7.1 Firewalls en Linux: UFW y NFTables¶

Introducción¶

En cualquier sistema expuesto a red, el firewall es la primera línea de defensa. Su función es controlar qué tráfico puede entrar o salir del sistema, aplicando políticas de seguridad basadas en reglas. Sin un firewall correctamente configurado, incluso un servidor perfectamente parcheado sigue siendo vulnerable.

En Linux moderno existen múltiples herramientas, pero destacan dos enfoques:

UFW (Uncomplicated Firewall) → interfaz simplificada (ideal para administración rápida).
NFTables → herramienta avanzada y moderna que sustituye a iptables.

Como Sysadmin, debes ser capaz de trabajar con ambos: UFW para operaciones rápidas y NFTables para configuraciones complejas y altamente optimizadas.

Objetivos de aprendizaje¶

Al finalizar este capítulo serás capaz de:

Comprender cómo funciona un firewall a nivel de filtrado de paquetes.
Configurar reglas básicas con UFW.
Implementar políticas avanzadas con NFTables.
Gestionar tráfico entrante, saliente y reenviado.
Diagnosticar problemas de conectividad relacionados con firewall.
Diseñar políticas seguras en entornos de producción.

Conceptos Teóricos¶

1. ¿Qué es un Firewall?¶

Un firewall es un sistema que inspecciona paquetes de red y decide si deben ser:

Aceptados (ACCEPT)
Rechazados (REJECT)
Descartados (DROP)

Se basa en reglas que analizan:

IP origen/destino
puerto
protocolo (TCP, UDP, ICMP)

2. Tipos de filtrado¶

Stateless¶

No mantiene estado.
Analiza paquetes individualmente.

Stateful (moderno)¶

Mantiene seguimiento de conexiones.
Permite tráfico relacionado automáticamente.

Ejemplo:

Permites conexión saliente HTTP → respuestas permitidas automáticamente.

3. Cadenas y tablas (concepto base)¶

En motores como nftables:

INPUT → tráfico entrante
OUTPUT → tráfico saliente
FORWARD → tráfico encaminado

4. Políticas por defecto¶

Definen comportamiento cuando no hay reglas:

deny all → todo bloqueado (recomendado)
allow all → inseguro

Laboratorio Práctico¶

Escenario¶

Configurar un servidor seguro:

Solo permitir SSH y HTTP
Bloquear resto de tráfico entrante
Permitir salidas

Parte 1: Configuración con UFW¶

Paso 1: Instalar y activar UFW¶

sudo apt install ufw
sudo ufw enable

Paso 2: Definir políticas por defecto¶

sudo ufw default deny incoming
sudo ufw default allow outgoing

Paso 3: Permitir SSH¶

sudo ufw allow 22/tcp

Acceso remoto

Permitir SSH antes de activar el firewall evita perder acceso al servidor.

Paso 4: Permitir HTTP¶

sudo ufw allow 80/tcp

Paso 5: Ver estado¶

sudo ufw status verbose

Output esperado¶

Status: active
Default: deny (incoming), allow (outgoing)
22/tcp ALLOW
80/tcp ALLOW

Paso 6: Eliminar regla¶

sudo ufw delete allow 80/tcp

Paso 7: Limitar acceso SSH¶

sudo ufw limit 22/tcp

Mitiga ataques brute-force.

Parte 2: Configuración con NFTables¶

Paso 1: Ver estado¶

sudo nft list ruleset

Paso 2: Crear configuración básica¶

Editar:

sudo nano /etc/nftables.conf

Contenido:

table inet filter {
    chain input {
        type filter hook input priority 0;
        policy drop;

        ct state established,related accept
        iif lo accept

        tcp dport 22 accept
        tcp dport 80 accept
    }

    chain forward {
        type filter hook forward priority 0;
        policy drop;
    }

    chain output {
        type filter hook output priority 0;
        policy accept;
    }
}

Explicación¶

policy drop → bloqueo por defecto
ct state established → tráfico legítimo permitido
lo → loopback permitido
reglas específicas → puertos abiertos

Paso 3: Aplicar configuración¶

sudo systemctl enable nftables
sudo systemctl start nftables

Paso 4: Validar reglas¶

sudo nft list ruleset

Paso 5: Añadir regla en caliente¶

sudo nft add rule inet filter input tcp dport 443 accept

Errores Comunes y Troubleshooting¶

1. Pérdida de conexión SSH¶

Causa:

Firewall bloqueó puerto 22.

Solución:

Acceso por consola (KVM / rescue).
Corregir reglas.

2. Servicio no accesible¶

Verificar:

ss -tulnp

Y firewall:

ufw status

3. Reglas duplicadas¶

Revisar:

ufw status numbered

4. NFTables no persistente¶

Asegurar:

systemctl enable nftables

5. Conflicto UFW vs NFTables¶

No mezclar herramientas

Usar múltiples firewalls simultáneamente puede generar conflictos imprevisibles.

Buenas Prácticas (Nivel Senior)¶

1. Política “deny by default”¶

Siempre:

deny incoming

2. Principio de mínimo acceso¶

Solo abrir puertos necesarios.

3. Logging selectivo¶

En nftables:

log prefix "DROP: "

4. Hardening SSH junto a firewall¶

limitar conexiones
usar fail2ban

5. Segmentación de red¶

Separar:

frontend
backend
bases de datos

6. Automatización¶

Ejemplo Ansible:

- name: Configurar firewall
  ufw:
    rule: allow
    port: 22

7. Auditorías periódicas¶

nmap localhost

8. Evitar reglas demasiado permisivas¶

❌ Incorrecto:

ufw allow 0.0.0.0/0

Resumen y Siguiente Paso¶

Has aprendido a implementar firewalls en Linux utilizando tanto UFW como NFTables, entendiendo desde la teoría del filtrado hasta la aplicación práctica en entornos reales. Este conocimiento es clave para proteger infraestructuras frente a accesos no autorizados.

El siguiente paso es profundizar en la visibilidad del sistema:

➡️ 7.2 Auditoría y Logs, donde aprenderás a monitorizar eventos, detectar intrusiones y analizar actividad del sistema en profundidad.