Firewalls (cortafuegos): zonas de firewalld y --permanent, ufw, fundamentos de nftables/iptables

Un firewall de host filtra el tráfico de red que entra y sale de un sistema Linux, de modo que solo sean accesibles los servicios que tú decidas. En el kernel, el filtrado de paquetes lo hace netfilter; las herramientas que usas son interfaces que escriben reglas de netfilter. Linux+ cubre firewalld (familia RHEL), ufw (Ubuntu) y los niveles más bajos nftables e iptables. Un firewall de host complementa, y no reemplaza, a los firewalls de red, y forma parte del enfoque de defensa en profundidad que espera el examen. firewalld organiza las reglas en zonas, cada una de las cuales representa un nivel de confianza: drop, block, public, external, internal, dmz, work, home y trusted. Cada interfaz de red o dirección de origen se asigna a una zona, y los servicios y puertos permitidos de esa zona se aplican a su tráfico. public es un valor predeterminado común. Los comandos clave usan firewall-cmd: --get-default-zone, --get-active-zones, --list-all (muestra los servicios, puertos e interfaces de la zona actual), --add-service=https, --add-port=8080/tcp, --remove-service, --zone=internal --change-interface=eth1 y las reglas enriquecidas (rich rules) para un control más fino, como permitir un servicio solo desde una subred. Los servicios son nombres predefinidos que corresponden a puertos, como ssh para 22/tcp; firewall-cmd --get-services los lista.