Cortafuegos Linux: Configuración, herramientas, mejores prácticas y más

Principales conclusiones

• nftables es el estándar moderno para los cortafuegos de Linux, y ha sustituido a iptables en la mayoría de las principales distribuciones.
• Una política de denegación por defecto, que solo abra los puertos necesarios, y la persistencia de las reglas tras los reinicios son los pilares de una configuración segura del cortafuegos de Linux.
• La configuración del cortafuegos no es una tarea que se realice una sola vez: es fundamental revisar periódicamente las reglas, supervisar los registros y mantener el software actualizado.

Los cortafuegos mal configurados son una de las principales causas de las filtraciones de datos, y si utilizas Linux, es fundamental configurarlos correctamente. Un cortafuegos de Linux es tu primera línea de defensa contra el acceso no autorizado, y la buena noticia es que Linux te ofrece herramientas potentes y flexibles para proteger el sistema rápidamente. En esta guía, descubrirás las opciones de cortafuegos de Linux más eficaces que existen, cómo configurarlas paso a paso y las mejores prácticas en las que confían los equipos de seguridad para mantener los sistemas protegidos.

Comprender los cortafuegos de Linux

Los cortafuegos de Linux regulan el tráfico de red inspeccionando los paquetes según unas reglas de seguridad predefinidas. Este filtrado se aplica a nivel del núcleo mediante el marco Netfilter. Durante años, iptables fue el estándar del sector para interactuar con Netfilter, pero ha sido sustituido en gran medida por nftables, que ofrece un mejor rendimiento y una sintaxis más simplificada.
Hoy en día, nftables es el backend predeterminado para distribuciones modernas como RHEL 9, Debian 11 y Ubuntu 22.04. Sin embargo, muchos administradores prefieren herramientas frontend de alto nivel como UFW (Uncomplicated Firewall) o firewalld para gestionar estas reglas sin tener que escribir sintaxis complejas.

Visión general de iptables y nftables

iptables lleva décadas siendo la solución de cortafuegos preferida por los usuarios de Linux. Funciona mediante una serie de tablas y cadenas, en las que los paquetes se evalúan según reglas predefinidas para determinar su destino. Estas reglas se pueden configurar para permitir, denegar o modificar el tráfico en función de diversos criterios, como la dirección IP de origen, el puerto de destino o el tipo de protocolo.

nftables es su sucesor moderno, que ofrece una sintaxis unificada, una gestión más eficiente de las reglas (especialmente en conjuntos de reglas de gran tamaño) y un diseño más fácil de mantener. En muchas distribuciones modernas, los comandos de iptables se implementan como una capa de compatibilidad que, en realidad, los traduce a nftables.

Descubre más sobre las diferencias entre iptables y nftables.

Cómo configurar el cortafuegos de Linux

En esta sección, veremos cómo se puede configurar un cortafuegos en un sistema Linux utilizando nftables e iptables.

⚠️ Advertencia: Si está configurando su cortafuegos a través de una conexión SSH remota, asegúrese siempre de que dispone de una regla que permita el puerto 22 (SSH) y las conexiones ya establecidas antes de establecer la política predeterminada en DROP. De no hacerlo, se le bloqueará el acceso de inmediato.

Configura tu cortafuegos de Linux con nftables

Empezaremos con un conjunto básico de reglas de nftables que permita el tráfico SSH, HTTP y HTTPS, bloqueando al mismo tiempo todo el resto del tráfico entrante.

Paso 1: Iniciar y habilitar nftables

En la mayoría de las distribuciones modernas, nftables está disponible de forma predeterminada. El servicio se utiliza para cargar las reglas guardadas durante el arranque.

Actívalo con:

sudo systemctl start nftables
sudo systemctl enable nftables

Paso 2: Crear una tabla

nftables utiliza tablas para organizar las reglas. Una tabla actúa como un contenedor de cadenas y reglas.

El siguiente comando crea una tabla llamada my_firewall.

sudo nft add table inet mi_cortafuegos

inet: permite aplicar un único conjunto de reglas tanto al tráfico IPv4 como al IPv6.

