Instalar firewall ufw en Linux Debian 11

Linux Debian 11 no incluye un cortafuegos (firewall) por defecto. En este artículo explicamos cómo instalar el firewall ufw en Linux Debian y cómo usarlo (abrir puertos, crear y eliminar reglas, etc.).

En primer lugar, y como siempre, antes de instalar un paquete es recomendable actualizar la lista de paquetes con:

sudo apt update

Para instalar el cortafuegos ufw ejecutaremos:

sudo apt install ufw

Una vez instalado, por defecto, ufw permanecerá inactivo. Si ejecutamos el siguiente comando:

sudo ufw status

Nos devolverá:

Status: inactive

Antes de activar el cortafuegos, si estamos trabajando conectados por SSH, abriremos este puerto (por defecto el 22), pudiendo activarlo para una o varias IP origen (o para cualquiera). Por ejemplo, para abrir el puerto 22 para la IP 192.168.1.2, ejecutaremos:

sudo ufw allow from 192.168.1.2 to any port 22

Una vez agregadas las reglas, activaremos el cortafuegos con:

sudo ufw enable

Nos pedirá confirmación indicando que si no se han establecido las reglas oportunas se perderá la conexión, responderemos «y»:

Command may disrupt existing ssh connections. Proceed with operation (y|n)? y

Nos devolverá:

Firewall is active and enabled on system startup

Si volvemos a hacer un:

sudo ufw status

Para abrir un puerto para cualquier origen, por ejemplo el puerto 8080, ejecutaremos:

sudo ufw allow 8080/tcp

Para listar las reglas numeradas podemos ejecutar:

sudo ufw status numbered

Para eliminar una regla podemos usar el resultado del comando anterior, sabiendo el número de regla, y ejecutando:

sudo ufw delete 12

(Eliminará la regla número 12)

También podemos eliminar la regla conociendo cómo la creamos. Para mostrar las reglas según su «creación» podemos ejecutar:

sudo ufw show added

Que nos devolverá algo así como:

Added user rules (see ‘ufw status’ for running firewall):
ufw allow from 192.168.1.100 to any port 22
ufw allow from 192.168.1.55 to any port 22
ufw allow 8080/tcp
ufw allow 80/tcp

Para eliminar la regla que permite todo el tráfico por el puerto 80, ejecutaríamos:

sudo ufw delete allow 80/tcp