Cómo bloquear escaneos de puertos y fuerza bruta con iptables

Por qué el cortafuegos estándar no basta contra bots modernos

Mantener un servidor conectado a internet hoy en día es el equivalente digital a dejar la puerta principal sin llave en una calle concurrida. En pocos minutos, scripts automatizados en redes de computadoras infectadas comienzan a tocar tus puertas digitales, probando contraseñas comunes y buscando fallas conocidas. Para quienes administran servidores Linux, iptables, la herramienta clásica integrada en el sistema para controlar el tráfico de red, sigue siendo la primera y más sólida línea de defensa. En la práctica, funciona como un guardia estricto que examina la identidad de cada paquete de datos entrante y decide si entra, si es ignorado o si es sumariamente baneado.

Muchos administradores confían únicamente en contraseñas fuertes o configuraciones predeterminadas de sus aplicaciones, olvidando que el simple hecho de que un bot malicioso pase horas intentando adivinar contraseñas consume valiosos recursos de procesador y memoria. Cuando combinamos escaneos de puertos, que mapean qué servicios están activos, con ataques de fuerza bruta que intentan romper credenciales por agotamiento, el servidor sufre una carga innecesaria. Como vimos en prácticas de cómo bloquear ataques de fuerza bruta en Nginx con IP rate limiting, la contención en el borde de la red alivia drásticamente la aplicación web.

Entendiendo el seguimiento de estado y conexiones establecidas

Para crear reglas inteligentes de firewall, necesitamos entender cómo Linux visualiza una conversación de red. El módulo de seguimiento de conexiones, conocido como conntrack, permite que iptables recuerde si un paquete forma parte de una conversación que ya comenzó o si es un intento totalmente nuevo de conexión. En la práctica, esto significa que podemos aceptar instantáneamente paquetes de conexiones que ya fueron validadas y aprobadas anteriormente, ahorrando al procesador la tarea de analizar cada mensaje intercambiado durante una descarga o navegación larga.

Este enfoque reduce el esfuerzo computacional y evita que reglas complejas se procesen mil veces por segundo para el mismo usuario. Si deseas auditar lo que pasa por tu máquina antes de aplicar bloqueos drásticos, vale la pena revisar cómo rastrear conexiones TCP en Linux con el comando ss para identificar flujos sospechosos en tiempo real. Con el control de estado activo, nuestra regla maestra permite el tráfico familiar y analiza minuciosamente solo las nuevas solicitudes que llegan al puerto SSH u otros servicios expuestos.

Cómo identificar y bloquear escaneos de puertos en curso

Los escaneos de puertos funcionan como un ladrón probando pomos de varias puertas en una oficina para ver cuál está abierta. Para mitigar este comportamiento agresivo antes de que se convierta en una intrusión exitosa, podemos usar el módulo de extensión recent de iptables. Esta característica crea una lista dinámica de direcciones IP que intentaron acceder a determinados puertos en un intervalo de tiempo muy corto, permitiendo que el sistema las ponga en cuarentena automáticamente.

A continuación presentamos un procedimiento práctico para aplicar esta regla de protección directamente en la terminal de su servidor Linux:

1. Abra la terminal de su servidor Linux con privilegios administrativos de superusuario.
2. Ejecute el comando para crear una lista de seguimiento de paquetes sospechosos en el puerto SSH.
3. Guarde la configuración para asegurar que la defensa permanezca activa tras reiniciar la máquina.

iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --set --name SSH_SCANNER -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --update --seconds 60 --hitcount 4 --name SSH_SCANNER -j DROP

En la práctica, el comando anterior verifica si una misma dirección IP intentó iniciar cuatro conexiones en el puerto de administración en menos de un minuto. Si se supera el límite, el tráfico se descarta silenciosamente, haciendo creer al atacante que el servidor simplemente ha desaparecido de la red o que el puerto está completamente cerrado.

Mitigando ataques de fuerza bruta con límites de tasa

Más allá de los escaneos rápidos, los ataques de fuerza bruta suelen ser persistentes y distribuidos, disparando decenas de intentos por segundo contra servicios de autenticación. Para neutralizar esta embestida sin perjudicar a colaboradores legítimos que eventualmente escriban mal su contraseña, utilizamos el módulo hashlimit, que impone un límite dinámico de solicitudes por IP o por toda una subred.

Esta técnica complementa soluciones de capa de aplicación, funcionando en perfecta armonía con herramientas de monitoreo y bloqueos reactivos. Si necesitas expandir tu estrategia de seguridad hacia otras capas, vale la pena consultar estrategias como cómo bloquear IPs maliciosas en Nginx con fail2ban para crear una barrera automatizada en múltiples niveles de tu infraestructura de servidores.

Consideraciones finales sobre el mantenimiento de firewalls robustos

Proteger una infraestructura de red en Linux exige vigilancia continua, ajustes finos en las reglas de filtrado y una comprensión clara de cómo el tráfico legítimo interactúa con el sistema operativo. Al implementar el seguimiento inteligente de estados, el control riguroso de nuevas conexiones y el bloqueo automático de escaneos sospechosos, reducimos drásticamente la superficie de ataque expuesta en internet público. Mantener el cortafuegos actualizado y monitorear los registros regularmente garantiza que su entorno permanezca resiliente ante la evolución constante de las amenazas automatizadas.