Otras familias de direcciones son ip, ip6, arp, bridge y netdev.

Paso 3: Crear una cadena (política predeterminada segura)

Una cadena es una secuencia de reglas que se evalúan en orden.

Crearemos la cadena denominada INPUT y empieza por policy accept para evitar el bloqueo. Más tarde cambiaremos a «drop».

sudo nft add chain inet my_firewall INPUT { type filter hook input priority 0 \; policy accept \; }

type filter hook input: aplica reglas al tráfico entrante

priority 0: establece la prioridad de procesamiento estándar

policy accept: valor predeterminado seguro temporal

Paso 4: Añadir normas de seguridad básicas

Una regla define criterios específicos para filtrar el tráfico de red y especifica la acción que se debe llevar a cabo (por ejemplo, aceptar, rechazar o descartar). Las reglas se evalúan de arriba abajo, por lo que el orden es importante: coloque las reglas más específicas al principio y las más generales al final.

Añadamos las reglas necesarias para que tu sistema siga siendo accesible:

Permitir el tráfico de bucle invertido (necesario para que los procesos locales se comuniquen):

sudo nft add rule inet my_firewall INPUT iif lo accept

Permitir conexiones establecidas y relacionadas (necesarias para el tráfico de retorno):

sudo nft add rule inet my_firewall INPUT ct state established,related accept

Permitir SSH (puerto 22):

sudo nft add rule inet my_firewall INPUT tcp dport 22 accept

Paso 5: Añadir reglas adicionales

Ahora habilita los servicios necesarios.

Permitir ICMP (IPv4) e ICMPv6:

sudo nft add rule inet my_firewall INPUT ip protocol icmp accept
sudo nft add rule inet my_firewall INPUT ip6 nexthdr icmpv6 accept

Permitir HTTP (puerto 80) y HTTPS (puerto 443):

sudo nft add rule inet my_firewall INPUT tcp dport { 80, 443 } accept

Paso 6: Aplicar la política predeterminada de seguridad (DROP)

Una vez que todas las reglas necesarias estén configuradas, cambie a una política predeterminada segura.

sudo nft add chain inet my_firewall INPUT { policy drop \; }

Esto garantiza que se bloquee todo el resto del tráfico. En este momento, solo se permite el tráfico expresamente autorizado (SSH, HTTP, HTTPS).

Paso 7: Comprueba tus reglas

Para comprobar las reglas activas, utiliza este comando:

sudo nft list ruleset

El resultado debería ser similar a este:

table inet my_firewall {
    chain INPUT {
        type filter hook input priority filter; policy drop;
        iif "lo" accept
        ct state established,related accept
        tcp dport 22 accept
        ip protocol icmp accept
        ip6 nexthdr ipv6-icmp accept
        tcp dport { 80, 443 } accept
    }
}

Paso 8: Guarda tus reglas

Las reglas añadidas desde la línea de comandos se pierden al reiniciar el sistema. Guárdalas en un archivo de configuración para que se mantengan tras los reinicios:

sudo nft list ruleset | sudo tee/etc/nftables.conf >/dev/null

Si es necesario, actualiza la página manualmente:

sudo nft -f/etc/nftables.conf

Configura tu cortafuegos de Linux con iptables

Configuraremos un cortafuegos básico con iptables que permita el tráfico SSH, HTTP y HTTPS, bloqueando al mismo tiempo todo el resto del tráfico entrante.

Paso 1: Comprueba que iptables esté disponible

iptables viene instalado de serie en la mayoría de las distribuciones de Linux, incluidos los sistemas más antiguos y heredados, como CentOS 7. Si no está instalado, puedes instalarlo mediante los siguientes comandos.

En sistemas basados en RHEL:

sudo dnf install iptables   # RHEL8+/9, Rocky Linux, AlmaLinux
sudo yum install iptables   # CentOS 7

En sistemas basados en Debian/Ubuntu, ejecuta:

sudo apt install iptables

Paso 2: Comprobación de las reglas existentes

Antes de realizar cambios, comprueba qué normas están ya en vigor:

sudo iptables-L -v -n

Paso 3: Añadir reglas esenciales

Al igual que con nftables, el orden de las reglas es importante: iptables evalúa las reglas de arriba abajo.

Antes de bloquear el cortafuegos, debes permitir las conexiones que necesites en ese momento (como SSH) para evitar quedarte sin acceso al sistema.

Permitir el tráfico de bucle invertido:

sudo iptables-A INPUT -ilo -j ACCEPT

Permitir conexiones establecidas y relacionadas:

sudo iptables-A INPUT -mconntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Permitir ICMP (ping):

sudo iptables-A INPUT -picmp -j ACCEPT

Si IPv6 está habilitado en tu sistema:

sudo ip6tables-A INPUT -p ipv6-icmp -j ACCEPT

Permitir SSH (puerto 22):

sudo iptables-A INPUT -ptcp --dport 22 -j ACCEPT

Permitir HTTP (puerto 80) y HTTPS (puerto 443):

sudo iptables-A INPUT -ptcp --dport 80 -j ACCEPT
sudo iptables-A INPUT -ptcp --dport 443 -j ACCEPT

Paso 4: Configurar las políticas predeterminadas

Configura la política predeterminada para rechazar todo el tráfico entrante y reenviado, permitiendo al mismo tiempo el tráfico saliente:

sudo iptables-P INPUT DROP
sudo iptables-P FORWARD DROP
sudo iptables-P OUTPUT ACCEPT

Paso 5: Verifique sus reglas

Comprueba que tus reglas estén activas:

sudo iptables-L -v -n

Paso 6: Guarda tus reglas

En sistemas basados en Debian/Ubuntu:

sudo apt install iptables-persistent
sudo netfilter-persistentsave

Esto guarda las reglas en /etc/iptables/rules.v4 (y rules.v6 (para IPv6) y los vuelve a cargar al reiniciar el sistema.

En los sistemas modernos basados en RHEL (RHEL 8/9, Rocky Linux, AlmaLinux):

En estos sistemas, si utilizas firewalld en lugar de iptables sin modificar:

sudo firewall-cmd--runtime-to-permanent

En RHEL 7 (y, opcionalmente, en RHEL 8/9 si se utiliza la versión heredada de iptables):

Si utilizas comandos de iptables sin interfaz gráfica en lugar de una interfaz como firewalld, debes instalar el iptables-services paquete para que sean persistentes:

sudo dnf install iptables-services
sudo systemctl enable iptables
sudo service iptables save

Esto guarda las reglas en /etc/sysconfig/iptables y garantiza que se vuelvan a cargar al reiniciar el sistema.

Cómo solucionar problemas de configuración del cortafuegos

Los problemas de configuración del cortafuegos pueden interrumpir tus conexiones e impedir el acceso a los servicios. Antes de pasar a los pasos para solucionar el problema, veamos cuáles son los problemas más comunes para saber a qué te enfrentas.

• Servicios bloqueados: Servicios o aplicaciones legítimas que se bloquean involuntariamente
• Conflictos entre reglas: Reglas que se solapan o son contradictorias y provocan un comportamiento inesperado
• Puertos abiertos / Servicios expuestos: Puertos o servicios expuestos involuntariamente debido a una configuración incorrecta
• Deterioro del rendimiento: Reglas excesivas o mal ordenadas que ralentizan el tráfico de red

A continuación te explicamos cómo solucionarlos:

1. Comprueba el estado del cortafuegos

Utilice comandos como firewall-cmd --state, iptables -Lo ufw status para comprobar el estado actual de su cortafuegos.

Consejo de experto: Para obtener una visión más detallada de las reglas activas y el recuento de paquetes, utilice iptables -L -v -n o nft list ruleset – Estos te muestran exactamente qué elementos coinciden y con qué frecuencia.

2. Revisar las reglas activas

Revisa detenidamente las reglas actuales para asegurarte de que se ajustan a las políticas de tráfico que deseas aplicar. Las reglas mal configuradas suelen ser una fuente habitual de problemas.

3. Comprobar la conectividad de red

Utiliza herramientas como ping, traceroute o netcat para comprobar la conectividad con recursos tanto internos como externos. Esto ayuda a identificar el tráfico bloqueado.

