Laboratorio de reglas de firewall
Construye un conjunto ordenado de reglas allow/deny, reproduce paquetes con «la primera coincidencia gana» y detecta reglas sombreadas y demasiado amplias.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Los firewalls fallan por orden y especificidad, no por sintaxis. En este laboratorio construyes un conjunto ordenado de reglas de permitir y denegar (zona de origen, zona de destino, puerto, protocolo), reproduces un conjunto de paquetes etiquetados con evaluación de arriba abajo en la que la primera coincidencia gana y un deny por defecto implícito al final, y el laboratorio marca los dos errores que causan caídas y exposiciones reales: reglas sombreadas, que nunca se ejecutan porque una anterior ya cubre su tráfico, y reglas demasiado amplias del tipo any→any ALLOW. Cada escenario tiene un objetivo —bloquear el beacon de C2, mantener el tráfico de negocio, segmentar la red OT— y se puntúa por amenazas bloqueadas frente a flujos de negocio conservados. Es un laboratorio Pro.
- Elige un escenario y lee su objetivo: qué amenaza bloquear y qué tráfico de negocio mantener.
- Escribe reglas ordenadas; se evalúan de arriba abajo y la primera coincidencia gana, con un deny implícito al final.
- Reproduce los paquetes y usa los contadores por regla y la traza por paquete para ver por qué se permitió o denegó cada uno.
- Corrige las reglas sombreadas y las any→any que el laboratorio marca hasta cumplir el objetivo.
Preguntas frecuentes
¿Qué es el Laboratorio de reglas de firewall?
Un ejercicio en el navegador en el que construyes un conjunto ordenado de reglas (zona de origen, zona de destino, puerto, protocolo, permitir o denegar) y reproduces paquetes etiquetados. Las reglas se evalúan de arriba abajo, la primera coincidencia gana y hay un deny implícito al final: el mismo modelo que un filtro de paquetes sin estado o un security group/NACL en la nube.
¿Qué son las reglas sombreadas y las demasiado amplias?
Una regla sombreada nunca se ejecuta porque una regla anterior, igual o más amplia, ya coincide con todo lo que ella cubriría: es configuración muerta que oculta la intención. Una regla demasiado amplia es un any→any ALLOW, que permite todo lo que llega a ella y es una causa clásica de exposición no intencionada. El laboratorio resalta ambas mientras editas.
¿Para quién es?
Para analistas e ingenieros que aprenden a ordenar reglas de firewall, security groups y NACL, para quien prepara una entrevista de seguridad de redes o de nube, y para cualquiera que quiera entender por qué importan el orden y el deny por defecto sin tocar producción. No requiere instalación.
¿Es un firewall real?
No. Es un modelo didáctico de evaluación por primera coincidencia con deny por defecto. Ignora a propósito el seguimiento de conexiones con estado, el NAT y la inspección profunda para que la lección —orden, especificidad y deny por defecto— quede clara. Los escenarios y los paquetes son inventados.
¿Es gratis?
No, es un laboratorio Pro. Con una cuenta gratuita tienes 3 usos de prueba; después necesitas Pro.