Comprensión de los firewalls (UFW/firewalld)

Imagine que su servidor es una casa. Un firewall actúa como un guardia de seguridad en la puerta y decide quién puede entrar y salir. Es una parte fundamental de la seguridad del servidor.

Los firewalls evitan los accesos no autorizados y protegen su servidor frente a ataques maliciosos mediante el control del tráfico de red.

Los firewalls utilizan un conjunto de reglas para inspeccionar el tráfico de red entrante y saliente. Estas reglas se basan en lo siguiente:

• Dirección IP de origen o destino: de dónde procede el tráfico o adónde se dirige.
• Números de puerto: «puertas» específicas para los servicios (por ejemplo, el puerto 22 para SSH y el 80 para HTTP).
• Protocolos: como TCP o UDP.

Permiten o rechazan el tráfico que coincide con estas reglas.

En sistemas basados en Debian, como Ubuntu, la herramienta de firewall más habitual es UFW, siglas de «Uncomplicated Firewall».

UFW está diseñado para ser fácil de usar, por lo que los principiantes pueden gestionar las reglas del firewall sin tener que trabajar directamente con los comandos complejos de `iptables`.

De forma predeterminada, UFW está configurado para priorizar la seguridad:

• Denegar conexiones entrantes: todas las conexiones entrantes se bloquean, a menos que se permitan explícitamente.
• Permitir conexiones salientes: su servidor puede iniciar conexiones con el exterior.

Esto significa que debe abrir específicamente los puertos de los servicios a los que quiera permitir el acceso desde Internet, como un servidor web o SSH.

Antes de activar UFW, es fundamental permitir el acceso SSH; de lo contrario, podría quedarse sin acceso a su servidor. Después de permitir SSH, puede activar UFW.

Pruebe a ejecutar estos comandos:

UFW puede permitir el tráfico de servicios habituales por su nombre (si están definidos en /etc/services) o por su número de puerto. Vamos a permitir HTTP (tráfico web) y SSH:

A veces necesita abrir un puerto específico que no corresponde a un servicio estándar con nombre, como el puerto 8080 para una aplicación personalizada. También puede especificar el protocolo (TCP o UDP).

Así se permite el tráfico TCP en el puerto 8080:

En sistemas basados en Red Hat, como CentOS y Fedora, la herramienta de gestión del firewall es firewalld. Es un demonio de firewall dinámico, lo que significa que puede cambiar las reglas sin reiniciar todo el servicio del firewall.

firewalld utiliza el concepto de «zonas» para gestionar las reglas, lo que ofrece un enfoque de seguridad más flexible.

firewalld organiza las reglas del firewall en zonas. Cada zona tiene un conjunto de reglas predeterminado y puede asignarse a interfaces de red.

Entre las zonas habituales se incluyen:

• public: para redes que no son de confianza (la predeterminada para las interfaces externas).
• home/internal: para redes de confianza.
• trusted: se aceptan todas las conexiones de red.

Esto permite aplicar distintos niveles de seguridad según el nivel de confianza de la red.

Para permitir servicios con firewalld, debe especificar el servicio y la zona, y utilizar la opción --permanent para que la regla se conserve después de reiniciar el sistema. Después, debe recargar firewalld.

Vamos a abrir SSH y HTTP en la zona public:

¡Excelente trabajo! Ha aprendido el papel fundamental de los firewalls en la seguridad de los servidores. Ahora comprende:

• Qué son los firewalls y por qué son esenciales.
• Cómo funciona UFW en Ubuntu/Debian, incluida la activación y la autorización de servicios.
• Cómo funciona firewalld en CentOS/RHEL, su concepto de zonas y la forma de añadir servicios.

Dominar estas herramientas es fundamental para controlar el acceso a la red y mantener seguro su servidor. A continuación, veremos cómo gestionar puertos específicos y sus implicaciones de seguridad.