Funcionamiento

Firewall del proyecto: permitir y bloquear por IP y puerto

Quien registró la cuenta es el dueño y ya tiene acceso total. El sitio nace abierto: HTTP 80 y HTTPS 443 aceptan a cualquier visitante. No hace falta abrir una solicitud para “liberar el sitio”. En el panel, en Proyecto → Firewall, cierre puertos o restrinja IPs cuando quiera.

El firewall decide quién llega a su app desde internet. Funciona como el de un servidor: cada regla tiene acción (Permitir o Bloquear), origen (IP o rango), protocolo (TCP), puerto y una etiqueta libre para recordar el motivo. No es un WAF: no inspecciona el contenido.

Los puertos que llegan a la app son 443 (HTTPS) y 80 (HTTP). Los demás puertos del contenedor ya están cerrados a internet y no necesitan regla. Los clientes no tienen acceso SSH a los servidores y eso no se controla aquí.

1. Antes de abrir una solicitud

   Si el sitio no abre para alguna IP, o quiere restringir quién accede, abra el proyecto → Firewall. Las reglas predeterminadas ya dejan 80 y 443 abiertos. Cierre un puerto o limite el origen usted mismo; el soporte no necesita hacerlo por usted.

2. Reglas predeterminadas

   Todo proyecto empieza con dos reglas: Permitir 443 (HTTPS) y Permitir 80 (HTTP) desde 0.0.0.0/0 y ::/0, es decir, cualquier IP. Es el mínimo para que el sitio abra. A partir de ahí agrega bloqueos o cambia el origen para restringir. Si borra la regla de un puerto, sigue abierto: el sitio nunca cae por falta de regla.

3. Permitir cierra el resto

   Cuando un puerto tiene al menos una regla Permitir, solo entran los orígenes permitidos; el resto recibe 403 (Prohibido). Para abrir a todos, permita 0.0.0.0/0 (cualquier IPv4) y ::/0 (cualquier IPv6).

4. Bloquear siempre gana

   Una regla Bloquear quita ese origen aunque otra regla lo permita. Ejemplo: Permitir 0.0.0.0/0 y ::/0 en 443 y Bloquear 45.10.20.0/24 deja el sitio abierto para todos menos ese rango.

5. Puerto 80 y 443

   Elija 443 (HTTPS), 80 (HTTP) o ambos. El 80 solo redirige al 443, así que basta restringir el 443. La renovación automática del certificado sigue funcionando con cualquier regla.

6. Se aplica en segundos

   Al guardar, la regla se aplica en el enrutador delante de la app en pocos segundos, sin nueva publicación. La parte superior muestra si se aplicó y cuándo. Pausar una regla la desactiva sin borrarla.

7. Cuenta la IP del visitante

   El tráfico pasa por la red interna de Devora antes de la app. El firewall ignora esos saltos internos y lee la IP real del visitante. Un encabezado X-Forwarded-For falsificado no engaña a la regla. El botón Mi IP agrega la dirección con la que usa el panel ahora.

• Orígenes aceptados: IPv4 (200.10.20.30), rango IPv4 (200.10.20.0/24), IPv6 (2001:db8::1) y rango IPv6 (2001:db8::/32). Hasta 50 orígenes por regla y 50 reglas por proyecto.
• Quién puede cambiarlo: roles Developer, Admin y Owner, o un rol personalizado con el permiso Gestionar firewall. Ver firewall solo consulta.
• Cada regla creada, cambiada o eliminada queda en el Historial de la organización con quién, cuándo y desde qué IP.
• Cuidado al permitir solo la oficina: quien esté fuera de esa red (móvil en 4G, de viaje) no abre el sitio. Agregue esas IPs.
• El puerto público de la base de datos aún no se controla en esta pantalla; el acceso externo a la base se activa en Bases de datos.
• Al abrir un ticket sobre el firewall, indique la etiqueta de la regla, la IP que no puede acceder y el mensaje de la parte superior de la pantalla Firewall.
• Quien se registró ya tiene el sitio en línea: las reglas predeterminadas Allow 80 y 443 desde cualquier IP ya aplican. Las restricciones son opcionales y se hacen en el panel.