Gestión del cortafuegos

Este documento presenta la función «Gestión del cortafuegos» del panel: consultar y gestionar las reglas del cortafuegos del servidor de destino.

Primero, entender: qué es un cortafuegos

El cortafuegos es el «control de acceso» del servidor: decide qué puertos y qué IP pueden ser accesibles. Por ejemplo, si quieres que tu sitio web ofrezca servicio al exterior, hay que «permitir el puerto 80»; si quieres bloquear una IP que te está atacando, hay que «bloquear esa IP».

> Importante: además del cortafuegos dentro del sistema del servidor, las grandes nubes (Tencent Cloud/Alibaba Cloud) tienen también un «grupo de seguridad» en su consola en la nube, y ambos son independientes. Para que un puerto sea accesible, hay que permitirlo en las dos capas.

Descripción de la función

La «Gestión del cortafuegos» está en el «panel de Gestión del sistema» del servidor de destino y sirve para consultar las reglas del cortafuegos del sistema, añadir/eliminar reglas y gestionar el reenvío de puertos. El panel se adapta automáticamente a los tres backends de cortafuegos más habituales, iptables / nftables / ufw, sin que tengas que elegirlo.

Casos de uso

Consultar qué reglas de cortafuegos tiene el servidor y qué puertos están abiertos
Permitir un puerto rápido (por ejemplo, abrir 80 / 443 para un servicio web)
Bloquear una IP o un puerto de origen
Gestionar el reenvío de puertos (ver Reenvío de puertos)

Composición de la función

Entra en el servidor de destino → «Gestión del sistema» → «Cortafuegos», que incluye:

1. Lista de reglas: muestra las reglas de iptables / nftables (con su número de regla) o el estado de ufw (si está habilitado)

2. Puertos en escucha: lista los puertos en los que el servidor está escuchando actualmente y sus procesos

3. Añadir / eliminar reglas: introduce reglas de iptables a mano para permitir / bloquear

4. Reenvío de puertos: redirige el tráfico de un puerto público con DNAT a IP:puerto de destino (ver Reenvío de puertos)

Consultar las reglas

iptables / nftables

El panel usa preferentemente iptables -L -n --line-numbers para listar las reglas; si el sistema usa nftables, cambia automáticamente a nft list ruleset.

ufw

Si el servidor tiene ufw habilitado (habitual en Ubuntu), el panel muestra además la lista de reglas de ufw status numbered.

Puertos en escucha

El panel usa ss -tlnp para listar los puertos TCP en escucha y sus procesos, lo que ayuda a saber qué puertos están abiertos y qué servicio los ocupa.

Añadir / eliminar reglas

En «Añadir regla» introduce una regla de iptables (sin el prefijo iptables; el panel añade automáticamente -A para añadir / -D para eliminar), por ejemplo:

# Permitir el puerto 8080
INPUT -p tcp --dport 8080 -j ACCEPT
# Bloquear una IP
INPUT -s 1.2.3.4 -j DROP

> ⚠️ Atención: asegúrate de entender la sintaxis de las reglas de iptables. Una regla incorrecta puede dejar servicios inaccesibles. Se recomienda hacer una copia de las reglas actuales antes de operar (iptables-save > /root/iptables.bak).

Adaptación automática a varios backends

El panel detecta automáticamente el backend de cortafuegos que usa el servidor:

Backend	Sistemas aplicables	Descripción
`iptables` / `iptables-legacy`	Linux tradicional	el cortafuegos más habitual
`nftables`	distribuciones nuevas / servidores con reglas nft ya existentes	se usa de forma prioritaria cuando se detectan reglas nft activas, para evitar que las reglas queden ocultas
`ufw`	Ubuntu / Debian	solo para «consultar»; la gestión de reglas va por iptables

Advertencias

1. Opera con cuidado: las reglas del cortafuegos afectan directamente a la accesibilidad del servidor. Una regla de bloqueo errónea puede cortar la conexión SSH y dejar al panel sin poder conectar.

2. Persistencia de las reglas: las reglas añadidas directamente con iptables pueden perderse al reiniciar (según si el sistema tiene instalado iptables-persistent / netfilter-persistent). Si necesitas que persistan, ejecuta tú mismo iptables-save o cambia a ufw.

3. Grupo de seguridad de las grandes nubes: Tencent Cloud / Alibaba Cloud, etc., además del cortafuegos del sistema, tienen una capa de «grupo de seguridad» en la consola en la nube. Si un puerto no está permitido en el grupo de seguridad, permitirlo en el cortafuegos del sistema tampoco dará acceso: hay que permitirlo en las dos capas.

4. Reenvío de puertos: si necesitas hacer reenvío de puertos, consulta Reenvío de puertos.

Documentación