Configurar firewall en Linux | Guía para SysAdmin

Introducción: ¿Por qué es crucial un Firewall en tu Servidor Linux?

Si estás empezando a administrar tu propio servidor Linux, ya sea en un VPS, un servidor dedicado o incluso en una máquina local, una de las primeras y más importantes tareas que debes dominar es la configuración de un firewall linux. Piensa en el firewall como el portero de tu servidor: decide quién puede entrar, a qué servicios puede acceder y desde dónde.

Sin un firewall configurado, tu servidor está expuesto a todo tipo de escaneos y ataques automatizados en Internet. Cualquier servicio que esté corriendo (como un servidor web, SSH o una base de datos) es un punto de entrada potencial para un atacante. Configurar un firewall no es solo una buena práctica, es una necesidad básica de linux security.

En esta guía, te explicaré paso a paso cómo configurar firewall linux usando dos de las herramientas más populares: iptables (el clásico y poderoso) y UFW (el más amigable para principiantes). Al final, tendrás un servidor mucho más seguro y entenderás los conceptos fundamentales para protegerlo.

## Entendiendo los Conceptos Básicos del Firewall en Linux

Antes de lanzarnos a los comandos, es importante que entiendas cómo funciona un firewall a nivel de red.

### ¿Qué es una Regla de Firewall?

Un firewall funciona con reglas. Cada regla define qué hacer con un paquete de datos que intenta entrar o salir de tu servidor. Las acciones más comunes son:

ACCEPT (Aceptar): Permite el paso del paquete.
DROP (Rechazar): Bloquea el paquete y no envía ninguna respuesta. Es como si el servidor no existiera para ese tráfico.
REJECT (Rechazar con aviso): Bloquea el paquete, pero envía un mensaje de error al remitente (como "puerto inalcanzable").

### Las Cadenas (Chains) por Defecto

Los paquetes pasan por diferentes cadenas de reglas. Las tres más importantes son:

INPUT: Para el tráfico que entra a tu servidor (ej: alguien se conecta a tu web).
OUTPUT: Para el tráfico que sale de tu servidor (ej: tu servidor actualiza un paquete).
FORWARD: Para el tráfico que pasa a través de tu servidor hacia otro destino (ej: tu servidor actúa como router).

[INFO] Para un servidor típico (web, base de datos, etc.), te enfocarás principalmente en la cadena INPUT, que controla quién puede conectarse a tus servicios.

### Política por Defecto: El Principio de Mínimo Privilegio

La mejor práctica de linux security es establecer una política por defecto restrictiva. Esto significa que, por defecto, todo el tráfico entrante está BLOQUEADO (DROP). Luego, creas reglas específicas para permitir solo el tráfico que necesitas (como el puerto 80 para HTTP, el 443 para HTTPS y quizás tu IP para SSH).

## Método 1: Configurar Firewall Linux con UFW (Para Principiantes)

UFW (Uncomplicated Firewall) es una interfaz simplificada sobre iptables. Es perfecta si no quieres lidiar con la complejidad de las reglas de iptables directamente. Está preinstalado en muchas distribuciones como Ubuntu.

### Paso 1: Verificar e Instalar UFW

Primero, verifica si UFW está instalado:

sudo ufw status

Si no lo está, puedes instalarlo fácilmente:

sudo apt update
sudo apt install ufw -y   # En Debian/Ubuntu

### Paso 2: Configurar la Política por Defecto

Antes de activar UFW, establece la política por defecto para que sea restrictiva:

sudo ufw default deny incoming
sudo ufw default allow outgoing

Esto significa: "Bloquea todo lo que entre, pero permite todo lo que salga". Esta es una base sólida.

### Paso 3: Permitir Servicios Esenciales

Ahora, antes de activar el firewall, DEBES permitir el acceso SSH, o te quedarás fuera de tu servidor.

sudo ufw allow ssh
# o específicamente para el puerto 22
sudo ufw allow 22/tcp

[WARNING] ¡No actives el firewall sin antes permitir SSH! De lo contrario, perderás la conexión a tu servidor.

Luego, permite los servicios que necesites:

# Para un servidor web
sudo ufw allow 80/tcp   # HTTP
sudo ufw allow 443/tcp  # HTTPS

# Para un panel de control como Syspanel (puerto 2106)
sudo ufw allow 2106/tcp

# Para permitir solo una IP específica a SSH (mucho más seguro)
sudo ufw allow from 192.168.1.100 to any port 22

### Paso 4: Activar el Firewall

Una vez que tienes tus reglas básicas, activa UFW:

sudo ufw enable

Te preguntará si estás seguro. Responde y. Luego, verifica el estado:

sudo ufw status verbose

Verás una salida similar a esta:

Status: active
Logging: on (low)
Default: deny (incoming), allow (outgoing)
New profiles: skip

To                         Action      From
--                         ------      ----
22/tcp                     ALLOW IN    Anywhere
80/tcp                     ALLOW IN    Anywhere
443/tcp                    ALLOW IN    Anywhere
2106/tcp                   ALLOW IN    Anywhere
22/tcp (v6)                ALLOW IN    Anywhere (v6)
80/tcp (v6)                ALLOW IN    Anywhere (v6)
443/tcp (v6)               ALLOW IN    Anywhere (v6)
2106/tcp (v6)              ALLOW IN    Anywhere (v6)

[TIP] Si cometes un error, puedes eliminar una regla con sudo ufw delete allow 80/tcp. Para desactivar el firewall temporalmente, usa sudo ufw disable.

## Método 2: Configurar Firewall Linux con Iptables (El Tutorial Clásico)

Iptables es la herramienta subyacente y más potente. Aunque su sintaxis es más compleja, te da un control total. Este iptables tutorial te mostrará lo esencial.

### Paso 1: Verificar el Estado Actual

Primero, mira las reglas actuales (si las hay):

sudo iptables -L -n -v

Esto mostrará las cadenas y sus reglas. Al principio, probablemente estén vacías.

### Paso 2: Establecer Políticas por Defecto (¡Con Cuidado!)

Al igual que con UFW, establecerás una política de "denegar todo" para INPUT y FORWARD, y "permitir todo" para OUTPUT.

# Establecer políticas por defecto
sudo iptables -P INPUT DROP
sudo iptables -P FORWARD DROP
sudo iptables -P OUTPUT ACCEPT

[WARNING] ¡Ejecuta este comando SOLO después de haber creado las reglas de permitido para SSH (Paso 3)! Si ejecutas iptables -P INPUT DROP sin una regla SSH, te desconectarás inmediatamente.

### Paso 3: Crear Reglas para el Tráfico Esencial

Ahora, antes de aplicar la política restrictiva, debes crear las reglas de permiso. El orden es importante: las reglas se evalúan de arriba a abajo.

# 1. Permitir tráfico de loopback (necesario para que el sistema funcione)
sudo iptables -A INPUT -i lo -j ACCEPT

# 2. Permitir conexiones establecidas y relacionadas (muy importante)
#    Esto permite que las respuestas a tus peticiones salientes entren de vuelta.
sudo iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

# 3. Permitir SSH (¡HAZ ESTO AHORA!)
sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT

# 4. Permitir HTTP y HTTPS
sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

# 5. Permitir el puerto de Syspanel (2106)
sudo iptables -A INPUT -p tcp --dport 2106 -j ACCEPT

# 6. (Opcional) Permitir SSH solo desde una IP específica
# sudo iptables -A INPUT -p tcp -s 192.168.1.100 --dport 22 -j ACCEPT

### Paso 4: Bloquear el Resto (Opcional pero Recomendado)

Si quieres ser aún más estricto, puedes añadir una regla al final para rechazar todo lo demás con un mensaje ICMP (ping de rechazo) o simplemente dejarlo caer (DROP) que ya es la política por defecto.

