Uncomplicated Firewall (ufw)

Este es uno de los interfaces de firewall mas usados en linux. Al igual que FirewallD, su uso nos facilita muchísimo la configuración de iptables. Ya sabemos por el anterior capítulo que el verdadero firewall de linux es iptables y que desde firewalld, ufw y muchos otros interfaces lo que hacemos realmente es crear tablas o reglas dentro de iptables pero con mucha menos dificultal.

Una duda que puede surgirnos es si ufw es una interfaz de iptables, ¿qué ocurre si habilitamos UFW después de crear reglas con IPTABLES?

La respuesta es que se sobreescriben las reglas nuevas que tengas al activar UFW anulando cualquier otra regla que se tuviera con IPTABLES.

Explicado con un ejemplo: tenemos un servidor por iptables con los puertos 22 y 80 abiertos. A continuación creo una regla de ufw para abrir el puerto 80. En el momento que habilitemos ufw el único puerto abierto será el 80 porque la lista de reglas de iptables se sobreescribe con la nueva lista de reglas de ufw que únicamente permite el tráfico por el puerto 80. Teoricamente, el puerto 22 estaría filtrado y perderíamos la conexión SSH y tendriamos complicado volver a tener el control.

También es importante saber que si ya tenemos ufw habilitado con ciertas reglas y lo desactivamos, volverán a prevalecer las reglas que teníamos inicialmente con iptables.

Las técnicas y comandos que mostraré están todas comprobadas en un VPS con Ubuntu 20.04 servido por Oracle Cloud. Trae ufw instalado por defecto pero no está activo. Antes de levantarlo, como ya hemos explicado abriremos unos puertos mínimos para no perder el control por SSH.

Vamos a verlo en un entorno real. Abrimos sesión remota con putty y comprobamos el estado de ufw.

La respuesta de Status: inactive nos demuestra que ufw ya se encuentra instalado aunque no activo. Si tenemos cualquier otro servidor sin ufw lo podemos instalar con:

# Antes de instalar el nuevo paquete, primero actualizar paquetes del sistema                         
sudo apt-get update && sudo apt-get upgrade -y
# instalar el paquete ufw
sudo apt install ufw
                        

Si está instalado pero existe una versión mas moderna servirá para actualizarlo. En mi caso, no ha hecho nada. Solo me informa que ya se encuentra instalado en su última versión.

Ufw en su configuración inicial permite todas las salidas y cierra todas las entradas. Antes de activarlo debemos asegurarnos de abrir al menos un puerto SSH para poder conectarnos. Un servidor remoto con todos los puertos de entrada bloqueados es una puerta cerrada de la que no tenemos la llave.

Abrir puertos. Comando ufw allow

Para abrir puertos indicando el número de puerto o rango

Para abrir puertos indicando el nombre del servicio usamos el comando:

La lista de servicios se encuentra en/etc/services. Consultando este archivo tenemos el nombre del servicio, número de puerto con su protocolo TCP y/o UDP. Muestro un fragmento:

Por ejemplo, para abrir el firewall para ssh lo haríamos con:

Esto abrirá el puerto 22/tcp. Si el servicio requiere protocolos TCP y UDP, como por ejemplo snmp, abrirá el puerto para los dos protocolos.

Podemos abrir puertos directamente especificando el número. Si no especificamos protocolo lo abrirá en ambos. Si solo queremos un protocolo hay que especificarlo. Ejemplos:

Una posibilidad muy interesante sobre todo para el puerto de SSH es usar la opción limit que cerrará el puerto en el caso de que hayan varios errores de conexión en un intervalo pequeño de tiempo. De esta manera, estamos mas protegidos contra los ataques por fuerza bruta.

También podemos denegar o permitir el acceso desde determinadas IP o rango de IP

El primer comando está muy claro. Le indicamos desde que IP podemos acceder. El segundo comando es un poco mas avanzado. Para indicar el rango estamos usando el estándar de bloques CIDR. En el capítulo sobre comandos de red podremos saber un poco sobre esto. Ahora, solo comentar que la instrucción permite acceso para todo el rango de esta red desde 1 a 254.

Además de la IP o rango de IP, también podemos especificar que puerto tendrá abierto.

Abrir puertos para salida

Si con allow se abren las entradas para abrir salidas se usa allow out

Activar y desactivar cortafuegos. Comandos ufw enable y ufw disable

En el momento que tenemos como mínimo el puerto SSH abierto ya podemos activar UFW. Al hacerlo, un mensaje nos avisará de que podemos cortar la conexión SSH.

