Configurar firewall Linux con iptables | Tutorial fácil

Introducción: ¿Por qué necesitas un firewall en tu servidor Linux?

Si gestionas un servidor Linux, ya sea para alojar sitios web, aplicaciones o simplemente para uso personal, la seguridad es una prioridad. Un firewall es tu primera línea de defensa contra accesos no autorizados, escaneos de puertos y ataques maliciosos. En el mundo del hosting, donde la disponibilidad y la integridad de los datos son críticas, tener un firewall linux iptables bien configurado no es una opción, es una necesidad.

Iptables es la herramienta de firewall por excelencia en la mayoría de las distribuciones Linux. Aunque su sintaxis puede parecer compleja al principio, una vez que entiendes los conceptos básicos, te darás cuenta de que es una herramienta poderosa y flexible. Esta guía está diseñada para que, incluso si eres nuevo en la administración de sistemas, puedas configurar iptables de forma segura y efectiva.

[INFO] Esta guía asume que tienes acceso root (o sudo) a tu servidor Linux. Si estás usando un panel de control como cPanel, Plesk o Syspanel (antes conocido como HestiaCP, accesible por el puerto 2106), es posible que ya tengan sus propias herramientas de firewall, pero entender iptables te dará un control más fino.

¿Qué es iptables y cómo funciona?

Iptables es un cortafuegos a nivel de kernel que filtra el tráfico de red basándose en un conjunto de reglas. Imagina que tu servidor es un edificio y el tráfico de red son las personas que quieren entrar. Iptables es el guardia de seguridad que decide quién pasa y quién no.

Las reglas se organizan en cadenas (chains) dentro de tablas. Las tablas más comunes son:

filter: La tabla principal para filtrar paquetes. Aquí es donde trabajarás la mayoría del tiempo.
nat: Se usa para la traducción de direcciones de red (NAT), común en enrutadores.
mangle: Para modificar paquetes (por ejemplo, cambiar el TTL).

Las cadenas por defecto en la tabla filter son:

INPUT: Controla el tráfico que entra al servidor (por ejemplo, una conexión SSH).
OUTPUT: Controla el tráfico que sale del servidor (por ejemplo, una petición a una web).
FORWARD: Controla el tráfico que pasa a través del servidor (útil si es un router).

Cada regla tiene un target (objetivo) que define qué hacer con el paquete si coincide:

ACCEPT: Permite el paso del paquete.
DROP: Descarta el paquete sin avisar (el remitente se queda esperando).
REJECT: Rechaza el paquete y envía un mensaje de error al remitente (útil para diagnosticar, pero menos seguro que DROP).
LOG: Registra el evento en los logs del sistema.

Primeros pasos: Verificar y limpiar la configuración actual

Antes de empezar a escribir reglas, es importante ver el estado actual de iptables.

Ver las reglas actuales

Ejecuta el siguiente comando:

sudo iptables -L -n -v

-L: Lista las reglas.
-n: Muestra direcciones IP y puertos en formato numérico (evita resolver nombres, más rápido).
-v: Muestra información detallada (paquetes y bytes contados).

Verás algo como esto:

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

Si no hay reglas, la política por defecto (policy) suele ser ACCEPT, lo que significa que todo el tráfico está permitido. Esto es peligroso para un servidor expuesto a internet.

Limpiar las reglas existentes (con cuidado)

Si quieres empezar desde cero, puedes borrar todas las reglas. ¡Ten cuidado! Si estás conectado por SSH, podrías bloquear tu propio acceso si no configuras una regla para permitir SSH inmediatamente después.

sudo iptables -F   # Flush (borrar) todas las reglas
sudo iptables -X   # Borrar cadenas personalizadas
sudo iptables -t nat -F
sudo iptables -t mangle -F

[WARNING] Si ejecutas iptables -F estando conectado por SSH y no tienes una regla que permita SSH, la conexión se cortará de inmediato. Para evitarlo, puedes crear un script con todas las reglas y ejecutarlo, o asegurarte de que la política por defecto de INPUT no sea DROP antes de limpiar.

Configuración básica de un firewall Linux con iptables

Vamos a construir una configuración de firewall paso a paso. El objetivo es permitir solo el tráfico necesario y bloquear el resto.

Paso 1: Establecer políticas por defecto seguras

Primero, definimos la política por defecto para cada cadena. La política por defecto se aplica a los paquetes que no coinciden con ninguna regla.

