OpenBSD mantiene su legendaria trayectoria en seguridad. Con solo dos agujeros remotos en la instalación por defecto en más de 28 años, sigue siendo inigualable para despliegues críticos. Esta guía cubre una configuración PF lista para producción.
Por qué OpenBSD en lugar de Linux para cortafuegos
OpenBSD incluye protección de memoria W^X, stack protector, ASLR, LibreSSL (fork endurecido de OpenSSL) y restricciones syscall pledge/unveil — todo activado por defecto. Sin módulos de kernel que explotar, superficie de ataque mínima.
Configuración del cortafuegos PF
# /etc/pf.conf — Producción OpenBSD 7.6
ext_if = "em0"
int_if = "em1"
table <bruteforce> persist
block all
pass in quick on lo0 all
# Bloquear fuerza bruta
block quick "kw">from <bruteforce>
pass in on $ext_if proto tcp to port 443 modulate state
pass in on $ext_if proto tcp to port 22 \
flags S/SA keep state \
(max-src-conn 3, max-src-conn-rate 3/60, \
overload <bruteforce> flush global)