Si lo queremos desactivar:

Estado del firewall. Comando ufw status

Teniendo ya el firewall activo podemos comprobar que puertos tenemos abiertos

Podemos usar ufw status o la forma mas completa ufw status verbose

Otra forma de comprobar que está activo es por medio del comandoservice.

Cerrar puertos. Comando ufw deny

De la misma forma que abrimos con allow podemos cerrar con deny.

También podemos borrar la regla:

Las reglas del firewall se pueden listar de manera numerada y eliminarlas por su número:

Para eliminar una regla por su número:

Reiniciar UFW a su estado inicial. Comando ufw reset

Con ufw reset borramos todas las reglas que hayamos introducido y deja UFW desactivado.

Tras esto al hacer una consulta con ufw status responderá Estado: inactivo. Nuevamente, antes de activarlo hay que tener la precaución de abrir SSH.

Reglas permanentes

Con ufw no hay que hacer nada especial para que las reglas sean permanentes como sí ocurre con otras interfaces de firewall. Las reglas creadas siguen activas aunque se reinicie el servidor.

Solución al error de Ping no funciona

Puede ocurrir y de hecho me ha pasado (VirtualBox con Ubuntu 20.04 con IP estática y red NAT) que al estar UFW activo no funcione el comandopingporque requiere el protocolo ICMP.

Para intercambiar datos de estado o mensajes de error, los nodos recurren al Internet Control Message Protocol (ICMP) en las redes TCP/IP. ICMP no tiene puertos y no sabía el motivo de por qué el firewall bloqueaba las respuestas de ping. Encontré una posible solución que funcionó a muchos usuarios de un conocido foro de IT con el mismo problema pero en mi máquina Ubuntu no me daba resultado. Consiste en aplicar el comando iptables --flushpara borrar reglas de iptables. Como digo no funcionó.

La solución que fue bien consistió en editar nano /etc/ufw/before.rules y añadir unas reglas para permiter el tráfico saliente ICMP.

Por último y para que por fin funcione elping hice unrebootdel sistema. Probé, antes de ser tan drástico,ufw reload y desactivar y activar ufw conufw disable, ufw enablesin éxito. Seguramente, hay alguna manera de reiniciar todos los servicios de red, evitando reiniciar el sistema pero por el momento no he sabido hacerlo.

Llegados a este punto pingresponde a direcciones IP y en un principio debería también dar respuesta si ponemos dominios porque tenemos el puerto 53 abierto para dns y por si acaso también, el puerto 43, que también usaa el comando whois. En estos momentos, los puertos abiertos son:

Y si hacemos un pinga un famoso DNS de google podemos ver que funciona correctamente.

Lo siguiente que vamos a comprobar es que resuelve nombres y que podemos hacer pinga cualquier dominio:

¡Error! Algo no funciona. Desactivo ufw y ping www.google.comfunciona. Lo vuelvo a activar y deja de resolver. Tenemos algo mal en el firewall. Buscando y probando muchas posibles soluciones al final encuentro una que sí que va. Inicialmente, yo había abierto el puerto 53 con el comandosudo allow domainque abre el puerto 53 tanto en IPV4 como IPV6 pero parece que esto no es suficiente. La solución final fue (y esto me hizo perdor varias horas) abrir el puerto 53 especificando también para salidas. Tras el comandoufw allow out 53el comandopingresuelve dominios.

Parece que ya funciona todo. Sin embargo, al intentar descargar paquetes compruebo que se detiene la descarga. Lo vemos a continuación.

Solución del problema de descarga de paquetes apt

En el estado actual, mi máquina virtual, no es capaz de descargar archivos del gestor de paquetesapt. Primeras investigaciones revelan que los gestores de paquetes usan los protocolos http, https y en algún caso ftp, con los puertos 80, 443 y 21 respectivamente. En este momento están cerrados y por tanto es lógico que no funcione.

Al intentarapt-get upgradetras iniciar el proceso cuando llega el momento de descargar se produce una pausa. Algo no va bien.

Pasados varios segundos aparece una lista de errores de conexión a la direcciones http de los paquetes.

La solución es abrir los puertos 80 y 443 de http y https tanto de entrada como de salida.

Tras esto apt-get upgradey la descarga de cualquier paquete desde aptfuncionará perfectamente.

Resumiendo un poco, aquí puedes ver el estado de ufw para que funcione ping y apt. Recuerda también que es necesario editar /etc/ufw/before.rulesañadiendo las dos reglas que vimos para permitir tráfico ICMP.

Un apunte final sobre firewall

Como ves, abrir y cerrar puertos es bastante sencillo con UFW. Aunque no hemos visto todas las posibilidades, ya conocemos las mas comunes para tener un servidor bastante mas seguro. Usar ufw, firewalld o otra interfaz es tu decisión personal.