Cortafuegos UFW

Una interfaz web de UFW para revisar las reglas

UFW existe porque la sintaxis de iptables en crudo no perdona, y en eso cumple. Lo que no hace es volver fácil de revisar un conjunto de reglas meses después, cuando ufw status numbered devuelve treinta líneas y usted intenta averiguar cuáles siguen haciendo falta.

Esta página muestra esas mismas reglas, pero antepone las políticas por defecto de entrada y salida, porque es justo lo que se olvida. Un conjunto de reglas de aspecto restrictivo no significa nada si la política de entrada por defecto se quedó en allow. Las reglas aparecen con su acción, puerto, protocolo y origen, y las entradas IPv6 se muestran junto a sus equivalentes IPv4 en lugar de duplicar la lista.

Los errores que conviene buscar: un puerto abierto para una prueba puntual y nunca cerrado, un servicio escuchando en todas las interfaces cuando bastaba con localhost, y una regla que permite una subred entera donde bastaría una sola dirección. La página de puertos abiertos muestra la otra mitad del cuadro: qué está escuchando realmente detrás de esas reglas.

Conviene contrastar estas dos imágenes con regularidad, porque se separan en silencio. Una regla puede cerrar un puerto que nadie escucha: entonces no es más que lastre en el conjunto. También ocurre lo contrario: un servicio escuchando en todas las interfaces detrás de una regla que usted daba por cerrada. La respuesta antigua a esa pregunta es netstat, y sigue siendo correcta; solo que su salida hay que releerla con la vista cada vez.