¿Qué es un Firewall Proxy?

firewall proxy frente a servidor proxy

Si bien todos firewall proxy son servidores proxy, no todos los servidores proxy son firewall proxy. Ambos sirven como intermediarios entre servidores y clientes. Cada uno puede almacenar en caché páginas web para reducir la congestión de la red y ambos ocultan información sobre el usuario del servidor. Un firewall proxy realiza una inspección de nivel más profundo del tráfico de la red para identificar y proteger contra el tráfico potencialmente malicioso.

Cómo funciona un firewall proxy

Si ha trabajado para una organización grande, puede estar familiarizado con la configuración de su computadora portátil para usar un archivo proxy PAC (configuración automática de proxy) o especificar una dirección IP del servidor proxy de la compañía. Los navegadores y otras aplicaciones utilizan esta configuración del sistema operativo para dirigir el tráfico al servidor proxy.

El navegador web se conecta al servidor proxy, que intercepta la conexión y realiza otra conexión al sitio web de destino en nombre del cliente si la conexión está permitida por la política. Esto permite que el firewall proxy inspeccione los paquetes dentro de la conexión. El principal protocolo admitido es el tráfico web HTTP(S), pero también se pueden admitir otros protocolos, como FTP, dependiendo de las capacidades del firewall del proxy.

Características clave de un firewall proxy

Las características clave de un firewall proxy incluyen:

• Almacenamiento en caché del tráfico del sitio web para mejorar el rendimiento.
• Restricción del acceso web a sitios según la política de seguridad.
• Inspeccionar el tráfico de la capa de aplicación en busca de intenciones maliciosas.

Las diferencias entre firewall proxy y otro firewall

firewall proxy se diferencia de otros tipos de firewall en algunos aspectos, incluidos los siguientes:

Capacidades de inspección y protección

firewall proxy está diseñado para inspeccionar un pequeño conjunto de tráfico específico de la aplicación. Otros firewall también realizan una inspección profunda de paquetes, pero históricamente han aplicado políticas basadas en la dirección IP y el puerto o dirección de servicio, por ejemplo. Puertos TCP 80 (HTTP) y 443 (HTTPS) para Web.

El filtrado simple de IP y a nivel de puerto es el dominio de los primeros filtros de paquetes o firewall que imponen listas de control de acceso (ACL) simples. Sin embargo, las ACL pueden llegar a ser bastante largas y difíciles de entender para los humanos.

firewall con estado fue un paso más allá y aportó conocimiento del protocolo al control del tráfico. Por ejemplo, FTP (Protocolo de transferencia de archivos) tiene conexiones separadas de control (puerto TCP 20) y datos (puerto TCP 21). Para la transferencia de datos, el puerto también puede ser un puerto arbitrario del conjunto de puertos disponibles, que en total es un poco menos de 60.000. El puerto elegido entre el cliente y el servidor se comunica a través de la conexión de control FTP.

firewall con estado que monitorea la conexión de control FTP puede permitir dinámicamente la transferencia de datos. En la política, esto significa que los administradores de seguridad solo necesitan especificar que se permita FTP entre hosts. No es necesario que abran un rango de puertos más amplio en una lista ACL.

A medida que avanzaron otras tecnologías, como el filtrado de URL, el control de aplicaciones, la detección y prevención de intrusiones (IDS/IPS) y el sandboxing, estas se integraron en el firewall, lo que dio como resultado un dispositivo de seguridad de red multipropósito.

Ubicación de implementación

Si bien el nombre puede haber cambiado a medida que el firewall evolucionó a Secure Web puerta de enlace (SWG), UTM (Unified Threat Management) y Firewall de última generación (NGFW), su ubicación en la red probablemente no lo haya hecho. Los servidores proxy y firewall proxy generalmente se implementan como un dispositivo de red transparente al que se dirige el tráfico.

Por otro lado, firewall suelen implementarse en línea como dispositivos de borde transparente en los límites de la red. Estos firewall también realizan traducción de direcciones de red (NAT) de bajo nivel entre redes, participan en el enrutamiento utilizando protocolos de enrutamiento estáticos o dinámicos y también terminan las conexiones de red privada virtual (VPN) de cliente a sitio y de sitio a sitio . Por lo general, esto es completamente transparente para los usuarios finales, pero también pueden interceptar conexiones como conexiones web cifradas SSL/TLS y correo electrónico como SMTP actuando como agente de transporte de mensajes (MTA).

Limitaciones del firewallproxy

Una cosa que hace firewall proxy y que los NGFW no hacen es almacenar en caché el tráfico web para mejorar el rendimiento. El bajo rendimiento puede ser una desventaja del firewall proxy en comparación con los NGFW. Otra es que es difícil mantenerse actualizado a medida que cambian las aplicaciones, por lo que a veces el filtrado de aplicaciones puede fallar, lo que resulta en una mala experiencia del usuario. Del mismo modo, pueden convertirse en un punto único de falla y causar interrupciones en la red.

Otro problema con los dispositivos de red fuera de banda, como firewall proxy, es que dependen de la configuración del archivo proxy o PAC en el cliente. Los usuarios a menudo pueden hacer esto manualmente, lo que hace que sea relativamente fácil omitir el servidor proxy. Del mismo modo, los usuarios ambiciosos pueden utilizar una aplicación que no sea compatible con el firewall proxy y eludir de esta manera también la política de seguridad de la empresa.

firewall proxy con Check Point

firewall Check Point, uno de los primeros firewall con estado, ha evolucionado a medida que surgían nuevas amenazas. El firewall Check Point actual es un valioso reemplazo para los firewalls y servidores proxy, que permite a las empresas consolidar tecnologías de seguridad de red en un dispositivo de red multifunción altamente escalable y confiable.

Los NGFW de Check Point también están disponibles en la implementación de su elección; para implementaciones enrutadas en línea o puente, en las instalaciones como dispositivo físico, en la nube pública y privada como dispositivo virtual y como Firewall-as-a-Service (FWaaS) implementado como componente de seguridad en un SASE (Secure Access Service Edge ) modelo. Otros servicios de seguridad incluidos en el modelo SASE son Zero Trust red Access (ZTNA) para proporcionar acceso seguro a aplicaciones corporativas y CASB (agente de seguridad de acceso a la nube) para proteger de forma nativa los conjuntos de productividad de aplicaciones de oficina y correo electrónico en la nube.

Para obtener más información sobre qué buscar en una solución NGFW o SASE, consulte esta Guía del comprador. También puede realizar una demostración de un producto Check Point NGFW o SASE hoy.