Sobre Firewalls y Routers

[ShotgunLogic]

Buenas

El otro día me surgió una duda con esto de los firewalls y los routers. Y es que no se hasta dónde llegan a bloquear conexiones cada uno de ellos.

Yo en mi router tengo bloqueados todos los puertos(http, ftp, etc..), y de hecho cuando por ejemplo abro el http puedo conectarme desde afuera a un servidor apache que tengo montado. Hasta ahí bien, el router nos bloquea las peticiones que se hagan desde afuera.

Pero yo, que estoy haciendo uso de internet, realmente estoy enviando el protocolo http con destino el puerto 80(y de salida otro, que es el que asigna automáticamente NAT), y cuando me devuelven los paquetes http, se supone que pasan por el router, pero el router los deja pasar. ¿Cómo funciona esto? Es que no estoy seguro de si es lo que yo pienso o que. Y otra cosa, el firewall que tengamos instalado en el sistema operativo actúa sobre estos paquetes, pero ¿Como es que a veces nos llega una actualización de por ejemplo java, y el firewall del sistema operativo nos salta, y el router lo deja pasar sin más? ¿No se supone que el router esta bloqueando todos los puertos de alguien que esta intentando conectar sin mas?

Un saludo

[tragantras]

Yo en mi router tengo bloqueados todos los puertos(http, ftp, etc..), y de hecho cuando por ejemplo abro el http puedo conectarme desde afuera a un servidor apache que tengo montado. Hasta ahí bien, el router nos bloquea las peticiones que se hagan desde afuera.

No se si te has expresado mal, o no termino de entender la frase, o qué se yo, pero no me cuadra demasiado eso, de cualquier manera allá voy:

Como tu bien dices, con un router puedes bloquear las conexiones remotas INICIADAS desde fuera, cuando el mecanismo de NAT te asigna un puerto efímero el soft del router va a dejar pasar las conexiones que vayan por ese puerto, de ahí el uso de muchas veces "reverse shells".

Por otro lado, esta asignación de puertos, es ajena al Sistema Operativo, de manera que desconoce totalmente estas operaciones. En tu SO aparte de por puertos, se suele trabajar por programas, -tu autorizas a un programa a trabajar "libremente"-. Te permite la conexión, porque el actualizador de java inició la conexión, es decir, desde dentro se le asignó un puerto efímero para la conexión.

[ShotgunLogic]

No se si te has expresado mal, o no termino de entender la frase, o qué se yo, pero no me cuadra demasiado eso, de cualquier manera allá voy:

Como tu bien dices, con un router puedes bloquear las conexiones remotas INICIADAS desde fuera, cuando el mecanismo de NAT te asigna un puerto efímero el soft del router va a dejar pasar las conexiones que vayan por ese puerto, de ahí el uso de muchas veces "reverse shells".

Por otro lado, esta asignación de puertos, es ajena al Sistema Operativo, de manera que desconoce totalmente estas operaciones. En tu SO aparte de por puertos, se suele trabajar por programas, -tu autorizas a un programa a trabajar "libremente"-. Te permite la conexión, porque el actualizador de java inició la conexión, es decir, desde dentro se le asignó un puerto efímero para la conexión.

Vale ok, ya me queda todo claro, es que no estaba seguro de como bloqueaba bien los puertos el router, estaba casi seguro, pero preferí preguntarlo ya que supuse que habría alguien más con alguna duda de este tipo.

Muchas gracias