Si tienes un VPS o servidor en produccion, configurar UFW en Ubuntu es lo primero que deberias hacer antes de abrir cualquier puerto. UFW (Uncomplicated Firewall) es la forma mas sencilla de gestionar iptables en Ubuntu — sin memorizar sintaxis compleja, sin riesgo de romper nada. En esta guia lo tienes todo: instalacion, reglas basicas, ejemplos reales y los errores mas comunes ya resueltos.

Tabla de contenido

1. Que es UFW y por que usarlo en Ubuntu
2. Requisitos previos
3. Instalar UFW en Ubuntu
4. Comandos basicos de UFW en Ubuntu
5. Como permitir y denegar puertos con UFW
6. Reglas UFW por aplicacion: Nginx, Apache, OpenSSH
7. Como bloquear y permitir IPs con UFW
8. Como ver el estado y las reglas activas de UFW
9. Como eliminar reglas de UFW paso a paso
10. Ejemplos practicos de UFW en produccion
11. Errores comunes y cómo resolverlos
12. Preguntas frecuentes sobre UFW en Ubuntu

Que es UFW y por que usarlo en Ubuntu

UFW (Uncomplicated Firewall) es la interfaz de línea de comandos para gestionar iptables en Ubuntu de forma sencilla. Viene incluido por defecto en Ubuntu y está diseñado para que cualquier administrador de sistemas pueda configurar un firewall funcional sin necesidad de conocer la sintaxis compleja de iptables.

¿Por qué necesitas un firewall en tu servidor?

Si tienes un VPS, servidor dedicado o instancia en la nube (AWS, DigitalOcean, Hetzner...), activar UFW es uno de los primeros pasos que debes dar.

Requisitos previos

• Ubuntu 20.04, 22.04 o 24.04 (también compatible con Debian)
• Acceso a la terminal con privilegios sudo
• Conexión SSH activa (importante: no cierres la sesión hasta haber habilitado el puerto 22)

Instalar UFW en Ubuntu

UFW viene preinstalado en la mayoría de versiones de Ubuntu. Para verificarlo:

sudo ufw version

Si no está instalado, ejecuta:

sudo apt update && sudo apt install ufw -y

Comandos basicos de UFW en Ubuntu

Como permitir y denegar puertos con UFW

Permitir un puerto

# Por número de puerto (TCP y UDP)
sudo ufw allow 80


# Solo TCP
sudo ufw allow 80/tcp


# Solo UDP
sudo ufw allow 53/udp


# Rango de puertos
sudo ufw allow 8000:8080/tcp

Denegar un puerto

#Deniega puerto 23 tanto TCP como UDP
sudo ufw deny 23


#Deniega solo TCP del puerto 23
sudo ufw deny 23/tcp

Rechazar con notificación vs denegar silenciosamente

# deny: descarta el paquete sin respuesta
sudo ufw deny 3306



# reject: descarta el paquete y notifica al origen
sudo ufw reject 3306

Reglas UFW por aplicacion: Nginx, Apache, OpenSSH

UFW permite gestionar reglas usando perfiles de aplicación en lugar de números de puerto. Esto hace las reglas más legibles y fáciles de mantener.

Cómo funciona por dentro

Los perfiles se almacenan como archivos de texto en /etc/ufw/applications.d/. Cada paquete que instalas puede incluir su propio perfil en ese directorio.

ls /etc/ufw/applications.d/

Para ver el contenido de un perfil concreto:

cat /etc/ufw/applications.d/openssh-server

La estructura es simple:

1. Nombre en corchetes
2. Título
3. Descripción
4. Puertos

¿Por qué en mi servidor solo aparecen 2 o 3 perfiles?

sudo ufw app list

Si el resultado es algo como:

Es completamente normal. UFW solo muestra los perfiles de las aplicaciones que tienes instaladas en tu sistema. Nginx, Apache, Docker y otros solo aparecen si están instalados y si su paquete incluye un archivo de perfil en /etc/ufw/applications.d/.

Algunos paquetes no incluyen perfil UFW aunque estén instalados. En esos casos simplemente usa el número de puerto directamente.

