Abre solo las rutas que necesitas

Registra el puerto de administración, el listener web, la ubicación de la base de datos y cualquier requisito UDP/TCP específico del producto. Una base de datos usada solo en la misma máquina no debería necesitar una regla pública. Ten en cuenta tanto las reglas de invitado como el firewall ascendente de un operador en vivo.

Mantén una sesión funcional y una consola de recuperación verificada. Antes de habilitar un firewall restrictivo, permite el puerto real SSH y el rango de origen requerido. El ejemplo siguiente asume que SSH está actualmente en el puerto 22; cámbialo para que coincida con el servicio en ejecución.

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 22/tcp

Para un servidor web público, permite TCP 80 y 443. Esto no habilita el servicio web en sí, y los puertos UDP/juegos/correo necesitan sus propias elecciones explícitas. Evita un rango amplio de puertos como atajo para diagnosticar una aplicación.

sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
sudo ufw enable
sudo ufw status verbose

Abre otra conexión de administración y prueba la aplicación externamente. Lee las reglas efectivas de UFW y la configuración IPv6 de la distribución. No se debe asumir que una regla solo IPv4 o un filtro ascendente protejan un listener IPv6.

La salida numerada ayuda a localizar una regla obsoleta. Los números cambian tras las eliminaciones, así que vuelva a listarlos antes de otro cambio. En sistemas que usan firewalld o nftables, siga la configuración nativa de esa herramienta en lugar de combinar gestores en competencia.

sudo ufw status numbered
# Remove only a rule you have identified, then list again:
# sudo ufw delete <rule-number>