Crea y gestiona grupos de firewall desde la página Firewall de my.cubepath.com. Un grupo es un conjunto reutilizable de reglas de entrada y salida que asocias a una o varias Máquinas Virtuales o servidores Bare Metal (dedicados).

Los grupos viven a nivel de proyecto, así que cualquier máquina del proyecto puede usar uno. Escribes las reglas una vez, las aplicas en todas partes y las editas en un solo sitio cuando algo cambia. Esa es justo la ventaja frente a configurar iptables en cada máquina.

Crear un grupo

  1. 1
    Abre el asistente de creación
    En la página Firewall, pulsa New Group y dale un nombre.
  2. 2
    Añade reglas
    Cada regla define una dirección (entrada/salida), un protocolo (TCP/UDP/ICMP/GRE), el puerto o puertos y un CIDR de origen/destino (vacío = cualquiera).
  3. 3
    Guarda
    Revisa las reglas y guarda el grupo.

Los puertos admiten un valor único (443), una lista o un rango (8000-9000).

Políticas por defecto

Las políticas por defecto son lo que importa, y no son simétricas:

  • Entrada: DROP. Todo lo que no permitas explícitamente queda bloqueado. Sin ninguna regla de entrada, todo el tráfico entrante está bloqueado.
  • Salida: ACCEPT. Todo lo que no restrinjas explícitamente pasa.

Así que el trabajo real es una regla de entrada por cada servicio que expongas: TCP 22 para SSH, TCP 80 y 443 para una web, y así.

Asignarlo a máquinas

Abre la pestaña Firewall de la máquina (VPS o Bare Metal), pulsa Grupos, marca el grupo y pulsa Aplicar cambios. Las reglas se aplican en vivo, sin reinicio.

Pulsa un grupo en la página Firewall para ver sus reglas. El grupo indica cuántas máquinas lo usan, así ves el alcance antes de editarlo. Cambiar una regla afecta a todas las máquinas asociadas a la vez, tanto VPS como Bare Metal.

Servidores Bare Metal

Los servidores Bare Metal usan los mismos grupos de firewall que los VPS. Asígnalos desde la pestaña Firewall del servidor en el panel (/baremetal/{id}/firewall), igual que en un VPS, o mediante la API:

curl -X PUT https://api.cubepath.com/firewall/baremetal/{id}/groups \
  -H "Authorization: Bearer $CUBEPATH_TOKEN" \
  -H "X-Requested-With: XMLHttpRequest" \
  -H "Content-Type: application/json" \
  -d '{"firewall_group_ids": [12, 34]}'

Un GET a la misma ruta devuelve los grupos asignados al servidor y el estado de la última sincronización.

En qué se diferencia de un VPS:

  • Se aplica en la red, no en el servidor. Las reglas se aplican en el switch de red que tiene delante el servidor, así que el filtrado no consume CPU ni RAM del servidor, no necesitas UFW ni iptables y se mantiene aunque reinstales el sistema operativo. Los cambios se aplican en pocos segundos.
  • Solo entrada. Solo se aplican las reglas de entrada; el tráfico de salida no se filtra. El tráfico entrante a las IPv4 e IPv6 públicas del servidor se deniega salvo que una regla lo permita.
  • Sin estado. Se permiten las respuestas a las conexiones que abre el servidor en TCP, y en UDP desde los puertos 53 (DNS) y 123 (NTP). ICMP siempre está permitido. El resto de respuestas UDP, por ejemplo QUIC (UDP 443), necesitan una regla de entrada.
  • Las redes privadas no se filtran. El tráfico entre tus servidores por una red privada no pasa por los grupos.
  • La reinstalación y el modo rescate siguen funcionando con grupos asignados.

Para desactivar el firewall en un servidor Bare Metal, quítale todos los grupos.

Diseñar grupos que sigan siendo manejables

  • Un grupo por rol, no por máquina: web, base de datos, bastión. Una máquina puede tener varios grupos aplicados.
  • Restringe el origen siempre que puedas. Un 0.0.0.0/0 en el puerto 22 invita a todo el tráfico de fuerza bruta de internet a tus logs; el rango de tu oficina o VPN elimina casi todo.
  • Mantén un patrón de bastión para los puertos de administración. Permite SSH solo desde la dirección de una máquina reforzada y llega al resto a través de ella.

Qué no hace