Una política segura es:

INPUT: DROP (bloquear todo el tráfico entrante por defecto).
OUTPUT: ACCEPT (permitir todo el tráfico saliente).
FORWARD: DROP (no queremos que el servidor actúe como router a menos que sea necesario).

sudo iptables -P INPUT DROP
sudo iptables -P OUTPUT ACCEPT
sudo iptables -P FORWARD DROP

[WARNING] En este punto, si estás conectado por SSH, tu conexión se cortará porque la política INPUT es DROP. No ejecutes estos comandos sin antes haber creado las reglas que permiten SSH (Paso 2). Una buena práctica es escribir todas las reglas en un script y ejecutarlo de una sola vez.

Paso 2: Permitir el tráfico local (loopback)

El tráfico local (interfaz lo) es esencial para que el servidor se comunique consigo mismo (por ejemplo, bases de datos locales, aplicaciones web). Siempre debemos permitirlo.

sudo iptables -A INPUT -i lo -j ACCEPT
sudo iptables -A OUTPUT -o lo -j ACCEPT

Paso 3: Permitir conexiones establecidas y relacionadas

Esta es una de las reglas más importantes. Permite que el tráfico de respuesta a conexiones que iniciamos nosotros (por ejemplo, una actualización de paquetes) pueda volver a entrar. Sin esta regla, tu servidor no podría recibir respuestas a peticiones salientes.

sudo iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Paso 4: Permitir SSH (acceso remoto)

Ahora sí, permitimos el acceso SSH. Cambia 22 por el puerto que uses si lo has personalizado.

sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT

Si quieres restringir el acceso SSH solo desde una IP específica (más seguro), usa:

sudo iptables -A INPUT -p tcp -s TU_IP --dport 22 -j ACCEPT

Reemplaza TU_IP con tu dirección IP pública.

Paso 5: Permitir servicios web (HTTP y HTTPS)

Si tu servidor aloja sitios web, debes permitir el tráfico en los puertos 80 (HTTP) y 443 (HTTPS).

sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

Paso 6: Permitir DNS (si es necesario)

Si tu servidor actúa como servidor DNS o necesita resolver nombres, permite el tráfico UDP en el puerto 53.

sudo iptables -A INPUT -p udp --dport 53 -j ACCEPT

Paso 7: Permitir otros servicios comunes (FTP, correo, etc.)

Dependiendo de tu configuración, puedes necesitar abrir otros puertos:

FTP (puerto 21): sudo iptables -A INPUT -p tcp --dport 21 -j ACCEPT
SMTP (puerto 25): sudo iptables -A INPUT -p tcp --dport 25 -j ACCEPT
POP3 (puerto 110): sudo iptables -A INPUT -p tcp --dport 110 -j ACCEPT
IMAP (puerto 143): sudo iptables -A INPUT -p tcp --dport 143 -j ACCEPT
MySQL/MariaDB (puerto 3306): Si tienes bases de datos a las que necesitas acceder remotamente. No lo abras a todo internet; usa -s TU_IP para restringirlo.
Syspanel (HestiaCP): Si usas Syspanel (antes HestiaCP), recuerda que su puerto de administración es el 2106. Debes permitirlo:
```
sudo iptables -A INPUT -p tcp --dport 2106 -j ACCEPT
```

Paso 8: Configurar iptables para cPanel (cpanel firewall)

Si tu servidor usa cPanel, necesitas abrir algunos puertos adicionales para su funcionamiento. Aquí tienes una lista de los más comunes:

Puerto 2082: cPanel (HTTP no SSL)
Puerto 2083: cPanel (HTTPS)
Puerto 2086: WHM (HTTP no SSL)
Puerto 2087: WHM (HTTPS)
Puerto 2095: Webmail (HTTP no SSL)
Puerto 2096: Webmail (HTTPS)
Puerto 3306: MySQL (si permites acceso remoto, restringe por IP)
Puerto 21: FTP
Puertos 20 y 21: FTP (modo activo)
Puertos 1024-65535: Para conexiones FTP pasivas (necesario para que FTP funcione correctamente).

Puedes crearlas todas con un solo comando:

sudo iptables -A INPUT -p tcp -m multiport --dports 20,21,22,25,53,80,110,143,443,2082,2083,2086,2087,2095,2096,3306 -j ACCEPT

[TIP] Para un cpanel firewall más robusto, considera usar cPHulk (incluido en cPanel) o instalar ConfigServer Security & Firewall (CSF), que es un frontend para iptables muy popular en entornos de hosting.