4. Revisar los registros del cortafuegos

Comprueba los registros del cortafuegos para ver si hay paquetes descartados o mensajes del sistema, dependiendo de la configuración de tu cortafuegos.

sudo journalctl -ufirewalld
sudo journalctl -u nftables (solo si el registro del servicio nftables está habilitado en el sistema)

5. Desactivar temporalmente el cortafuegos

Desactiva temporalmente el cortafuegos para comprobar si es el origen del problema.

Para interrumpir temporalmente el servicio:

sudo systemctl stop firewalld
sudo systemctl stop nftables
sudo ufw disable

⚠️ Advertencia: Haz esto solo en un entorno controlado o en un sistema que no sea de producción. Vuelve a habilitar el cortafuegos inmediatamente después de la prueba.

Configuración del cortafuegos en Linux: nuestros 7 mejores consejos

Configurar un cortafuegos en Linux puede suponer un pequeño esfuerzo de aprendizaje, pero con el enfoque adecuado, puedes simplificar el proceso de configuración. A continuación te ofrecemos siete consejos prácticos que te ayudarán a optimizar la configuración de tu cortafuegos y a mejorar la seguridad de tu sistema.

Consejo 1: Define tu política de seguridad antes de realizar la configuración

Antes de tocar ni un solo comando, debes saber qué estás protegiendo y de qué. Identifica qué servicios deben ser accesibles públicamente, cuáles deben restringirse a rangos de IP específicos y si el tráfico desconocido debe descartarse sin aviso o rechazarse con una respuesta. Una política de seguridad clara convierte la configuración del cortafuegos de una cuestión de conjeturas en decisiones deliberadas y auditables.

Consejo 2: Empieza con una política sencilla

Empieza con una política predeterminada que lo deniegue todo y permite explícitamente solo lo que sea necesario. Sin embargo, antes de aplicar esta regla, asegúrate de que tu conexión SSH esté explícitamente permitida para evitar quedarte fuera del sistema. Esto garantiza tu acceso antes de bloquear todo lo demás.

Consejo 3: Abre solo los puertos necesarios

Cada puerto abierto cuenta como un potencial punto de entrada de ataques, así que ten cuidado con los puertos que dejas abiertos. Puedes restringir el acceso sólo a los puertos necesarios para tus aplicaciones o servicios, y cerrar los que no estén en uso.

Para comprobar qué puertos están abiertos actualmente en tu sistema, ejecuta:

sudo ss -tulnp

Consejo 4: Controla también el tráfico saliente

Aunque se suele hacer mucho hincapié en bloquear el tráfico entrante, la supervisión y el control del tráfico saliente revisten la misma importancia en algunos entornos. Un sistema sin restricciones y comprometido dentro de la red puede filtrar datos o comunicarse con servidores controlados por los atacantes sin que ninguna regla de entrada lo impida. Como mínimo, se debe registrar el tráfico saliente de los servicios sensibles para detectar a tiempo cualquier comportamiento inusual.

Consejo 5: Utiliza zonas o cadenas para organizarte

Organice sus reglas de cortafuegos con zonas (firewalld) o cadenas (iptables, nftables). Esto le permite aplicar diferentes reglas basadas en interfaces de red o niveles de confianza. Las reglas estructuradas facilitan la gestión de las configuraciones y reducen la posibilidad de errores.

Consejo 6: Revisa y prueba las reglas con regularidad

Las reglas del cortafuegos no deben «configurarse y olvidarse». Revísalas periódicamente para asegurarte de que cumplen con los requisitos actuales. Tras cualquier cambio, realiza pruebas exhaustivas para confirmar que las reglas funcionan según lo previsto sin bloquear accidentalmente el tráfico legítimo. Es recomendable programar una revisión trimestral como parte de tu rutina general de mantenimiento de la seguridad.

Consejo 7: Mantén actualizado tu software de cortafuegos

Mantente al día de las actualizaciones de las herramientas de cortafuegos que utilices, como nftables, UFW o firewalld. Las actualizaciones suelen incluir parches de seguridad y mejoras de estabilidad que son esenciales para mantener una protección eficaz del cortafuegos.

