Configurar firewalld en un VPS AlmaLinux y Rocky Linux

firewalld es el gestor de cortafuegos por defecto de AlmaLinux 9 y Rocky Linux 9. En su VPS Linux Infrawire permite abrir solo los servicios necesarios, limitar SSH a su propia IP y redirigir puertos, sin tocar reglas nftables en bruto.

El riesgo principal es cortar su propia sesión SSH. Esta guía gira en torno a ello: cada cambio arriesgado se prueba primero en la configuración runtime y después se hace permanente.

📋 Requisitos previos

Un VPS con AlmaLinux 9 o Rocky Linux 9
Acceso SSH como root (la IP y la contraseña root están en su área de cliente)
Una segunda sesión SSH abierta mientras edita las reglas

1. Instalar e iniciar firewalld

Bash
1dnf install -y firewalld
2systemctl enable --now firewalld
3firewall-cmd --state

El último comando debe mostrar running. La zona por defecto es public, que ya permite SSH, Cockpit y el cliente DHCPv6, y descarta el resto de conexiones entrantes.

2. Entender zonas, servicios y puertos

Una zona es un conjunto de reglas aplicado a una interfaz. Un servicio es un grupo de puertos con nombre (ssh es 22/tcp, http es 80/tcp, https es 443/tcp).

Bash
1firewall-cmd --get-default-zone
2firewall-cmd --get-active-zones
3firewall-cmd --list-all
4firewall-cmd --get-services | tr ' ' '\n' | head -20

Hay dos configuraciones. La runtime se aplica de inmediato y desaparece al recargar o reiniciar. La permanente (--permanent) se guarda en disco pero solo se activa tras firewall-cmd --reload.

3. Abrir servicios y puertos

Bash
1# Servicios
2firewall-cmd --permanent --add-service=http
3firewall-cmd --permanent --add-service=https
4
5# Un puerto personalizado
6firewall-cmd --permanent --add-port=8080/tcp
7
8# Un rango de puertos
9firewall-cmd --permanent --add-port=30000-30100/udp
10
11# Aplicar la configuración permanente
12firewall-cmd --reload

Para cerrar algo, use la opción --remove-service o --remove-port correspondiente. Elimine el servicio cockpit si no usa la consola web: firewall-cmd --permanent --remove-service=cockpit.

4. Permitir SSH solo desde su IP con una rich rule

Las rich rules expresan condiciones como la dirección de origen. No elimine nunca la regla SSH genérica antes de comprobar que la restringida funciona.

Bash
1# 1. Añadir la regla solo en runtime (sustituya por SU IP pública)
2firewall-cmd --add-rich-rule='rule family="ipv4" source address="YOUR_IP/32" service name="ssh" accept'
3
4# 2. Abra un terminal NUEVO y confirme que SSH sigue funcionando desde YOUR_IP
5
6# 3. Hacerla permanente y luego quitar el servicio SSH abierto a todos
7firewall-cmd --runtime-to-permanent
8firewall-cmd --permanent --remove-service=ssh
9firewall-cmd --reload

Si su IP cambia, perderá el acceso: mantenga disponible la consola del VPS desde su área de cliente como vía de recuperación. Para una dirección IPv6, escriba family="ipv6" y la dirección IPv6.

5. Redirigir un puerto

Para enviar el tráfico entrante del puerto 80 a una aplicación que escucha en el 8080 del mismo servidor:

Bash
1firewall-cmd --permanent --add-forward-port=port=80:proto=tcp:toport=8080
2firewall-cmd --reload

Para reenviar a otra máquina, añada toaddr=TARGET_IP a la opción forward-port y active el enmascaramiento con firewall-cmd --permanent --add-masquerade. El kernel también debe permitir el reenvío, algo que firewalld gestiona para el enmascaramiento.

6. Verificar la configuración

Bash
1firewall-cmd --list-all
2firewall-cmd --list-rich-rules
3firewall-cmd --permanent --list-all
4ss -tlnp

Compare las listas runtime y permanente: deben coincidir tras una recarga. Desde otra máquina, pruebe un puerto con nc -zv VPS_IP 80. Un servicio en escucha (ss -tlnp) solo es accesible si el cortafuegos permite su puerto.

🛠️ Solución de problemas

FirewallD is not running: inícielo con systemctl enable --now firewalld y revise journalctl -u firewalld en busca de errores.

Una regla nueva no tiene efecto: usó --permanent sin recargar. Ejecute firewall-cmd --reload.

INVALID_SERVICE o INVALID_ZONE: error tipográfico en el nombre. Liste los nombres válidos con firewall-cmd --get-services y --get-zones.

SSH en un puerto personalizado es rechazado aunque el puerto esté abierto: SELinux debe conocer el puerto. Ejecute semanage port -a -t ssh_port_t -p tcp 2222 (instale antes policycoreutils-python-utils), abra el puerto en firewalld y reinicie sshd.

Acceso perdido: use la consola del VPS desde su área de cliente y ejecute firewall-cmd --permanent --add-service=ssh y firewall-cmd --reload. Evite firewall-cmd --panic-on, que bloquea todo el tráfico, incluida su sesión.

🔒 Su VPS expone ahora solo lo que usted elige, y SSH sigue a su alcance.