Cómo instalar UFW en un servidor Linux (Guía paso a paso, 2026)

Para instalar UFW en un servidor Linux, actualice sus paquetes, instale el paquete ufw, configure las políticas predeterminadas (denegar entrante, permitir saliente), permita SSHy active el cortafuegos. UFW (Uncomplicated Firewall) es una interfaz sencilla para principiantes de iptables/nftables que le ayuda a proteger rápidamente los puertos abiertos sin comprometer la accesibilidad de los servicios esenciales.

La seguridad de una máquina Linux nueva debe comenzar con un firewall. En esta guía, aprenderá a instalar UFW en entornos de servidor Linux (sistemas Ubuntu/Debian y basados ​​en RHEL), configurar valores predeterminados seguros, abrir los puertos necesarios y aplicar las mejores prácticas utilizadas en el hosting de producción. Compartiré pasos prácticos, consejos prácticos y errores comunes que debe evitar.

¿Qué es UFW y por qué utilizarlo?

UFW (Uncomplicated Firewall) es una herramienta de línea de comandos que simplifica el firewall de Linux managemento. Proporciona una sintaxis legible sobre iptables/nftables, lo que facilita la definición de reglas como "permitir". SSH” o “permitir 443/tcp”. Es especialmente popular en servidores Ubuntu, pero también está disponible en derivados de Debian y RHEL a través de EPEL.

¿Por qué elegir UFW?

• Sintaxis fácil de usar para principiantes y valores predeterminados predecibles
• Apertura y cierre rápido de puertos y servicios
• soportes IPv4 y IPv6
• Perfiles para aplicaciones comunes (Nginx, Apache, AbiertoSSH)
• Funciona bien en VPS, servidores dedicadosy hosts locales

Requisitos previos y lista de verificación de seguridad

Antes de instalar UFW en servidores Linux, confirme estos requisitos previos. Esto evita el bloqueo, especialmente en instancias VPS remotas.

• SSH de la máquina con privilegios sudo
• Puertos de servicio que debe mantener abiertos (por ejemplo, 22/SSH, 80/HTTP, 443/HTTPS)
• Grupos de seguridad/firewall en la nube alineados con su plan (AWS, GCP, Azure)
• Acceso a consola/serie como medida de seguridad (ofrecido por la mayoría de los proveedores de alojamiento)

Regla de oro: Siempre permita SSH antes de habilitar UFW.

Cómo instalar UFW en Ubuntu y Debian

Ubuntu incluye UFW en sus repositorios principales y suele tenerlo preinstalado. De lo contrario, instálelo con apt.

sudo apt update
sudo apt install ufw -y

# Check status (should be inactive before you configure it)
sudo ufw status verbose

Establecer valores predeterminados seguros, permitir SSH, luego habilite UFW:

# Deny unsolicited inbound, allow all outbound
sudo ufw default deny incoming
sudo ufw default allow outgoing

# Allow SSH (use application profile or port)
sudo ufw allow OpenSSH
# or
sudo ufw allow 22/tcp

# Enable the firewall
sudo ufw enable

# Verify
sudo ufw status numbered
sudo ufw status verbose

En Debian, los comandos son idénticos. Asegúrese de que sus listas de paquetes estén actualizadas y de que permita SSH antes de habilitarlo.

Cómo instalar UFW en RHEL, CentOS, AlmaLinux y Rocky

Las distribuciones basadas en RHEL suelen usar firewalld por defecto. Puede seguir usando UFW instalándolo desde el repositorio de EPEL. Decida si desea cambiar de firewalld a UFW; no los ejecute simultáneamente.

# Enable EPEL
sudo dnf install epel-release -y
# Install UFW
sudo dnf install ufw -y

# Stop and disable firewalld if you intend to use UFW instead
sudo systemctl stop firewalld
sudo systemctl disable firewalld

# Enable UFW service at boot on some RHEL-based systems
sudo systemctl enable ufw

# Configure and enable as usual
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 22/tcp
sudo ufw enable
sudo ufw status verbose

Si prefiere conservar firewalld (recomendado para entornos RHEL nativos), puede omitir UFW y configurar firewalld directamente. La elección es cuestión de preferencias; ambos manage nftables/iptables bajo el capó.

Pasos esenciales para la configuración de UFW

Después de instalar UFW en sistemas de servidor Linux, aplique estas configuraciones básicas para proteger su máquina y preservar la funcionalidad.

Establecer políticas predeterminadas y habilitarlas

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow OpenSSH
sudo ufw enable
sudo ufw status

Permitir servicios comunes (web, correo, bases de datos)

Abre solo lo que necesites. Para servidores web:

# HTTP and HTTPS
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp

# Alternatively, use application profiles if present
sudo ufw app list
sudo ufw allow "Nginx Full"   # opens 80 and 443
sudo ufw allow "Apache Full"

Para bases de datos (nunca exponer públicamente a menos que sea necesario):

# MySQL/MariaDB (3306) - ideally restrict to specific hosts
sudo ufw allow from 203.0.113.10 to any port 3306 proto tcp

# PostgreSQL (5432)
sudo ufw allow from 203.0.113.10 to any port 5432 proto tcp

Permitir un uso no estándar SSH Cerca del puerto deportivo

Si tu corres SSH En un puerto personalizado (por ejemplo, 2222), permítalo y elimine el acceso al puerto 22 si no se utiliza.

sudo ufw allow 2222/tcp
# Optional: deny default 22 if not used
sudo ufw delete allow 22/tcp
sudo ufw reload

Permitir solo IP o subredes específicas

Limite el acceso a los puertos administrativos por IP de origen para reducir la superficie de ataque.