Ver detalles de un perfil

sudo ufw app info OpenSSH

Usar perfiles en tus reglas

# Permitir SSH
sudo ufw allow OpenSSH


# Permitir Nginx (HTTP + HTTPS) si está instalado
sudo ufw allow 'Nginx Full'


# Solo HTTPS
sudo ufw allow 'Nginx HTTPS'


# Solo HTTP
sudo ufw allow 'Nginx HTTP'

Los perfiles con espacios en el nombre deben ir entre comillas simples

Crear tu propio perfil de aplicación

Esta es la parte más útil: puedes crear perfiles personalizados para cualquier servicio. Por ejemplo, para una API que corre en el puerto 8080:

sudo nano /etc/ufw/applications.d/mi-api

Contenido del archivo:

[MiAPI]
title=API REST interna
description=Servicio de API en puerto 8080 TCP
ports=8080/tcp

Guarda el archivo y recarga los perfiles:

sudo ufw app update MiAPI

sudo ufw app list        # ya aparece MiAPI

sudo ufw allow MiAPI

Otro ejemplo con múltiples puertos (ejemplo, app que usa 8080 y 8443):

[MiAppWeb]
title=Aplicación web custom
description=Frontend en 8080 y versión segura en 8443
ports=8080,8443/tcp

Y si necesitas TCP y UDP en el mismo perfil:

[ServicioVoIP]
title=Servicio VoIP
description=SIP en TCP y RTP en UDP
ports=5060/tcp|10000:20000/udp

Actualizar un perfil existente

Si modificas un archivo en applications.d, aplica los cambios con:

sudo ufw app update NombrePerfil

# O actualizar todos a la vez
sudo ufw app update all

Como bloquear y permitir IPs con UFW

Permitir una IP específica

# Permite todo el tráfico desde una IP
sudo ufw allow from 192.168.1.100


# Permite solo SSH desde una IP
sudo ufw allow from 192.168.1.100 to any port 22

Permitir una subred completa

# Permite acceso al puerto 3306 (MySQL) desde una red local

sudo ufw allow from 10.0.0.0/24 to any port 3306

Bloquear una IP

sudo ufw deny from 45.33.32.156

sudo ufw deny from 45.33.32.0/24

Como ver el estado y las reglas activas de UFW

Estado simple

sudo ufw status

Estado con números de regla (necesarios para eliminar)

sudo ufw status numbered

Estado detallado con políticas por defecto

sudo ufw status verbose

Como eliminar reglas de UFW paso a paso

Por número de regla

Este es el método recomendado para eliminar reglas

1. Primero vemos las reglas numeradas

sudo ufw status numbered

2. Eliminamos por número

sudo ufw delete 3

Por descripción de la regla

sudo ufw delete deny from 45.33.32.156

Ejemplos practicos de UFW en produccion

Configuración base para un servidor web

# 1. Permitir SSH antes de activar el firewall

sudo ufw allow OpenSSH


# 2. Permitir HTTP y HTTPS

sudo ufw allow 80/tcp
sudo ufw allow 443/tcp


# 3. Activar el firewall

sudo ufw enable


# 4. Verificar

sudo ufw status verbose

Servidor con MySQL accesible solo desde la app

# Permitir MySQL solo desde el servidor de aplicaciones
sudo ufw allow from (Ip de tu servidor de aplicaciones) to any port 3306


# Bloquear MySQL desde cualquier otro origen
sudo ufw deny 3306

Bloquear ataques de fuerza bruta en SSH (con rate limiting)

# UFW tiene soporte nativo para limitar intentos de conexión

sudo ufw limit ssh

Permite SSH pero bloquea IPs que intenten más de 6 conexiones en 30 segundos

Servidor con acceso solo desde tu IP

# Denegar todo por defecto
sudo ufw default deny incoming
sudo ufw default allow outgoing


# Permitir solo tu IP
sudo ufw allow from TU_IP_PUBLICA


# Activar
sudo ufw enable

Errores comunes y cómo resolverlos

Claves SSH: configura SSH sin contraseña paso a paso en Linux

Aprende a configurar claves SSH en Linux paso a paso. Conéctate sin contraseña, evita ataques de fuerza bruta y simplifica tu flujo de trabajo con esta guía practica.

ZymeralabsAlberto

Me quedé sin acceso SSH al activar UFW

Causa: Activaste UFW sin permitir el puerto 22 antes.

Solución: Si tienes acceso a la consola de tu proveedor VPS o Hosting, úsala para ejecutar:

sudo ufw allow 22
sudo ufw enable

Si no tienes acceso a consola, contacta a tu proveedor de hosting.

Prevención: Siempre ejecuta esto antes de activar UFW:

sudo ufw allow OpenSSH
sudo ufw enable

UFW activo pero los puertos siguen accesibles

Causa más común: Docker está modificando iptables directamente y bypaseando UFW.

