Cómo configurar un firewall en Linux para proteger tu infraestructura paso a paso

Idea clave: un firewall no hace invulnerable a un servidor, pero reduce la superficie de ataque. Su objetivo es permitir solo los servicios necesarios y bloquear todo lo que no debería estar expuesto.

Un firewall permite

• Permitir solo puertos necesarios.
• Bloquear servicios internos expuestos por error.
• Restringir acceso por IP o red.
• Separar tráfico público, privado e interno.
• Proteger SSH, bases de datos y paneles administrativos.
• Reducir la superficie de ataque del servidor.
• Registrar intentos de conexión sospechosos.
• Aplicar políticas de seguridad por servicio o zona.

Leer más: Guía práctica de ciberseguridad: cómo proteger servidores Linux frente a ataques comunes

Reglas mínimas típicas

• SSH: puerto 22 o puerto personalizado solo para administración.
• HTTP: puerto 80 si el servidor publica sitio web.
• HTTPS: puerto 443 para tráfico web seguro.
• Base de datos: permitir solo desde IPs internas o servidores autorizados.
• Panel administrativo: restringir por IP, VPN o red privada.

Error crítico: abrir puertos “por si acaso”. Cada puerto abierto debe tener una justificación, un responsable, un servicio asociado y una regla clara de acceso.

# Ver puertos abiertos y procesos asociados
sudo ss -tulpen

# Ver servicios activos
systemctl --type=service --state=running

# Ver IP del servidor
ip addr

# Ver rutas de red
ip route

Tip: si encuentras un servicio escuchando en todas las interfaces con 0.0.0.0, verifica si realmente debe estar expuesto a la red pública.

sudo apt update
sudo apt install ufw -y

sudo ufw default deny incoming
sudo ufw default allow outgoing

sudo ufw allow ssh

# Si usas un puerto SSH personalizado, por ejemplo 2222:
sudo ufw allow 2222/tcp

sudo ufw allow 80/tcp
sudo ufw allow 443/tcp

sudo ufw enable
sudo ufw status verbose
sudo ufw status numbered

Leer más: Guía básica para administrar usuarios y permisos en Linux

# Permitir SSH solo desde una IP específica
sudo ufw allow from 203.0.113.10 to any port 22 proto tcp

# Permitir SSH desde una red privada
sudo ufw allow from 192.168.10.0/24 to any port 22 proto tcp

sudo ufw status numbered

# Luego elimina por número
sudo ufw delete NUMERO_DE_REGLA

Atención: si tu IP pública cambia con frecuencia, restringir SSH a una sola IP puede bloquearte. En ese caso, evalúa VPN, acceso por red privada o consola de emergencia.

sudo dnf install firewalld -y
sudo systemctl enable --now firewalld
sudo systemctl status firewalld

sudo firewall-cmd --get-active-zones
sudo firewall-cmd --get-default-zone
sudo firewall-cmd --list-all

# Permitir SSH
sudo firewall-cmd --permanent --add-service=ssh

# Permitir HTTP y HTTPS
sudo firewall-cmd --permanent --add-service=http
sudo firewall-cmd --permanent --add-service=https

# Recargar configuración
sudo firewall-cmd --reload

# Ver reglas activas
sudo firewall-cmd --list-all

sudo firewall-cmd --permanent --add-port=8080/tcp
sudo firewall-cmd --reload

Tip: en firewalld, recuerda usar --permanent si quieres que la regla sobreviva después de reiniciar o recargar el servicio.

# Ver zonas disponibles
sudo firewall-cmd --get-zones

# Ver reglas de una zona
sudo firewall-cmd --zone=public --list-all

# Asignar una interfaz a una zona
sudo firewall-cmd --permanent --zone=public --change-interface=eth0

# Recargar
sudo firewall-cmd --reload

Recomendación: usa zonas para separar interfaces públicas, privadas, internas o de administración. Esto evita aplicar la misma política a redes con niveles de confianza distintos.

# Debian/Ubuntu
sudo apt install nftables -y

# RHEL/Rocky/AlmaLinux/Fedora
sudo dnf install nftables -y

sudo systemctl enable --now nftables

sudo nano /etc/nftables.conf

#!/usr/sbin/nft -f

flush ruleset

table inet filtro {
  chain entrada {
    type filter hook input priority 0;
    policy drop;

    iif lo accept
    ct state established,related accept

    tcp dport 22 accept
    tcp dport {80, 443} accept

    ip protocol icmp accept
    ip6 nexthdr ipv6-icmp accept
  }

  chain salida {
    type filter hook output priority 0;
    policy accept;
  }

  chain reenvio {
    type filter hook forward priority 0;
    policy drop;
  }
}

sudo nft -c -f /etc/nftables.conf
sudo systemctl restart nftables
sudo nft list ruleset

Cuidado: nftables ofrece mucho poder, pero también exige precisión. Un error en una política por defecto puede bloquear servicios críticos.

