---
title: "Grupos de Firewall"
description: "Crea grupos de firewall reutilizables a nivel de proyecto y asígnalos a máquinas, con las políticas por defecto y los riesgos de bloqueo explicados."
category: "Despliegue"
language: es
source: https://cubepath.com/es/docs/products/despliegue/grupos-de-firewall
updated: 2026-10-28
---

# Grupos de Firewall

Crea y gestiona grupos de firewall desde la página **Firewall** de [my.cubepath.com](https://my.cubepath.com). Un grupo es un conjunto reutilizable de reglas de entrada y salida que asocias a una o varias Máquinas Virtuales o servidores Bare Metal (dedicados).

Los grupos viven a nivel de **proyecto**, así que cualquier máquina del proyecto puede usar uno. Escribes las reglas una vez, las aplicas en todas partes y las editas en un solo sitio cuando algo cambia. Esa es justo la ventaja frente a configurar iptables en cada máquina.

## Crear un grupo

```steps
### Abre el asistente de creación
En la página **Firewall**, pulsa **New Group** y dale un nombre.

### Añade reglas
Cada regla define una **dirección** (entrada/salida), un **protocolo** (TCP/UDP/ICMP/GRE), el **puerto o puertos** y un CIDR de **origen/destino** (vacío = cualquiera).

![Diálogo Create Firewall Group con dos reglas de entrada](https://cdn.cubepath.com/img/docs/products/b1922481-a02e-4c41-a7db-3b2d461eca2b.png)

### Guarda
Revisa las reglas y guarda el grupo.
```

Los puertos admiten un valor único (`443`), una lista o un rango (`8000-9000`).

## Políticas por defecto

Las políticas por defecto son lo que importa, y no son simétricas:

- **Entrada: DROP.** Todo lo que no permitas explícitamente queda bloqueado. Sin ninguna regla de entrada, *todo* el tráfico entrante está bloqueado.
- **Salida: ACCEPT.** Todo lo que no restrinjas explícitamente pasa.

Así que el trabajo real es una regla de entrada por cada servicio que expongas: TCP 22 para SSH, TCP 80 y 443 para una web, y así.

> Aviso: Incluye siempre una regla de entrada para SSH (TCP 22) o RDP (TCP 3389) antes de aplicar un grupo, o te quedarás sin acceso. Si te pasa en un VPS, la consola del navegador de la máquina sigue funcionando porque no pasa por el firewall. En un servidor Bare Metal, quita los grupos o añade la regla que falta desde el panel.

## Asignarlo a máquinas

Abre la pestaña Firewall de la máquina ([VPS](/docs/products/despliegue/vps-firewall-es) o Bare Metal), pulsa **Grupos**, marca el grupo y pulsa **Aplicar cambios**. Las reglas se aplican en vivo, sin reinicio.

Pulsa un grupo en la página **Firewall** para ver sus reglas. El grupo indica cuántas máquinas lo usan, así ves el alcance antes de editarlo. Cambiar una regla afecta a **todas** las máquinas asociadas a la vez, tanto VPS como Bare Metal.

> Nota: Un grupo en uso por cualquier servidor, VPS o Bare Metal, no se puede borrar. Quítalo de todas partes primero.

## Servidores Bare Metal

Los servidores Bare Metal usan los mismos grupos de firewall que los VPS. Asígnalos desde la pestaña **Firewall** del servidor en el panel (`/baremetal/{id}/firewall`), igual que en un VPS, o mediante la API:

```bash
curl -X PUT https://api.cubepath.com/firewall/baremetal/{id}/groups \
  -H "Authorization: Bearer $CUBEPATH_TOKEN" \
  -H "X-Requested-With: XMLHttpRequest" \
  -H "Content-Type: application/json" \
  -d '{"firewall_group_ids": [12, 34]}'
```

Un `GET` a la misma ruta devuelve los grupos asignados al servidor y el estado de la última sincronización.

En qué se diferencia de un VPS:

- **Se aplica en la red, no en el servidor.** Las reglas se aplican en el switch de red que tiene delante el servidor, así que el filtrado no consume CPU ni RAM del servidor, no necesitas UFW ni iptables y se mantiene aunque reinstales el sistema operativo. Los cambios se aplican en pocos segundos.
- **Solo entrada.** Solo se aplican las reglas de entrada; el tráfico de salida no se filtra. El tráfico entrante a las IPv4 e IPv6 públicas del servidor se deniega salvo que una regla lo permita.
- **Sin estado.** Se permiten las respuestas a las conexiones que abre el servidor en TCP, y en UDP desde los puertos 53 (DNS) y 123 (NTP). ICMP siempre está permitido. El resto de respuestas UDP, por ejemplo QUIC (UDP 443), necesitan una regla de entrada.
- **Las redes privadas no se filtran.** El tráfico entre tus servidores por una red privada no pasa por los grupos.
- **La reinstalación y el modo rescate siguen funcionando** con grupos asignados.

Para desactivar el firewall en un servidor Bare Metal, quítale todos los grupos.

## Diseñar grupos que sigan siendo manejables

- **Un grupo por rol**, no por máquina: *web*, *base de datos*, *bastión*. Una máquina puede tener varios grupos aplicados.
- **Restringe el origen siempre que puedas.** Un `0.0.0.0/0` en el puerto 22 invita a todo el tráfico de fuerza bruta de internet a tus logs; el rango de tu oficina o VPN elimina casi todo.
- **Mantén un patrón de bastión para los puertos de administración.** Permite SSH solo desde la dirección de una máquina reforzada y llega al resto a través de ella.

## Qué no hace

> Importante: Este firewall filtra paquetes **en la máquina** (o en el switch que tiene delante un servidor Bare Metal). No puede detener un **ataque DDoS** volumétrico: cuando el tráfico llega, el ancho de banda ya está gastado. Para tráfico de ataque necesitas filtrar aguas arriba: consulta [Mitigación DDoS](/docs/products/seguridad/mitigacion-ddos) y sus reglas Edge ACL, que descartan el tráfico en el borde de la red.