# Opcional: Rechazar con un mensaje de 'puerto inalcanzable'
sudo iptables -A INPUT -j REJECT --reject-with icmp-port-unreachable

### Paso 5: Guardar las Reglas para que Sean Persistentes

Las reglas de iptables se borran al reiniciar el servidor. Para guardarlas, necesitas un paquete adicional.

# En Debian/Ubuntu
sudo apt install iptables-persistent -y
# Durante la instalación, te preguntará si quieres guardar las reglas actuales. Responde que sí.

# Para guardar manualmente después de hacer cambios:
sudo netfilter-persistent save

[TIP] Siempre verifica tus reglas después de guardarlas con sudo iptables -L -n -v. Un error puede dejarte fuera.

## FAQ: Preguntas Frecuentes sobre Firewall en Linux

### ¿Cuál es mejor, UFW o Iptables?

UFW es mejor para principiantes y para configuraciones rápidas y sencillas. Es más fácil de recordar y menos propenso a errores. Iptables es mejor para administradores de sistemas experimentados que necesitan un control granular, reglas complejas (como NAT, balanceo de carga) o scripting avanzado. Para el 90% de los casos, UFW es más que suficiente.

### ¿Cómo puedo ver los puertos abiertos en mi servidor?

Puedes usar netstat o ss para ver qué servicios están escuchando en qué puertos.

sudo ss -tulpn

Esto te mostrará los puertos en los que tus aplicaciones están esperando conexiones. Luego, puedes decidir qué puertos permitir en tu firewall.

### ¿Qué hago si me bloqueo por error?

Si te bloqueaste mientras configuras iptables y tienes acceso físico o por consola (KVM/IPMI), puedes conectarte y deshacer los cambios. Si es un VPS remoto, la mayoría de los proveedores ofrecen un panel de control para acceder a una consola de emergencia o reiniciar el servidor en modo seguro. Si usas UFW, puedes intentar reiniciar el servidor desde el panel de tu proveedor, ya que UFW a veces no se activa automáticamente al arrancar si está mal configurado (pero no confíes en esto).

[WARNING] Siempre ten un plan de contingencia. Si estás lejos de tu servidor, prueba las reglas de a una y verifica que puedas reconectar antes de aplicar la política restrictiva.

### ¿Es necesario configurar el firewall si uso un servidor en la nube (AWS, GCP, Azure)?

¡Sí! Aunque los proveedores de la nube ofrecen "Security Groups" (que son firewalls a nivel de red), es una excelente práctica tener también un firewall a nivel de sistema operativo (como UFW o iptables). Esto añade una capa extra de seguridad, especialmente si tu servidor tiene múltiples interfaces de red o si cometes un error en la configuración del Security Group.

### ¿Puedo usar UFW e Iptables al mismo tiempo?

No es recomendable. UFW es un front-end de iptables. Si configuras reglas manualmente con iptables, UFW puede sobrescribirlas o no ser consciente de ellas. Elige uno y quédate con él. UFW es más simple.

## Conclusión: Tu Servidor Linux Ahora es Más Seguro

Configurar un firewall linux es uno de los pasos más gratificantes y efectivos que puedes dar para proteger tu servidor. Ya sea que elijas la simplicidad de UFW o el poder de iptables, el principio es el mismo: menos es más. Permite solo el tráfico estrictamente necesario y bloquea todo lo demás.

Recuerda siempre estos puntos clave:

Permite siempre SSH antes de activar cualquier regla restrictiva.
Usa políticas por defecto restrictivas (denegar entrada, permitir salida).
Prueba tus reglas en un entorno de desarrollo si es posible.
Mantén un registro de los cambios que haces.
Revisa periódicamente tus reglas para asegurarte de que siguen siendo necesarias.

Con esta guía, ya tienes las bases para dominar la seguridad de tu servidor. Ahora, ¡manos a la obra y protege tu máquina!