Coexistencia con otras herramientas de seguridad
Cómo funciona InfraFence junto a CSF y lfd, Imunify360, ImunifyAV, cPHulk, fail2ban, CrowdSec, BitNinja, Monarx, firewalld, ufw, Plesk Firewall y ModSecurity, herramienta por herramienta.
Última actualización:
La mayoría de los servidores ya tienen algo funcionando. InfraFence está pensado para convivir con ello: todas sus reglas están en sus propias cadenas y conjuntos (INFRAFENCE, INFRAFENCE-RULES, INFRAFENCE-PORTS, INFRAFENCE-EGRESS), y nunca modifica, vacía ni reordena las reglas de otra herramienta. Si la recarga de otra herramienta (ufw reload, firewall-cmd --reload, csf -r, netfilter-persistent, iptables-restore) elimina su salto, el agente lo vuelve a poner en menos de un minuto.
El agente detecta estas herramientas en modo de solo lectura, y la pantalla Coexistencia de los plugins para paneles las muestra. Cuando otra herramienta activa gestiona el firewall, InfraFence trabaja en modo coexist; si no, es primary.
| Herramienta | Qué hace InfraFence junto a ella |
|---|---|
| CSF (ConfigServer Firewall) | Mantiene su propia cadena y nunca modifica csf.conf, csf.allow ni csf.deny. Después de csf -r restaura solo su propio salto. Los puertos de CSF solo cambian cuando lo pides desde el panel. |
| lfd (Login Failure Daemon) | Los dos leen los mismos logs y bloquean por su cuenta: los bloqueos de lfd se quedan en CSF y los de InfraFence en su propio conjunto. |
| Imunify360 | No toca el firewall, los ipsets ni el WAF de Imunify360 y se limita a su propia cadena; los dos bloquean de forma independiente. |
| ImunifyAV | Los dos escanean archivos. InfraFence nunca borra ni mueve un archivo por su cuenta: cuarentena solo si se pide. |
| cPHulk | cPHulk bloquea los inicios de sesión del panel y de los servicios; InfraFence lee los mismos logs y bloquea en el firewall. cPHulk no se modifica. |
| fail2ban | Compatible: los dos solo descartan tráfico. InfraFence no toca las cadenas de fail2ban. |
| CrowdSec | Compatible: los dos solo descartan tráfico. InfraFence no toca las reglas de CrowdSec. |
| Plesk Firewall | Plesk reescribe sus reglas cuando aplicas cambios; InfraFence nunca las modifica y restaura solo su propia cadena en menos de un minuto. |
| BitNinja | No toca el firewall ni el WAF de BitNinja y se limita a su propia cadena; los dos bloquean de forma independiente. |
| Monarx | Los dos escanean archivos. InfraFence nunca borra ni mueve un archivo por su cuenta: cuarentena solo si se pide. |
| firewalld | Mantiene sus propias reglas; la cadena de InfraFence es independiente y se restaura en menos de un minuto tras una recarga. |
| ufw | InfraFence salta a su cadena antes que las reglas de ufw; una recarga de ufw se repara en menos de un minuto. |
| ModSecurity | InfraFence lee el log de auditoría de ModSecurity para las detecciones. Con un panel de hosting no añade reglas de ModSecurity: el panel gestiona la configuración del servidor web. Se listan los conjuntos de reglas encontrados (OWASP CRS, Comodo WAF, Imunify360 WAF, Atomicorp). |
Cuando una herramienta no deja de reescribir el firewall
Si el agente tiene que reparar sus cadenas varias veces seguidas, o tres o más veces en una hora, notifica un evento firewall_conflict: otra herramienta reescribe el firewall una y otra vez (ufw, firewalld, CSF, netfilter-persistent o una ejecución de gestión de la configuración). Los bloqueos siguen funcionando; el evento te dice dónde mirar.
Listas blancas
Una dirección en la lista blanca solo queda exenta de los bloqueos de InfraFence: InfraFence nunca añade un ACCEPT, así que nunca abre nada que otra herramienta haya cerrado.