Cortafuegos de host en servidores y estaciones

El cortafuegos de Windows tiene un comportamiento por defecto por sentido. En el tráfico saliente, la documentación del fabricante indica que se permite todo salvo lo que una regla prohíba. En el entrante, los equipos de esta empresa están configurados para bloquear lo que ninguna regla permita, y por eso cada servicio que debe ser alcanzable necesita su regla de aceptar.

Una revisión de host empieza por comprobar tres cosas por equipo: que el cortafuegos esté activo, qué comportamiento tiene por defecto en cada sentido y qué reglas de aceptar tiene habilitadas.

Windows distingue perfiles según el tipo de ubicación de red que el sistema asigna a la conexión: Domain, Private y Public. Cada regla se aplica solo en los perfiles en los que está marcada. Si la ubicación de red cambia, por ejemplo tras cambiar un cable o una tarjeta, el perfil que rige puede cambiar con ella, y la documentación del fabricante advierte de que una tarjeta desconectada se asigna al tipo Public.

Una regla marcada solo para Domain deja de aplicarse cuando el equipo pasa a otro perfil, y lo que dependía de ella se queda sin servicio sin que la regla haya cambiado.

Cruza casos con equipos y reglas_host. Un caso cuenta que, desde un cambio de cable, el ERP no abre aunque el servicio está en marcha. Busca el servidor cuyo perfil activo no figura entre los perfiles de ninguna de sus reglas de aceptar.

Consulta las reglas que abren el puerto 3389. Una administración remota debería limitarse a las direcciones de quienes administran y a los perfiles necesarios. Busca la regla habilitada que la deja abierta a cualquier origen en los tres perfiles.

Un cortafuegos de host desactivado «un momento» para resolver un problema es el hallazgo más repetido de las revisiones de estaciones. Cuenta los equipos de la exportación con el cortafuegos desactivado, sean servidores o estaciones.