CSF Firewall: una sólida opción de cortafuegos para sistemas Linux

Siempre que contratamos servicios de Hosting VPS, Cloud o Dedicados, tenemos que tener algo bien claro: todo sistema necesita un firewall.  Un firewall nos permite bloquear o denegar accesos a personas no autorizadas a un sistema, permitiendo al mismo tiempo realizar las comunicaciones autorizadas de manera más segura.

CSF Firewall es un software mantenido por Configserver.com, empresa especializada en soluciones para cPanel. Este desarrollo mantiene una gran constancia de actualizaciones, su instalación es sumamente práctica y su configuración, a pesar de que incluye muchísimas opciones a nivel de técnicas de defensa, está tan bien documentada que hacen de ella algo muy fácil de realizar incluso para quienes lo usan por primera vez. Por todo esto hemos elegido CSF Firewall como una opción más que recomendada para sistemas Linux.

En sus fases iniciales nació para integrarse únicamente con cPanel/WHM, pero fue tan grande el éxito que tuvo, que no pasó mucho tiempo para que vieramos una versión genérica que hoy en día corre en las distros más populares:

RedHat v7.3, v8.0, v9.0
RedHat Enterprise v3, v4, v5, v6(32/64 bit)
Debian v3.1, v4, v5, v6
CentOS v3, v4, v5, v6 (32/64 bit)
CouldLinux (based on CentOS/RHEL)
Fedora Core v1 to v16(32/64 bit)
Ubuntu v6.06 LTS, v8.10, v9.10, v10.04 LTS, v10.10
Mandriva 2009, 2010
Gentoo *Slackware v12.2
openSUSE v10, v11

Y a nivel de entornos de virtualización también tiene gran soporte:

Virtuozzo
OpenVZ
VMware
UML
Xen
MS Virtual Server
VirtualBox

De momento vamos a dejar la información hasta aquí y vamos a lo lindo, la parte práctica. Para instalarlo bastará con correr los siguientes comandos:

cd /usr/local/src
rm -fv csf.tgz
wget http://www.configserver.com/free/csf.tgz
tar -xzf csf.tgz
cd csf

Si usas cPanel:

sh install.sh

Si no usas cPanel:

sh install.generic.sh

Si usas APF firewall en tu sistema deberás removerlo ejecutando este comando:

sh /etc/csf/remove_apf_bfd.sh

Luego de esto ya estamos listos para configurar las diferentes opciones del firewall, puedes hacerlo editando el archivo /etc/csf/csf.conf, o bien si te gusta una interfaz visual, desde WHM – Plugins: ConfigServer Security&Firewall.

Por defecto ya te configura los puertos que detecta abiertos, pero atentos por que está en modo prueba, es decir que se detendrá su funcionamiento 5 minutos después de cada ejecución. Luego de que hayas configurado el firewall debidamente, tendrás que deshabilitar este modo testing editando el archivo /etc/csf/csf.conf y cambiando:

"TESTING = "1"

por

TESTING = "0"

Reiniciamos firewall para tomar los cambios:

csf -r

Tips útiles:

1) Nunca cierres la ventana o hagas logout y salgas de la sesión abierta en el servidor, sin probar desde otra consola, que la conectividad es correcta a nivel de ssh, y que además el resto de los servicios funcionan bien (apache, mail, mysql, dns, etc).

2) Desde /etc/csf/csf.allow y /etc/csf/csf.ignore puedes agregar listas genéricas de whitelists.

 Más información

¿Tienes alguna duda o comentario sobre este tema? Envíanos tu opinión desde el formulario de abajo.