Firewall en la nube: aplica gratis reglas de tráfico a tu VPS

Sí, el firewall en la nube es gratis en todos los servidores. Puedes poner hasta 50 reglas en un firewall y aplicarlo a hasta 10 servidores. Si quieres estar preparado también para ataques de tráfico masivo, añade protección DDoS por $1.68 al mes por servidor; este importe se renueva junto con la tarifa del servidor. Los servidores que solo usan firewall mantienen la misma tarifa.

Un firewall en la nube permite o bloquea el tráfico según reglas a nivel de red, fuera del servidor. Defines reglas por dirección, protocolo, puerto y rango de IP, y solo llega al servidor el tráfico que cumple las reglas. Funciona sea cual sea el sistema operativo, así que se usa igual en servidores Linux y FreeBSD.

Hasta 50 reglas por firewall. Para un servidor web suelen bastar tres reglas, para los puertos 80, 443 y 22, y aunque añadas puertos de herramientas de administración o bases de datos, sobra espacio. Para grupos de servidores con funciones distintas, crea firewalls separados y la gestión será más fácil. En cada regla defines dirección, protocolo, puerto y rango de IP.

Sí, aplica el mismo firewall a hasta 10 servidores. Al cambiar una regla, se aplica a todos los servidores agrupados, así que no repites la misma configuración en cada uno. Si creas firewalls por función, como un grupo de servidores web y otro de bases de datos, para cada servidor nuevo solo eliges el firewall adecuado. La gestión de reglas queda en un solo lugar y hay menos errores.

Con el firewall en la nube ya puedes dejar abiertos solo los puertos necesarios, y si además usas un firewall en el servidor como ufw o firewalld, tienes otra capa de protección. Si ajustas las reglas de ambos con el mismo criterio, aunque te equivoques en uno, el otro bloquea. Hay ejemplos de configuración en la guía del firewall.

Recomendamos permitir en las reglas de tráfico entrante el puerto 22 solo desde la IP desde la que te conectas. Si además usas inicio de sesión con clave SSH, los intentos de adivinar la contraseña no llegan al servidor. Si te conectas desde varios lugares, añade cada dirección a la regla. Lo básico es abrir los puertos web a todos y los de administración solo a tu dirección.

El firewall solo deja pasar el tráfico que cumple las reglas definidas, y la protección DDoS filtra los ataques de tráfico masivo que llegan de golpe a los puertos permitidos. Usando ambos abres solo los puertos necesarios y estás preparado incluso para los ataques a esos puertos. La protección DDoS cuesta $1.68 al mes por servidor.

El puerto 25, usado para enviar correo, está bloqueado en todos los servidores para evitar el spam. Envía los correos de notificación de tu web por los puertos 587 o 465 de un servicio de envío externo y permite esos puertos en las reglas de tráfico saliente del firewall. La recepción de correo y los demás puertos funcionan según tus reglas.

No, las reglas del firewall en la nube están fuera del servidor, así que se mantienen aunque reinstales el sistema operativo. Incluso justo después de reinstalar, antes de terminar la configuración interna, solo están abiertos los puertos necesarios, así que mientras preparas el servidor nuevo te protegen las mismas reglas. Al cambiar de firewall o modificar reglas tampoco hace falta reinstalar, y los cambios se aplican al instante al servicio en marcha.

Todos los servidores tienen una dirección IPv4 y una IPv6. Si al crear reglas de firewall incluyes los rangos de direcciones IPv4 e IPv6, gestionas con el mismo criterio el tráfico que entra por ambas direcciones. Conviene activar también la configuración IPv6 en el firewall del servidor. Gestionando ambas direcciones con el mismo criterio no quedan huecos.