Cómo crear una regla de firewall de salida para un proceso específico

Solución rápida: Abra Firewall de Windows Defender con seguridad avanzada (wf.msc). Haga clic en Reglas de salida → Nueva regla → Programa. Busque el EXE. Elija Bloquear la conexión. Seleccione los perfiles. Asigne un nombre a la regla. La aplicación ya no podrá realizar conexiones de salida.

Desea evitar que una aplicación específica se conecte a Internet — un juego que busca actualizaciones, telemetría, una aplicación que no debería comunicarse con su servidor. Windows permite las conexiones de salida de forma predeterminada. Cree una regla de salida explícita para bloquear. PowerShell permite automatizar lo mismo mediante scripts.

Qué causa esto

El Firewall de Windows Defender permite todo el tráfico de salida de forma predeterminada y bloquea la entrada de orígenes desconocidos. Para restringir la salida de una aplicación específica, cree una regla de bloqueo explícita para esa aplicación. Una vez creada, Windows bloquea todas las conexiones de salida de la aplicación.

Método 1: Crear una regla mediante Firewall de Windows Defender con seguridad avanzada

La ruta estándar.

1. Presione Win + R, escriba wf.msc, presione Entrar.
2. En el panel izquierdo, haga clic en Reglas de salida.
3. En el panel derecho, haga clic en Nueva regla.
4. Tipo de regla: Programa. Haga clic en Siguiente.
5. Ruta del programa: busque el EXE. Haga clic en Siguiente.
6. Acción: Bloquear la conexión. Haga clic en Siguiente.
7. Perfil: marque Dominio, Privado, Público (o solo los relevantes). Haga clic en Siguiente.
8. Nombre: descriptivo (por ejemplo, “Bloquear salida de GameUpdater”). Descripción opcional. Haga clic en Finalizar.
9. La regla aparece en la lista de Reglas de salida. Verifique que la columna Acción = Bloquear.
10. La aplicación ya no puede iniciar conexiones de salida.
11. Para deshabilitar la regla temporalmente: clic derecho → Deshabilitar regla. Vuelva a habilitarla cuando sea necesario.

Esta es la creación de reglas estándar.

Método 2: Crear una regla mediante PowerShell

Para la creación de reglas mediante scripts o automatizada.

1. Abra Terminal (Admin).
2. Bloquear la salida de un EXE específico:

   New-NetFirewallRule -DisplayName "Block AppName Outbound" -Direction Outbound -Program "C:\Path\to\app.exe" -Action Block -Profile Domain,Private,Public

3. Bloquear un puerto específico (por ejemplo, puerto 12345 de salida):

   New-NetFirewallRule -DisplayName "Block port 12345 out" -Direction Outbound -Protocol TCP -RemotePort 12345 -Action Block

4. Bloquear por IP remota (por ejemplo, un servidor de telemetría específico):

   New-NetFirewallRule -DisplayName "Block telemetry IP" -Direction Outbound -RemoteAddress 203.0.113.45 -Action Block

5. Listar reglas: Get-NetFirewallRule -Direction Outbound -Action Block | Format-Table DisplayName, Enabled.
6. Eliminar regla: Remove-NetFirewallRule -DisplayName "Block AppName Outbound".
7. Para la creación masiva de reglas: guarde los comandos en un script PS1; impleméntelo mediante Intune o una tarea programada.

PowerShell es la herramienta adecuada para la automatización de TI.

Método 3: Usar un firewall de terceros para un control más completo por proceso

Para un control granular más allá del Firewall de Windows.

1. Instale SimpleWall desde github.com/henrypp/simplewall (gratuito, código abierto).
2. Modo predeterminado de SimpleWall: bloquear todo de forma predeterminada, preguntar por cada nueva conexión de salida. Haga clic en Permitir o Bloquear.
3. Para una interfaz de usuario avanzada del Firewall de Windows Defender: WindowsFirewallControl de Malwarebytes (gratuito, antes BiniSoft). Agrega modos “Permitido/Bloqueado/Deshabilitado”.
4. Para monitor de red + firewall: GlassWire (nivel gratuito). Visualiza las conexiones; bloqueo con un clic.
5. Para un control similar a iptables de Linux: NetLimiter (de pago) — ancho de banda por proceso + reglas de conexión.
6. Para el bloqueo de anuncios y rastreo en todo el sistema: Pi-hole (Raspberry Pi o VM) bloquea a nivel de DNS. Se combina con reglas de firewall para el control de anuncios y telemetría.

Esta es la ruta correcta para flujos de trabajo avanzados de firewall.

Cómo verificar que la solución funcionó

• Inicie la aplicación bloqueada. Intente usar una función que requiera Internet. La aplicación informa un error de conexión o se queda colgada.
• Abra wf.msc → Reglas de salida → ordene por Acción. Su regla de bloqueo aparece con Acción = Bloquear.
• Use netstat -ano | findstr ESTABLISHED para verificar que no haya conexiones activas desde el PID de la aplicación.

Si nada de esto funciona

Si la aplicación aún se conecta a pesar de la regla: Varios EXE para la aplicación: muchas aplicaciones se ejecutan desde varios EXE. La regla de bloqueo para app.exe no cubre updater.exe o service.exe. Enumere todos los procesos de la aplicación mediante el Administrador de tareas y agregue reglas para cada uno. Servicio ejecutándose como System: los servicios de Windows se ejecutan de forma independiente. Bloquee el EXE del proceso; la ruta del servicio es diferente. Compruébelo mediante sc qc ServiceName. Agregue una regla para el binario del servicio. La aplicación usa un túnel VPN: el tráfico a través de la VPN omite el firewall local. El firewall del cliente VPN es independiente. Aún se produce tráfico de entrada: el bloqueo de salida no detiene la entrada. Agregue también una regla de entrada si es necesario. Para equipos administrados por la empresa: la Directiva de grupo puede anular sus reglas. Compruebe gpresult. Para aplicaciones UWP: el bloqueo por EXE no funciona; use Privacidad y seguridad de Windows → Aplicaciones en segundo plano para restringir. O bloquee en la consola MMC con reglas basadas en paquetes.

En resumen: wf.msc → Reglas de salida → Nueva regla → Programa → Bloquear. O PowerShell New-NetFirewallRule -Direction Outbound -Action Block. Control granular por EXE.