# Restrict SSH to an office IP
sudo ufw allow from 198.51.100.25 to any port 22 proto tcp

# Allow a whole subnet (CIDR)
sudo ufw allow from 203.0.113.0/24 to any port 22 proto tcp

Rangos de puertos y protocolos

# Allow a TCP port range (e.g., passive FTP 40000-40100)
sudo ufw allow 40000:40100/tcp

# Allow UDP (e.g., DNS, WireGuard)
sudo ufw allow 53/udp
sudo ufw allow 51820/udp

Gestión y auditoría de las normas de la UFW

Mantenga su conjunto de reglas mínimo y auditable. Estos comandos le ayudan a mantener el orden.

# List current rules with numbers
sudo ufw status numbered

# Delete a rule by number
sudo ufw delete 3

# Disable or re-enable UFW
sudo ufw disable
sudo ufw enable

# Reload after changes
sudo ufw reload

# Reset to factory defaults (use with caution)
sudo ufw reset

Para realizar copias de seguridad, copie los archivos de reglas de usuario de UFW:

sudo cp /etc/ufw/user.rules ~/user.rules.backup
sudo cp /etc/ufw/user6.rules ~/user6.rules.backup

Opciones avanzadas y mejores prácticas

Active IPv6

Si su servidor tiene IPv6, asegurar UFW managees eso. Edite la configuración y reinicie UFW.

sudo nano /etc/ufw/ufw.conf
# Set:
IPV6=yes

# Apply
sudo ufw disable
sudo ufw enable

Límite de tarifa SSH y otros servicios sensibles

La limitación de velocidad reduce el ruido de fuerza bruta al limitar las conexiones repetidas.

# Limit SSH
sudo ufw limit 22/tcp

# Limit custom SSH port
sudo ufw limit 2222/tcp

Activar el registro (con cuidado)

UFW puede registrar los paquetes descartados para diagnóstico. Use "bajo" para uso general y "medio/alto" temporalmente para depuración.

# Enable logging
sudo ufw logging low

# Check logs
sudo tail -f /var/log/ufw.log  # on some systems: /var/log/syslog

Utilizar perfiles de aplicación

Muchos paquetes instalan perfiles UFW en /etc/ufw/applications.d. Esto simplifica la apertura de varios puertos a la vez.

sudo ufw app list
sudo ufw app info "Nginx Full"
sudo ufw allow "Nginx Full"

Combinar UFW con Fail2ban

Fail2ban bloquea dinámicamente las IP abusivas basándose en patrones de registro. Se integra perfectamente con UFW, añadiendo prohibiciones temporales sin reemplazar las reglas del firewall.

# Ubuntu/Debian
sudo apt install fail2ban -y

# RHEL-based
sudo dnf install fail2ban -y

# Basic enable
sudo systemctl enable --now fail2ban

Firewalls en la nube, contenedores y UFW

At YouStableRecomendamos aplicar controles en capas: use grupos de seguridad en la nube para restringir el acceso general y, luego, UFW en cada máquina virtual para el filtrado a nivel de host. Asegúrese de que ambas capas permitan los puertos deseados; las discrepancias pueden causar confusión, como si "funcionara en el servidor".

¿Usas Docker? Docker manipula iptables directamente y puede omitir las reglas de UFW para el tráfico de contenedores. Considera:

• Publicar solo los puertos necesarios con -p
• Usando un contenedor de proxy inverso y exponiendo solo 80/443
• Explorando las opciones del demonio Docker y las redes definidas por el usuario
• Prueba de accesibilidad del contenedor después de los cambios en el firewall

Para Kubernetes y configuraciones avanzadas de contenedores, los firewalls del host coexisten con los complementos de CNI. Valide las políticas de extremo a extremo antes de su implementación.

Solución de problemas de UFW

Si algo se rompe después de habilitar UFW, trabaje metódicamente.

• Comprobar los oyentes del puerto: sudo ss -tulpen | grep LISTEN
• Verificar reglas: sudo ufw status numbered
• Inspeccionar registros: sudo tail -f /var/log/ufw.log (o /var/log/syslog)
• Permitir temporalmente todos los servicios salientes y el servicio entrante específico
• Verifique las reglas del grupo de seguridad/firewall del proveedor de la nube
• Para bloqueos remotos, use la consola de su proveedor para deshabilitar UFW: sudo ufw disable

Ejemplo del mundo real: pila LEMP segura

Aquí hay un conjunto mínimo de reglas para un servidor LEMP de producción con SSH en el puerto 22, Nginx en 80/443 y MySQL restringido a un servidor de aplicaciones de confianza.

sudo ufw default deny incoming
sudo ufw default allow outgoing

sudo ufw allow 22/tcp
sudo ufw allow "Nginx Full"
sudo ufw allow from 203.0.113.10 to any port 3306 proto tcp

sudo ufw limit 22/tcp
sudo ufw logging low

sudo ufw enable
sudo ufw status verbose

Por qué UFW es importante para el alojamiento y cómo YouStable Ayuda a las

Los firewalls reducen la exposición y permiten ganar tiempo contra análisis automatizados y ataques oportunistas. La claridad de UFW se traduce en menos errores y una remediación más rápida. Si aloja con YouStableNuestros expertos pueden fortalecer previamente su VPS o servidores dedicados, establecer reglas UFW correctas para su pila y alinearlas con las políticas de firewall en la nube para evitar tiempos de inactividad.

Preguntas frecuentes: Instalar UFW en un servidor Linux

Conclusión

Instalar UFW en un servidor Linux toma minutos y mejora drásticamente la seguridad básica. Establezca valores predeterminados conservadores, abra solo lo que necesite y audite periódicamente. Si desea un firewall listo para producción y adaptado a su pila, YouStable puede preconfigurar UFW junto con el fortalecimiento del servidor para que pueda iniciar rápidamente y permanecer seguro.