Nuestras 5 mejores soluciones de cortafuegos para Linux recomendadas

Hay un montón de opciones disponibles, desde herramientas sencillas para principiantes hasta soluciones avanzadas de cortafuegos. Hemos elaborado una lista con las cinco herramientas de cortafuegos para Linux más relevantes que encontrarás en 2026, tanto si te gustan las cosas sencillas como si necesitas una protección sólida y con muchas funciones.

1. iptables

iptables ha sido una herramienta fundamental en las redes Linux durante muchos años. Permite controlar con precisión el tráfico de red gracias a su sistema basado en reglas, razón por la cual suele ser del agrado de los usuarios expertos. Aunque en los sistemas modernos ha sido sustituido en gran medida por nftables, sigue siendo relevante y se utiliza ampliamente, sobre todo en sistemas antiguos y en configuraciones de compatibilidad.

Características principales:

• Cadenas de reglas granulares para una gestión precisa del tráfico.
• Amplia documentación y apoyo de la comunidad.
• Más adecuado para la compatibilidad con sistemas Linux antiguos.

Disponibilidad: Viene preinstalado en muchas distribuciones antiguas de Linux.

Ejemplo:

Bloquear el tráfico entrante procedente de una dirección IP concreta:

sudo iptables-A INPUT -s 192.168.1.10 -j DROP

2. nftables

nftables es el estándar actual en la gestión de cortafuegos en Linux, ya que sustituye a iptables con una sintaxis más clara, un mejor rendimiento y compatibilidad unificada con IPv4 e IPv6. Se utiliza como backend predeterminado en muchas distribuciones modernas de Linux.

Características principales:

• Admite IPv4 e IPv6 en un único conjunto de reglas
• Admite aceleración por hardware para mejorar el rendimiento.
• La sintaxis simplificada reduce los errores de configuración.

Disponibilidad: Código abierto; incluido en los repositorios estándar de Linux.

Ejemplo:

Bloquear el tráfico entrante procedente de una dirección IP concreta:

sudo nft add rule inet my_firewall INPUT ip saddr 192.168.1.10 drop

3. firewalld

firewalld ofrece una interfaz más sencilla e intuitiva para la gestión del cortafuegos. Basado en nftables, utiliza zonas para simplificar la organización de las reglas. Es el cortafuegos predeterminado en RHEL 7 y versiones posteriores, Fedora y la mayoría de las distribuciones del ecosistema RHEL, como AlmaLinux y CentOS Stream.

Características principales:

• La gestión de reglas por zonas simplifica la configuración de las distintas interfaces.
• Las actualizaciones dinámicas eliminan la necesidad de reiniciar el servicio.
• La integración de GUI (por ejemplo, Cockpit) lo hace accesible a los principiantes.

Disponibilidad: Código abierto; incluido en los repositorios estándar de Linux.

Ejemplo:

Permitir el tráfico HTTP de forma permanente:

sudo firewall-cmd--add-service=http --permanent
sudo firewall-cmd --reload

4. UFW (cortafuegos sin complicaciones)

UFW se caracteriza por su sencillez. Su sintaxis de línea de comandos facilita la configuración de reglas, y es la herramienta de cortafuegos predeterminada en las distribuciones basadas en Ubuntu. Si eres nuevo en el mundo de los cortafuegos de Linux o estás gestionando un proyecto personal, UFW es el punto de partida más sencillo.

Características principales:

• Los comandos son fáciles de recordar y utilizar, incluso para los principiantes
• Los perfiles predefinidos simplifican la configuración de los servicios más habituales
• Ideal para proyectos a pequeña escala o personales

Disponibilidad: Código abierto; incluido en los repositorios estándar de Linux.

Ejemplo:

Permite el acceso SSH y activa el cortafuegos:

sudo ufw allow ssh
sudo ufw enable
sudo ufw status verbose

5. CSF (ConfigServer Security & Firewall)

CSF ofrece funciones de seguridad adicionales que van más allá del filtrado básico de paquetes, como la detección de intrusiones y el seguimiento de los intentos fallidos de inicio de sesión. Se utiliza ampliamente en entornos de alojamiento web y se integra con cPanel, lo que lo convierte en una herramienta ideal para los administradores que gestionan servidores compartidos o dedicados.

