Cómo consultar el estado del cortafuegos ufw de Linux Ubuntu Server y cómo habilitarlo y deshabilitarlo. Cómo mostrar las reglas aplicadas actualmente. Cómo aplicar y eliminar reglas de acceso y bloqueo. Cómo desactivar el soporte para el protocolo IPv6 y cómo añadir reglas para apertura de puertos y bloqueo de ping (ICMP). Sirve para distribuciones de Linux derivadas de Debian como la propia Debian, Ubuntu, Mint, PureOS, Kali Linux, etc.

• Comprobar estado del cortafuegos ufw en Linux Ubuntu Server y listar las reglas.
• Activar cortafuegos ufw en Linux Ubuntu.
• Desactivar cortafuegos ufw en Linux Ubuntu.
• Desactivar IPv6 en cortafuegos ufw.
• Bloquear el ping (ICMP).
• Añadir una regla para permitir acceso por el puerto 80 a cualquier IP.
• Eliminar una regla en ufw por su número de orden.

Comprobar estado del cortafuegos ufw en Linux Ubuntu Server y listar las reglas

Para comprobar el estado general del cortafuegos ufw en un equipo con Linux Ubuntu Server, desde el shell de comandos, ejecutaremos el siguiente comando:

Nos devolverá si el cortafuegos está activo y las reglas básicas aplicadas:

Como podemos comprobar, el comando anterior devuelve el estado del cortafuegos «active» indicando que está activo. Y, al final, devuelve las reglas aplicadas actualmente. Para ver las reglas con el número de orden podemos ejecutar el comando:

Que devolverá las reglas con su número de orden. Este número es útil para eliminar o modificar una regla por número de orden:

Activar cortafuegos ufw en Linux Ubuntu

Si el cortafuegos ufw está inactivo y queremos activarlo, antes de hacerlo, es recomendable añadir una regla para permitir la conexión SSH (si es la que estamos usando para la administración). Dado que cuando se active el cortafuegos, si no hay regla para el SSH, nos denegará el acceso.

Por ello, si estamos conectados al equipo Linux por SSH, añadiremos una regla para permitir el tráfico SSH desde nuestra IP, con el siguiente comando:

Con la regla anterior estamos permitiendo el acceso por el puerto 22 (SSH) desde un equipo con IP 192.168.1.10. Como es lógico, cambiaremos el puerto y la IP por el que tengamos en nuestra organización.

Ahora podremos activar el cortafuegos con el comando:

Nos pedirá confirmación con un mensaje indicando que las conexiones actuales podrían interrumpirse. Puesto que hemos habilitado el acceso SSH, no perderemos la conexión. Responderemos «s» e INTRO. Si todo es correcto, nos mostrará el mensaje:

El cortafuegos está activo y habilitado en el arranque del sistema

Comprobaremos que está activo con el comando:

Nos devolverá en estado «activo»:

En el resultado del comando anterior, por defecto, ufw bloquea todo el tráfico de entrada y permite todo el tráfico de salida. Este comportamiento se podría modificar. Para dejar los valores de defecto (permitir el tráfico de salida y denegar todo el de entrada), ejecutaremos los comandos:

Desactivar cortafuegos ufw en Linux Ubuntu

Para desactivar el cortafuegos ufw, es suficiente con ejecutar el siguiente comando:

Nos mostrará el mensaje:

El cortafuegos está detenido y deshabilitado en el arranque del sistema

Teniendo en cuenta que una vez desactivado, la seguridad en el equipo disminuirá dado que se permitirán todos los accesos de entrada y salida.

Desactivar IPv6 en cortafuegos ufw

Si no vamos a usar IPv6 en el equipo Linux con el cortafuegos, podremos desactivarlo editando el fichero /etc/default/ufw:

Y modificando la línea;

IPV6=yes

Por:

IPV6=no

Guardaremos los cambios pulsando Control + O y cerraremos la edición pulsando Control + X.

Para aplicar el cambio deberemos reiniciar el servicio del cortafuegos, con:

Al desactivar el IPv6, si teníamos alguna regla para IPv6, indicada con un (V6) al final, desaparecerán. Podemos comprobarlo con:

Bloquear el ping (ICMP)

Para bloquear el ping (ICMP) en un equipo, para que no envíe respuesta (por seguridad) a un ping (ICMP), se puede editar el fichero /etc/ufw/before.rule con:

Y comentar todas estas líneas (añadiendo un # delante):

Quedando:

Guardaremos los cambios pulsando Control + O y cerraremos la edición pulsando en Control + X.

Recargaremos las reglas con el comando:

Y ya no se podrá hacer ping al equipo, devolverá un error, como si no lo encontrara:

Añadir una regla para permitir acceso por el puerto 80 a cualquier IP

Si en el equipo Linux tenemos un servicio web como Apache o Nginx y estamos usando el puerto 80 (el de defecto), cuando activamos el cortafuegos ufw, se bloquearán estos accesos. Para permitir el acceso por el puerto 80 desde cualquier equipo de la red, ejecutaremos el siguiente comando:

De la misma forma, si estamos usando SSL (HTTPS) con su puerto por defecto 443, podremos permitir estas conexiones con:

Eliminar una regla en ufw por su número de orden

Si queremos eliminar una regla existente en el cortafuegos ufw, en primer lugar listaremos las reglas existentes con su número de orden correspondiente, con el comando:

Una vez identificada la regla que queremos eliminar, anotaremos su número, por ejemplo la regla 2:

Y ejecutaremos el siguiente comando para eliminarla:

Tras eliminar la regla, si volvemos a mostrar las reglas, ya no aparecerá: