Aislar el servidor de la red

• Búsqueda web con IA
• Conexiones MCP
• Integraciones de bases de datos que requieren acceso a internet (por ejemplo: Google BigQuery, Snowflake, etc.)

• Deshabilitar temporalmente el firewall, ejecutar la actualización y volver a habilitarlo
• Pasar a un procedimiento de instalación completamente aislado tal como se describe aquí

​

Configuración de UFW

sudo ufw enable --force

​

Registro

# Habilitar el registro para supervisar el tráfico bloqueado/permitido
sudo ufw logging low
sudo ufw enable --force

Nota: El registro de UFW captura la actividad del firewall y es obligatorio para la mayoría de los marcos de cumplimiento de seguridad (SOC 2, ISO 27001, NIS2). El nivel low registra todos los paquetes bloqueados y las infracciones de políticas; esto es suficiente para auditoría y respuesta ante incidentes sin generar un volumen excesivo de ruido por el tráfico permitido habitual. Los registros los escribe el kernel y normalmente aparecen en una o varias de las siguientes ubicaciones, según la configuración de su sistema:

• /var/log/ufw.log — cuando rsyslog está activo (predeterminado en Ubuntu)
• /var/log/syslog — como alternativa o junto con ufw.log en algunas configuraciones
• Accesibles mediante sudo journalctl -k | grep UFW en sistemas basados en systemd

Recomendamos verificar qué ubicación está activa en su sistema después de habilitar el registro.

​

Reglas genéricas

# Permitir SSH (entrada y salida), ¡de lo contrario podrías bloquearte el acceso!
sudo ufw allow ssh
sudo ufw allow out ssh

# Establecer políticas por defecto: permitir tráfico entrante, denegar tráfico saliente
# Necesario para que el workspace siga funcionando mientras se bloquea
# el acceso a internet
sudo ufw default allow incoming
sudo ufw default deny outgoing

# Permitir tráfico de loopback, para k8s y servicios locales
sudo ufw allow in on lo
sudo ufw allow out on lo

# Comunicación interna de k8s
sudo ufw allow in from 10.0.0.0/8
sudo ufw allow out to 10.0.0.0/8

for ns in $(awk '/^nameserver/ {print $2}' /etc/resolv.conf); do
    sudo ufw allow out to $ns port 53
done

​

Reglas para Google Single Sign-On (SSO)

google_rules=$(
curl -s https://www.gstatic.com/ipranges/goog.json \
| jq -r '.prefixes[]
         | select(.ipv4Prefix)
         | "sudo ufw allow out to \(.ipv4Prefix) port 443"'
)
# Y las aplica
eval "$google_rules"

​

Reglas para Microsoft Entra

• Descarga la lista actual de rangos IP de Microsoft desde aquí
• Copia el archivo ServiceTags_Public_YYYYMMDD.json a tu servidor
• Ejecuta el siguiente script para generar y aplicar las reglas UFW necesarias:

# Reemplaza ServiceTags_Public_YYYYMMDD.json con el nombre real del archivo
microsoft_rules=$(
jq -r '[.values
| map(select(.id=="AzureActiveDirectory"
or .id=="AzureActiveDirectory.ServiceEndpoint"
or .id=="AzureActiveDirectoryDomainServices"))
| .[].properties.addressPrefixes]
| flatten[]
| "sudo ufw allow out to \(.) port 443"' ServiceTags_Public_20260119.json
)
# Y las aplica
eval "$microsoft_rules"

​

Reglas genéricas para otros servicios

nslookup mcp.tu-servidor-mcp.com
# o
dig mcp.tu-servidor-mcp.com +short