalecimiento comunitario que publican conjuntos de reglas pf ya preparados o scripts que incorporan listas de bloqueo de IP de terceros van más allá de lo que recomienda este curso: alguien debe confiar en esas listas y mantenerlas actualizadas, y una actualización fallida puede interrumpir la conectividad sin un mensaje de error claro.

Esa brecha, un firewall incorporado solo de entrada sin una forma simple y compatible de ver o controlar las conexiones salientes por aplicación, es exactamente lo que el marco de extensión de red de Apple permite que los desarrolladores externos llenen, con el permiso explícito del usuario durante la instalación.