Cómo configurar el firewall en Ubuntu con UFW y Gufw

Para configurar el firewall en Ubuntu con UFW, fija primero qué pasa con el tráfico que no tenga regla (sudo ufw default deny incoming y sudo ufw default allow outgoing), abre solo los puertos que uses, por ejemplo sudo ufw allow OpenSSH, y actívalo con sudo ufw enable. Con sudo ufw status verbose compruebas cómo ha quedado. Si prefieres hacerlo con ventanas, Gufw es la interfaz gráfica de UFW y está en los repositorios de Ubuntu.

UFW significa Uncomplicated Firewall. Según la página del proyecto, es un programa para gestionar el cortafuegos netfilter del núcleo Linux desde la línea de órdenes, pensado para que sea sencillo. Si no lo tienes, se instala con sudo apt install ufw.

Si entras al equipo por SSH, abre el puerto antes de activarlo

Es el error típico en un servidor remoto. El manual de ufw avisa de que al activarlo vacía sus cadenas y puede cortar las conexiones abiertas, SSH incluida. Añade la regla primero y activa después:

sudo ufw allow OpenSSH
sudo ufw enable

Si lanzas ufw enable desde una sesión SSH, te pide confirmación precisamente por eso. OpenSSH es el perfil que instala el servidor SSH y abre el puerto 22/tcp, como recoge su fichero de perfil. Si tu SSH escucha en otro puerto, abre ese número en su lugar.

Las políticas por defecto

La política decide qué pasa con el tráfico que no coincide con ninguna regla, y se fija por separado para lo que entra, lo que sale y lo que se enruta. Para un ordenador de escritorio o un servidor normal, lo razonable es bloquear lo que entra y dejar salir todo:

sudo ufw default deny incoming
sudo ufw default allow outgoing

Si más adelante cambias una política, el manual advierte de que las reglas que ya tengas no se adaptan solas y hay que revisarlas a mano.

Abrir y cerrar puertos

La sintaxis sencilla es la acción y el puerto, con el protocolo opcional detrás de una barra. Sin protocolo, la regla vale para TCP y UDP. También admite nombres de servicio, que UFW busca en /etc/services:

sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
sudo ufw allow smtp
sudo ufw deny 3306

Para limitar el acceso a tu red local, la sintaxis completa indica origen y puerto. Esta regla deja entrar a SSH solo desde equipos de la red 192.168.1.x:

sudo ufw allow from 192.168.1.0/24 to any port 22 proto tcp

Hay dos acciones más que conviene conocer. reject bloquea igual que deny, pero avisa al que se conecta de que se le ha rechazado en lugar de ignorarlo. limit sirve contra los ataques de fuerza bruta: deja pasar la conexión, salvo que la misma IP intente seis o más en 30 segundos.

sudo ufw limit ssh/tcp

Perfiles de aplicación

Muchos paquetes instalan un perfil con sus puertos en /etc/ufw/applications.d. sudo ufw app list te enseña los que tienes y sudo ufw app info "Nombre" qué puertos abre cada uno. Así, con Apache instalado, sudo ufw allow "Apache Full" abre a la vez el 80 y el 443. Si el nombre lleva espacios, va entre comillas.

Ver, borrar y ordenar reglas

sudo ufw status numbered
sudo ufw delete 3
sudo ufw delete allow 80/tcp

La primera lista las reglas con su número. Puedes borrar por número o repitiendo la regla con delete delante. Con IPv6 activo, una regla genérica como allow 22/tcp crea dos entradas (IPv4 e IPv6), y borrar por número solo quita una, mientras que borrar repitiendo la regla quita las dos. El orden importa porque gana la primera regla que coincide, y para colocar una en un puesto concreto está insert:

sudo ufw insert 1 deny from 203.0.113.50

El registro

sudo ufw logging on activa el registro en el nivel bajo, que anota los paquetes bloqueados por la política y los que coinciden con reglas marcadas para registrar. Los niveles altos generan tanto texto que pueden llenar el disco. En los sistemas con rsyslog lo encontrarás también en /var/log/ufw.log. Si quieres registrar las conexiones que acepta una regla concreta, añade log: sudo ufw allow log 22/tcp.

Gufw, la interfaz gráfica

Gufw está en el repositorio universe de Ubuntu (paquete gufw) y se instala con sudo apt install gufw. Al abrirlo te pide la contraseña, porque cambiar el cortafuegos requiere permisos de administrador. Su web oficial es la de su autor, Marcos Costales.

La ventana principal tiene un interruptor de Estado y dos desplegables, Entrante y Saliente, para las políticas por defecto. El desplegable Perfil trae tres configuraciones preparadas, Casa, Oficina y Público. Público rechaza el tráfico entrante y Oficina lo deniega, así que puedes cambiar de perfil al llevarte el portátil a una red ajena. En la pestaña Reglas, el botón de añadir abre un diálogo con tres modos. Preconfigurada sirve para elegir una aplicación de una lista, Simple para poner un puerto o servicio, y Avanzada para indicar origen, destino e interfaz. La pestaña Informe enseña qué programas están escuchando en tu equipo, y desde ahí puedes crear una regla para cualquiera de ellos.

Gufw no es otro cortafuegos, es una ventana para manejar el mismo UFW. Si exportas un perfil, ten en cuenta que solo se exportan las reglas añadidas desde Gufw, no las que creaste con la terminal.

Desactivar o empezar de cero

sudo ufw disable desactiva el cortafuegos y evita que arranque con el sistema. sudo ufw reset lo desactiva y vuelve a la configuración de instalación, borrando las reglas que hayas creado, así que apúntalas antes con sudo ufw status numbered si las vas a necesitar.

Si estás montando un servicio que necesita puertos propios, como un servidor FTP en Ubuntu, abre solo los que use y, si puedes, solo para tu red local.

Revisado y actualizado en octubre de 2026.