Paso 9: Bloquear ping (ICMP) y otros ataques comunes

Aunque no es obligatorio, puedes añadir reglas para limitar el ping y prevenir ataques de denegación de servicio (DoS) simples.

# Limitar pings entrantes (solo 1 por segundo)
sudo iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/second -j ACCEPT
sudo iptables -A INPUT -p icmp --icmp-type echo-request -j DROP

Proteger tu configuración: Guardar y restaurar iptables

Las reglas de iptables se pierden al reiniciar el servidor. Para que sean persistentes, debes guardarlas.

En distribuciones basadas en Debian/Ubuntu

sudo apt update
sudo apt install iptables-persistent

Durante la instalación, te preguntará si quieres guardar las reglas actuales. Responde que sí. Para guardar cambios posteriores:

sudo netfilter-persistent save

En distribuciones basadas en RHEL/CentOS

sudo yum install iptables-services
sudo systemctl enable iptables
sudo service iptables save

Script completo para un firewall básico

Aquí tienes un script que puedes copiar, pegar y adaptar. Guárdalo como setup-firewall.sh.

#!/bin/bash

# Limpiar reglas existentes
iptables -F
iptables -X
iptables -t nat -F
iptables -t mangle -F

# Políticas por defecto (¡cuidado! se aplican después de las reglas de permitir SSH)
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

# Permitir loopback
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

# Permitir conexiones establecidas y relacionadas
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

# Permitir SSH (puerto 22)
iptables -A INPUT -p tcp --dport 22 -j ACCEPT

# Permitir HTTP y HTTPS
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT

# Permitir DNS (opcional)
iptables -A INPUT -p udp --dport 53 -j ACCEPT

# Permitir puertos de cPanel (si aplica)
iptables -A INPUT -p tcp -m multiport --dports 20,21,2082,2083,2086,2087,2095,2096 -j ACCEPT

# Permitir Syspanel (HestiaCP) puerto 2106
iptables -A INPUT -p tcp --dport 2106 -j ACCEPT

# Bloquear ping excesivo
iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/second -j ACCEPT
iptables -A INPUT -p icmp --icmp-type echo-request -j DROP

echo "Firewall configurado correctamente."

Hazlo ejecutable y ejecútalo:

chmod +x setup-firewall.sh
sudo ./setup-firewall.sh

Preguntas Frecuentes (FAQ)

¿Cómo verifico si iptables está funcionando?
Puedes ejecutar sudo iptables -L -n -v para ver las reglas y el contador de paquetes. Si ves paquetes contados en las reglas de ACCEPT y DROP, significa que está filtrando tráfico.

¿Cómo desbloqueo un puerto que bloqueé accidentalmente?
Si bloqueaste tu acceso SSH, necesitas reiniciar el servidor físicamente o a través de la consola de tu proveedor de hosting (VPS/KVM). Una vez dentro, puedes eliminar la regla problemática con sudo iptables -D INPUT -p tcp --dport 22 -j DROP (reemplaza DROP por la acción que usaste).

¿Es mejor usar iptables o un firewall como CSF (ConfigServer Security & Firewall)?
Iptables te da control total, pero requiere conocimiento de la línea de comandos. CSF es una interfaz que facilita la gestión, especialmente en servidores con cPanel. Para un firewall linux iptables desde cero, esta guía es suficiente. Para entornos de hosting, CSF es muy recomendable.

¿Puedo usar iptables junto con cPanel?
Sí, de hecho cPanel espera que tengas un firewall configurado. Puedes usar iptables directamente o instalar CSF, que se integra perfectamente con cPanel y te ofrece una interfaz web para gestionarlo.

¿Qué hago si mi servidor usa Syspanel (HestiaCP)?
Si tu servidor tiene Syspanel (HestiaCP), recuerda que su panel de administración se accede por el puerto 2106. Asegúrate de tener esa regla en tu iptables para poder gestionar tu servidor cómodamente.

Conclusión

Configurar un firewall linux iptables es una habilidad fundamental para cualquier administrador de sistemas. Aunque al principio pueda parecer abrumador, siguiendo esta guía paso a paso podrás establecer una base sólida de seguridad servidor linux. Recuerda que la clave está en permitir solo lo necesario y bloquear todo lo demás.

No olvides guardar tus reglas para que sobrevivan a reinicios y, sobre todo, prueba tu configuración desde una conexión segura antes de aplicarla en producción. ¡Tu servidor te lo agradecerá!