# UFW: permitir PostgreSQL solo desde un servidor de aplicación
sudo ufw allow from 192.168.10.20 to any port 5432 proto tcp

# UFW: permitir MySQL/MariaDB solo desde red interna
sudo ufw allow from 192.168.10.0/24 to any port 3306 proto tcp

# Permitir PostgreSQL desde una IP específica usando rich rules
sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.10.20" port protocol="tcp" port="5432" accept'
sudo firewall-cmd --reload

Importante: proteger una base de datos no depende solo del firewall. También debes configurar usuarios, contraseñas fuertes, cifrado cuando corresponda, permisos mínimos y logs.

# UFW: activar logs
sudo ufw logging on
sudo ufw logging medium

# Revisar logs en Ubuntu/Debian
sudo grep UFW /var/log/syslog | tail -50

# firewalld: revisar servicio
sudo journalctl -u firewalld --since "1 hour ago"

# nftables: revisar reglas activas
sudo nft list ruleset

Tip: si el firewall bloquea un servicio que debería funcionar, revisa primero puertos, reglas, zona activa, interfaz de red y logs del servicio.

# Desde el servidor: ver puertos escuchando
sudo ss -tulpen

# Probar servicio web localmente
curl -I http://localhost
curl -I https://localhost

# Ver estado UFW
sudo ufw status verbose

# Ver firewalld
sudo firewall-cmd --list-all

# Ver nftables
sudo nft list ruleset

Recomendación: valida siempre desde una segunda sesión SSH antes de cerrar la sesión actual. Si algo sale mal, aún podrás corregir la regla.

Recomendaciones esenciales

• Bloquea tráfico entrante por defecto.
• Permite solo puertos necesarios.
• Restringe SSH por IP o VPN cuando sea posible.
• No expongas bases de datos a Internet.
• Documenta cada regla y su propósito.
• Elimina reglas antiguas o temporales.
• Prueba reglas antes de aplicarlas en producción.
• Revisa logs y alertas de conexión.
• Combina firewall con actualizaciones, hardening y monitoreo.
• Usa zonas o redes separadas para administración, producción y servicios internos.

Errores que debes evitar

• Activar el firewall sin permitir SSH previamente.
• Abrir rangos completos de puertos sin necesidad.
• Exponer bases de datos directamente a Internet.
• No diferenciar red pública, privada e interna.
• Dejar reglas temporales activas indefinidamente.
• No revisar qué servicios están escuchando.
• No documentar cambios.
• No probar conectividad después de aplicar reglas.
• Mezclar UFW, firewalld y reglas manuales sin control.
• Creer que el firewall reemplaza actualizaciones, contraseñas seguras o monitoreo.

• Identificar servicios activos con ss -tulpen.
• Definir qué puertos deben estar abiertos.
• Permitir SSH antes de activar el firewall.
• Bloquear tráfico entrante por defecto.
• Permitir HTTP y HTTPS solo si el servidor publica web.
• Restringir bases de datos por IP o red privada.
• Activar logs moderados.
• Validar reglas desde otra sesión.
• Documentar reglas y responsables.
• Revisar reglas periódicamente.

• Guía práctica de ciberseguridad: cómo proteger servidores Linux frente a ataques comunes
• Cómo detectar si tu servidor Linux tiene problemas de seguridad
• Las mejores herramientas de monitoreo para servidores Linux y entornos empresariales
• Cómo instalar y configurar un servidor Linux desde cero
• Cómo automatizar tareas en Linux utilizando Bash y Cron paso a paso

Tip final: un firewall debe revisarse como parte de la operación normal del servidor. Cada nuevo servicio, migración, cambio de IP o despliegue debe incluir revisión de reglas.

Resumen final

Para configurar un firewall en Linux, identifica primero servicios y puertos abiertos, define una política de bloqueo por defecto, permite SSH antes de activar reglas, habilita solo puertos necesarios como 80 y 443, restringe bases de datos por IP o red privada, revisa logs y valida conectividad. Usa UFW para configuraciones simples, firewalld para entornos empresariales con zonas y nftables para control avanzado.