Cuando Docker expone un puerto con -p 8080:80, lo hace añadiendo reglas directamente a iptables en la cadena DOCKER, saltándose completamente UFW. Aunque UFW diga que el puerto está bloqueado, Docker lo abre igualmente.

Puedes confirmarlo:

# Verificar si Docker está interfiriendo

sudo iptables -L DOCKER -n

Docker Bridge vs Host vs None: diferencias y cuándo usar cada red

Descubre las diferencias entre Docker Bridge, Host y None. Aprende cuándo usar cada tipo de red con ejemplos prácticos y casos reales.

ZymeralabsAlberto

Opción 1: Deshabilitar la manipulación de iptables en Docker

Esta es la solución más limpia. El archivo que hay que editar hoy en día es /etc/docker/daemon.json, no /etc/default/docker (ese es legacy y en la mayoría de sistemas modernos se ignora).

sudo nano /etc/docker/daemon.json

Añade:

{
  "iptables": false
}

Reinicia Docker:

sudo systemctl restart docker

Consecuencia importante: Al deshabilitar esto, Docker ya no gestiona el enrutamiento de red automáticamente. Tú pasas a ser responsable de abrir los puertos que necesiten tus contenedores en UFW manualmente:

sudo ufw allow 8080/tcp

Y los contenedores dejan de tener acceso a internet por defecto a menos que configures el enrutamiento. Para la mayoría de VPS con un solo servidor esto funciona bien, pero en setups complejos con muchos contenedores puede volverse engorroso.

Opción 2: Usar la cadena DOCKER-USER (recomendada)

En lugar de deshabilitar la integración de Docker con iptables, usas la cadena DOCKER-USER que Docker reserva específicamente para que los administradores añadan sus propias reglas. Estas reglas se evalúan antes que las de Docker.

# Bloquear acceso externo al puerto 3306 de Docker, permitir solo desde una IP

sudo iptables -I DOCKER-USER -p tcp --dport 3306 ! -s TU_IP -j DROP


# Bloquear todo acceso externo a un puerto concreto

sudo iptables -I DOCKER-USER -p tcp --dport 8080 -j DROP


# Permitir solo desde tu IP y bloquear el resto

sudo iptables -I DOCKER-USER -p tcp --dport 8080 ! -s TU_IP -j DROP

El problema de esta opción es que las reglas de iptables no persisten entre reinicios. Para hacerlas persistentes necesitas iptables-persistent:

sudo apt install iptables-persistent -y
sudo netfilter-persistent save

Opción 3: Bind solo a localhost en el contenedor

Si el servicio no necesita ser accesible desde fuera del servidor (por ejemplo, una base de datos que solo usa la app en el mismo host), la solución más simple es no exponerlo en la interfaz pública desde el principio:

# En lugar de:
docker run -p 3306:3306 mysql

# Usa:
docker run -p 127.0.0.1:3306:3306 mysql

Con 127.0.0.1:3306:3306 el puerto solo escucha en localhost. UFW ni Docker-iptables entran en juego porque el puerto nunca está expuesto en la interfaz pública.

sudo ufw status muestra "inactive" aunque lo activé

Causa: El servicio no persiste entre reinicios si no está habilitado en systemd.

Solución:

sudo systemctl enable ufw
sudo systemctl start ufw
sudo ufw enable

Reglas duplicadas en UFW

Si ejecutas el mismo allow varias veces, UFW crea reglas duplicadas.

Verificar:

sudo ufw status numbered

Eliminar duplicados:

sudo ufw delete NUMERO_DE_REGLA

10 comandos de Linux esenciales para DevOps (con ejemplos reales)

Los 10 comandos de Linux más usados en DevOps: grep, tail, curl, jq, rsync y más. Con ejemplos reales y capturas de producción.

ZymeralabsAlberto

Preguntas frecuentes sobre UFW en Ubuntu

grep IPV6 /etc/default/ufw
# Debe mostrar: IPV6=yes

# Ver logs en tiempo real
sudo tail -f /var/log/ufw.log

# Habilitar logging si no está activo
sudo ufw logging on

# Niveles: low, medium, high, full
sudo ufw logging medium

sudo ufw default deny outgoing
# Y luego permitir solo lo necesario
sudo ufw allow out 80/tcp
sudo ufw allow out 443/tcp
sudo ufw allow out 53/udp

sudo apt install ufw -y