Portafolio Rafael M.Pérez | Sysadmin Junior

Firewall dinámico con GeoIP

Desafío:

El principal reto consistía en diseñar un sistema defensivo capaz de reaccionar ante intentos de acceso no autorizados, bloqueando IPs agresivas en tiempo real sin depender de soluciones externas ni afectar la disponibilidad del servicio SSH.

La infraestructura carecía de mecanismos de respuesta automatizada, filtrado geográfico o trazabilidad de eventos, lo que dificultaba la detección y mitigación de accesos maliciosos.

Este desafío exigía una solución ligera y autónoma que permitiera auditar los intentos fallidos, identificar el país de origen de cada IP y aplicar bloqueos dinámicos mediante iptables, todo ello documentado y ejecutable desde un entorno local.

Tecnologías utilizadas:



• iptables Sistema de filtrado de paquetes que permite bloquear IPs específicas en tiempo real, aplicando reglas dinámicas en la cadena INPUT del firewall local.
• GeoIP Herramienta de geolocalización que identifica el país de origen de cada IP mediante consultas locales, permitiendo aplicar criterios defensivos basados en ubicación.
• Bash Lenguaje de scripting utilizado para automatizar la detección de intentos fallidos, el análisis GeoIP y la ejecución de bloqueos, todo dentro de un script autónomo y documentado.
• Auth.log Archivo de registro del sistema que almacena los intentos de autenticación SSH, utilizado como fuente principal para detectar accesos fallidos y comportamientos sospechosos.

Pasos realizados:

1. Fase 0: Inicio desde configuración predeterminada

   El proceso comienza desde una instalación limpia de sistema Linux, sin reglas de firewall activas ni mecanismos de bloqueo automatizado. No se cuenta con herramientas de geolocalización ni scripts defensivos, lo que permite documentar cada ajuste desde su origen y evaluar su impacto de forma progresiva.

   El servicio SSH está expuesto con su configuración predeterminada, sin límites de intentos ni filtrado por país. El sistema no registra ni reacciona ante accesos fallidos, y no existen logs estructurados ni visualización de eventos.

   El objetivo de esta fase es establecer un punto de partida claro y documentado para aplicar medidas defensivas. Se busca capturar el estado original del sistema, identificar carencias básicas y preparar el entorno para la implementación progresiva de un firewall reactivo con geolocalización.

   

2. Fase 1: Instalación de herramientas

   • Creación del entorno de trabajo:

   mkdir -p ~/proyectos/geo-firewall

   cd ~/proyectos/geo-firewall

   • Actualización del sistema:

   sudo apt update -y

   sudo apt upgrade -y

   • Instalación de geoip-bin para consultas locales:

   sudo apt install geoip-bin

   • Prueba de geolocalización:

   geoiplookup 8.8.8.8

   • Verificación de intentos SSH en /var/log/auth.log
   • Creación y edición del script geo-block.sh con lógica de detección y bloqueo
   • Asignación de permisos de ejecución:

   chmod +x geo-block.sh

   

3. Fase 2: Ejecución y pruebas

   • Simulación de intentos fallidos desde IP local
   • Ejecución del script:

   sudo ./geo-block.sh

   • Verificación de bloqueos en iptables -L y logs/blocked.log
   • Visualización de los últimos registros:

   tail -n 5 logs/blocked.log

   • Notificación local (opcional):

   notify-send "geoFirewall"

   "Blocked $IP from $COUNTRY"

   

4. Fase 3: Validación y trazabilidad

   Se ha verificado que las reglas DROP se aplican correctamente en iptables, y que el log blocked.log contiene entradas con fecha, IP, país y motivo del bloqueo. Esto permite auditar el comportamiento del sistema y ajustar los umbrales si es necesario.

   

Resultado:

El sistema ahora detecta intentos fallidos de acceso SSH, identifica el país de origen de cada IP mediante GeoIP y bloquea automáticamente aquellas que superan el umbral configurado y no pertenecen a España. Cada acción queda registrada en un log estructurado, lo que permite trazabilidad, revisión y mejora continua.

El script geo-block.sh se ejecuta localmente, sin depender de servicios externos, y aplica reglas DROP en iptables de forma dinámica. El archivo blocked.log documenta cada evento con fecha, IP, país y motivo del bloqueo.

Se ha validado el funcionamiento mediante simulaciones locales, visualización de logs y revisión de reglas activas en el firewall. El sistema es ligero, reproducible y ampliable, y puede integrarse con herramientas como Grafana o Suricata para visualización y detección avanzada.

Conclusiones y Recomendaciones Finales:

El sistema ha evolucionado desde una configuración básica y expuesta a una solución defensiva automatizada capaz de bloquear IPs maliciosas en tiempo real. El script reactivo con GeoIP permite filtrar accesos por país y comportamiento, reforzando el servicio SSH sin depender de herramientas externas.

• Aplicación de buenas prácticas: Se ha implementado un sistema de bloqueo reactivo por IP y país, con trazabilidad en logs y reglas iptables verificables.
• Auditoría local: Se ha utilizado auth.log como fuente principal para detectar intentos fallidos y geoiplookup para filtrar por país.
• Firewall activo: Las reglas iptables se actualizan dinámicamente, bloqueando IPs agresivas sin afectar la disponibilidad del servicio.
• Compromiso personal: Aunque ningún sistema está exento de ataques, este entorno ha sido reforzado con convicción y se recomienda aplicar estas prácticas como base de cualquier sistema expuesto.

Este ejercicio no solo mejora la postura defensiva del sistema, sino que refleja una cultura de prevención y respuesta que debería ser estándar en cualquier entorno administrado.

📌Nota: Este proyecto no termina aquí, se contempla la integración futura con herramientas como Grafana para visualización de eventos y Suricata para detección avanzada. La mejora continua es parte del compromiso con la ciberseguridad aplicada.

Siguiente práctica técnica →