Introducción
En este laboratorio, explorará Firewalld, una herramienta moderna de administración de cortafuegos disponible en muchas distribuciones de Linux.
Un cortafuegos controla qué tráfico de red puede entrar o salir de un sistema. Para los principiantes, las reglas tradicionales de filtrado de paquetes pueden parecer rígidas. Firewalld añade un modelo de administración de nivel superior que permite a los administradores ajustar las políticas de forma más segura y dinámica.
El concepto central de Firewalld son las zonas. Las zonas permiten aplicar distintos niveles de confianza a diferentes interfaces o conexiones de red.
- Zona Home: Es como la sala de su casa. Confía en las personas (dispositivos) que están allí, por lo que la puerta permanece casi siempre abierta.
- Zona Public: Es como una cafetería. No confía en las demás personas (dispositivos) que le rodean, así que cierra las puertas y solo permite interacciones muy específicas.
Firewalld permite asignar distintas conexiones de red (interfaces) a estas zonas.
Al finalizar este laboratorio, podrá:
- Instalar e iniciar el servicio Firewalld de forma segura.
- Identificar qué "Zones" de seguridad están activas.
- Consultar las reglas de una zona.
- Mover una interfaz de red de una zona a otra.
Instalar e iniciar Firewalld
En este paso, instalará el software Firewalld y comprobará que esté en ejecución.
Paso crítico de seguridad: En este entorno de laboratorio remoto, su conexión al terminal depende de que la red permanezca abierta. Si iniciamos el cortafuegos con su configuración predeterminada (normalmente "Public" o "Drop"), podría bloquear la conexión y dejarle sin acceso de inmediato. Para evitarlo, configuraremos explícitamente Firewalld para que use la zona "Trusted" en nuestra conexión.
Esta es una lección operativa importante: trabajar con cortafuegos consiste en reducir la superficie de ataque, pero también puede cortar su propio acceso si cambia las políticas sin cuidado. Los buenos administradores consideran las opciones de recuperación y las vías de acceso actuales antes de modificar los controles de red.
Primero, instale el paquete.
sudo apt-get update
sudo systemctl mask firewalld
sudo apt-get install firewalld -y
El enmascaramiento impide que la instalación del paquete inicie firewalld automáticamente. Antes de iniciar el servicio, configure trusted como zona predeterminada y vincule eth0 a ella con firewall-offline-cmd. Este cliente funciona mientras firewalld está detenido. Desenmascare el servicio solo después de guardar estos ajustes permanentes de administración.
sudo firewall-offline-cmd --set-default-zone=trusted
sudo firewall-offline-cmd --zone=trusted --add-interface=eth0
sudo systemctl unmask firewalld
sudo systemctl start firewalld
sudo firewall-cmd --reload
Habilite el servicio para que se inicie automáticamente durante el arranque.
sudo systemctl enable firewalld
Por último, compruebe que Firewalld esté en ejecución.
sudo firewall-cmd --state
Debería ver la salida running.
Comprobar las zonas activas
En este paso, ahora que Firewalld está en ejecución, veremos las zonas.
Las zonas son la principal capa de abstracción de Firewalld. En lugar de memorizar una enorme lista plana de reglas de paquetes, agrupa las interfaces según su nivel de confianza y deja que la zona exprese la política base de ese entorno.
Para ver qué zonas se están utilizando actualmente, ejecute el siguiente comando.
sudo firewall-cmd --get-active-zones
Como lo configuramos en el paso anterior, debería ver:
trusted
interfaces: eth0
Esto indica lo siguiente:
- La zona trusted está activa.
- La interfaz de red eth0 (su conexión principal) está incluida de forma segura en esta zona.
Si desea saber qué otras zonas existen, puede mostrar todas las zonas disponibles.
sudo firewall-cmd --get-zones
Verá nombres como block, home, work, public, etc.
Mostrar la configuración de una zona
En este paso, inspeccionará las reglas detalladas de la zona activa.
Aquí Firewalld empieza a resultar más concreto. Una zona no es solo una etiqueta como public o trusted; es un conjunto de decisiones de política reales, como el destino predeterminado, los servicios permitidos, los puertos y el comportamiento del reenvío.
Use la opción --list-all para ver la configuración completa de la zona predeterminada actual (trusted).
sudo firewall-cmd --list-all
La salida mostrará la configuración. En la zona trusted, el campo clave es:
- target:
ACCEPT. Esto significa "Aceptar todo".
Esto confirma por qué su conexión es segura.
Si desea consultar las reglas de otra zona, por ejemplo, la zona public, puede especificar el nombre de la zona.
sudo firewall-cmd --zone=public --list-all
Verá que la zona public es mucho más restrictiva.
Cambiar la zona de una interfaz
En este paso, practicaremos cómo mover una interfaz a otra zona.
Cambiar la zona de una interfaz equivale a cambiar la clasificación de confianza del tráfico que llega a través de ella. Por lo tanto, el mismo equipo puede comportarse de forma diferente en distintas redes sin tener que reescribir todas las reglas desde cero.
Advertencia: Si moviéramos nuestra interfaz principal eth0 a la zona work, nos desconectaríamos de inmediato porque la zona work bloquea nuestra conexión al terminal web.
Para practicar de forma segura, crearemos una interfaz de red "dummy" (virtual) y la utilizaremos en este experimento.
Primero, cree una interfaz dummy llamada dummy0.
sudo ip link add dummy0 type dummy
sudo ip link set dummy0 up
Añada inicialmente esta interfaz a la zona public (solo para asignarle una zona).
sudo firewall-cmd --zone=public --add-interface=dummy0
Ahora imagine que dummy0 es la tarjeta Wi-Fi de su portátil y que acaba de entrar en su oficina. Desea cambiarla a la zona work.
sudo firewall-cmd --zone=work --change-interface=dummy0
Compruebe el cambio.
sudo firewall-cmd --get-active-zones
Ahora debería ver dos zonas activas:
- trusted: Contiene
eth0(mantiene su conexión). - work: Contiene
dummy0(su interfaz de prueba).
trusted
interfaces: eth0
work
interfaces: dummy0
¡Ha aprendido correctamente a cambiar de zona sin quedarse sin acceso!
Resumen
En este laboratorio, ha dado sus primeros pasos con Firewalld. Ha:
- Instalado el servicio y lo ha configurado de forma segura para evitar quedarse sin acceso.
- Aprendido que las Zones funcionan como perfiles de seguridad.
- Inspeccionado las reglas de una zona.
- Creado una interfaz virtual y practicado cómo cambiarla entre zonas.
Comprender las zonas es la base de Firewalld. En los próximos laboratorios, aprenderá a personalizar estas zonas abriendo puertos específicos.