Características principales:

• Detección de errores de inicio de sesión para mejorar el control de acceso
• Las alertas en tiempo real mantienen informados a los administradores sobre las amenazas
• El filtrado de paquetes con estado ayuda a gestionar la inspección del tráfico basada en conexiones

Disponibilidad: Descarga gratuita desde el sitio web oficial de ConfigServer.

Ejemplo:

Bloquear y permitir direcciones IP específicas:

sudo csf -d 192.168.1.10  # bloquear una dirección IP
sudo csf -a 192.168.1.20  # permitir una dirección IP
sudo csf -r               # recargar las reglas de CSF

Otras prácticas recomendadas para una gestión eficaz del cortafuegos en Linux

Independientemente de la solución de cortafuegos para Linux que elijas, estas prácticas adicionales abordan aspectos de seguridad más generales que pueden reforzar aún más la configuración de tu cortafuegos:

• Filtrado a nivel de aplicación: Vaya más allá de las reglas de puertos y protocolos aprovechando el filtrado a nivel de aplicación, cuando sea compatible, para aplicar políticas de seguridad basadas en software o servicios específicos. Esto proporciona un control más detallado, lo que resulta especialmente útil cuando varios servicios comparten el mismo puerto.
• Habilite el registro y la supervisión: Habilite el registro para realizar un seguimiento del tráfico de red y detectar posibles incidentes de seguridad. Supervise periódicamente los registros del cortafuegos en busca de anomalías y actividades sospechosas: detectar patrones inusuales a tiempo suele marcar la diferencia entre un incidente menor y una brecha grave.
• Implemente sistemas de detección de intrusiones (IDS): Complemente su cortafuegos con herramientas de detección y prevención de intrusiones para identificar y responder a actividades maliciosas. Herramientas como Fail2ban o Suricata funcionan junto con su cortafuegos, ya sea actualizando automáticamente las reglas (en el caso de Fail2ban) o alertando a los administradores (en el caso de herramientas IDS como Suricata) en respuesta a las amenazas detectadas.
• Segmentación de redes: La segmentación de las redes en zonas diferenciadas contiene las brechas y limita el impacto de los incidentes de seguridad. Incluso si un segmento se ve comprometido, la segmentación impide el movimiento lateral por toda la red.
• Haz una copia de seguridad de la configuración de tu cortafuegos: Haz siempre una copia de seguridad de tu conjunto de reglas actual antes de realizar cambios importantes. Esto garantiza que dispongas de una configuración operativa que puedas restaurar rápidamente si algo sale mal.
• Restringir el acceso de administración: Limite quién puede modificar las reglas del cortafuegos aplicando controles de acceso estrictos. Utilice políticas de sudo o el control de acceso basado en roles para garantizar que solo los administradores autorizados puedan realizar cambios en las configuraciones del cortafuegos.

La seguridad de tu cortafuegos de Linux depende de su configuración

Un cortafuegos solo es eficaz cuando está configurado correctamente. Elegir la herramienta adecuada —ya sea iptables para sistemas heredados y casos de compatibilidad, nftables para distribuciones modernas, o UFW y firewalld por su sencillez— es solo el punto de partida. Las reglas que definas, las políticas que apliques y las prácticas que mantengas a lo largo del tiempo son las que determinan si tu entorno Linux está realmente protegido.

La seguridad es un proceso continuo, y mantenerse alerta es fundamental para mitigar los riesgos en un panorama de amenazas en constante evolución. Revisar periódicamente las reglas, supervisar los registros y mantener actualizado el software del cortafuegos garantiza que las defensas sigan siendo sólidas a medida que evolucionan los sistemas y los requisitos.

Si quieres ir más allá, descubre cómo los parches sin reinicio pueden ayudarte a mantener un entorno Linux seguro sin tiempo de inactividad, protegiendo tus sistemas entre las ventanas de mantenimiento sin necesidad de desconectarlos.