Cómo bloquear escaneos de IP en la red con fail2ban y nftables

El peligro invisible de los escaneos de IP en internet

Mantener un servidor conectado a internet es como dejar la ventana de casa abierta en una calle concurrida. Constantemente, los robots automatizados realizan escaneos de IP, disparando paquetes de datos para probar qué puertos están abiertos y qué sistemas operativos o servicios corren allí. En la práctica, esto significa que tu dirección IP recibe cientos de intentos de intrusión diarios, a menudo procedentes de redes de bots distribuidas por todo el mundo. Ignorar este ruido constante abre la puerta para que los atacantes encuentren fallas olvidadas o usen la fuerza bruta para adivinar contraseñas.

Para proteger los servidores contra esta avalancha de tráfico malicioso, la ingeniería de redes moderna exige seguridad en el borde, es decir, detener las amenazas antes de que alcancen las aplicaciones principales. Si ya aseguraste el acceso remoto tal como explicamos en nuestra guía sobre cómo bloquear ataques de fuerza bruta en SSH con Fail2Ban, sabes que el monitoreo de registros es indispensable. Sin embargo, monitorear no basta; se necesita una barrera de firewall rápida y eficiente para descartar paquetes no deseados antes de que consuman recursos críticos del procesador.

Antes de implementar filtros complejos, conviene asegurar que el hardware básico del servidor esté estable, verificando la estabilidad de energía o el estado de la placa base, temas que abordamos al explicar cómo probar la línea de 12V de la fuente ATX con multímetro. Con el hardware en buen estado, podemos centrarnos en la capa de seguridad lógica.

Cómo fail2ban identifica amenazas en tiempo real

Fail2ban es un software escrito en Python que monitorea los archivos de registro de tu servidor en busca de patrones repetitivos de fallas, como errores de inicio de sesión o solicitudes sospechosas. Cuando una dirección IP supera un límite predefinido de errores en poco tiempo, el programa entiende que no se trata de un usuario distraído, sino de un script de escaneo o un intruso probando credenciales. A partir de ahí, activa comandos externos para bloquear esa IP durante un periodo determinado.

En la práctica, fail2ban actúa como un guardia de seguridad atento a una lista negra, registrando cada intento fallido de acceso. Al delegar estos bloqueos dinámicos en el filtro de paquetes inferior, el servidor mantiene una alta disponibilidad incluso bajo campañas intensas de escaneo procedentes de múltiples fuentes en todo el mundo.

La evolución del firewall con nftables

Durante muchos años, iptables fue el estándar de mercado en Linux para filtrar paquetes de red y crear reglas de firewall. Sin embargo, con el crecimiento del volumen de tráfico y la complejidad actual, iptables mostró limitaciones de rendimiento, exigiendo cadenas de reglas largas que sobrecargaban el núcleo del sistema operativo. Nftables surge como el reemplazo moderno, unificando el filtrado de paquetes bajo una sintaxis más limpia, unificada y extremadamente rápida, capaz de procesar miles de bloqueos sin retrasos.

A diferencia de su predecesor, nftables trabaja con conjuntos de datos y tablas nativas, permitiendo agrupar miles de IPs maliciosas en una única estructura de búsqueda optimizada. Esto reduce drásticamente el consumo de memoria RAM y el uso de CPU cuando fail2ban agrega o elimina direcciones baneadas. Para quienes manejan filtrado avanzado, la transición a nftables aporta una ganancia expresiva de eficiencia operativa en el borde de la red.

Si deseas profundizar en las bases del filtrado moderno, consulta las recomendaciones en nuestro artículo sobre cómo bloquear paquetes maliciosos en la red con iptables, que sirve como puente conceptual para comprender el funcionamiento interno de los ganchos de red en Linux.

Configurando la integración entre fail2ban y nftables

Para poner a trabajar juntos a estos dos componentes, debemos configurar fail2ban para que utilice acciones nativas de nftables en lugar de comandos antiguos de iptables. Esta integración garantiza que los baneos se apliquen directamente en las tablas del núcleo, descartando el tráfico en la capa más baja posible de la pila de red. El primer paso es verificar que nftables esté instalado y activo en tu sistema operativo Linux.

En el archivo de configuración principal de fail2ban, ubicado normalmente en /etc/fail2ban/jail.local, definimos qué backend de firewall manejará las reglas de protección. A continuación, presentamos un ejemplo funcional de configuración que dirige las acciones de baneo hacia nftables para optimizar el rendimiento del servidor.

[DEFAULT]
bantime = 1h
findtime = 10m
maxretry = 5
banaction = nftables-multiport

[sshd]
enabled = true
port = ssh
logpath = %(sshd_log)s
backend = systemd

Este bloque define parámetros fundamentales: un tiempo de baneo estándar de una hora (bantime), una ventana de diez minutos para el recuento de errores (findtime) y un límite máximo de cinco intentos fallidos (maxretry) antes de cerrar el puerto a esa dirección IP. El parámetro banaction = nftables-multiport indica a fail2ban que emplee conjuntos dinámicos de nftables para una gestión limpia y escalable de los bloqueos.

Paso a paso para activar y probar el bloqueo en el borde

Para poner el sistema en marcha en la práctica, sigue estos pasos en la terminal de tu servidor Linux con privilegios administrativos. Asegúrate de que los paquetes necesarios estén instalados en tu distribución y que el servicio de firewall esté habilitado para iniciar automáticamente con el sistema.

1. Instala los paquetes de fail2ban y nftables usando el administrador de paquetes de tu distribución, como apt en Ubuntu o Debian:
   

   sudo apt update && sudo apt install fail2ban nftables -y

2. Crea el archivo de configuración local copiando la plantilla predeterminada y ajustando las reglas de baneo para nftables tal como se describió anteriormente:
   

   sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

3. Inicia y habilita los servicios para asegurar que comiencen a monitorear el tráfico y aplicar las reglas de seguridad automáticamente tras cada reinicio:
   

   sudo systemctl enable --now nftables fail2ban

Tras completar estos pasos, puedes verificar el estado actual de las celdas de fail2ban ejecutando sudo fail2ban-client status en la terminal. Si deseas inspeccionar las reglas activas en nftables, utiliza sudo nft list ruleset para visualizar en tiempo real los conjuntos de IPs bloqueadas por el núcleo.

Consideraciones finales sobre seguridad y monitoreo continuo

Implementar fail2ban junto con nftables es una de las formas más eficientes de silenciar el ruido de los escaneos de IP y los intentos automatizados de intrusión en el borde de tu red. Esta combinación reduce la carga computacional y protege los servicios esenciales contra el abuso constante de internet. No obstante, la seguridad digital es un proceso continuo que exige auditorías periódicas de los registros y ajustes finos en los tiempos de baneo para prevenir bloqueos accidentales a usuarios legítimos.

Mantener los sistemas actualizados, monitorear el comportamiento de la red y probar regularmente la integridad de los servidores garantiza un entorno resiliente y preparado para absorber ataques sin interrumpir las operaciones del negocio. Al adoptar estas prácticas, transformas una infraestructura vulnerable en una fortaleza digital moderna y de alto rendimiento.