GeoIP en GFI KerioControl: qué es, cuándo utilizarlo y cómo configurarlo
Bloquear conexiones según su país de origen puede reducir tráfico innecesario y limitar parte de la superficie de exposición de tu firewall. Sin embargo, GeoIP debe configurarse con criterio: bloquear más países no significa automáticamente tener una red más segura.
La función GeoIP permite a GFI KerioControl relacionar una dirección IP pública con una ubicación geográfica. De esta forma, esa información puede utilizarse para controlar determinadas conexiones.
Por ejemplo, una empresa que opera principalmente en México podría decidir que algunos servicios publicados en Internet no necesitan recibir conexiones procedentes de ciertas regiones.
Por tanto, el objetivo no es sustituir al firewall, al sistema de prevención de intrusiones ni a otras capas de seguridad. Su función es reducir exposición y tráfico innecesario.
¿Qué es GeoIP en KerioControl?
Mediante una base de datos de geolocalización, GeoIP asocia una dirección IP con un país. KerioControl puede aprovechar esa información para identificar la ubicación relacionada con conexiones entrantes y salientes.
Además, esa información puede utilizarse como criterio dentro de determinadas políticas de seguridad y reglas de tráfico.
Es posible restringir conexiones procedentes de ubicaciones con las que la organización no necesita comunicarse.
Los grupos GeoIP pueden incorporarse a las reglas de tráfico para crear políticas más específicas.
El administrador puede consultar el país asociado con el origen o destino de determinadas conexiones.
Una política geográfica bien diseñada puede reducir conexiones que no tienen una justificación para la operación del negocio.
¿Conviene bloquear países completos?
La respuesta depende de las necesidades reales de cada empresa. Aunque una organización no tenga clientes en determinado país, eso no significa que pueda bloquear todo el tráfico relacionado con esa ubicación sin analizarlo antes.
Por ejemplo, algunos servicios cloud, proveedores, usuarios que viajan, redes de distribución de contenido o plataformas externas pueden generar conexiones desde regiones que inicialmente no habías considerado.
Por esta razón, conviene analizar el comportamiento de la red antes de aplicar restricciones demasiado amplias.
Antes de bloquear un país, pregúntate:
- ¿Tenemos clientes, proveedores o empleados en esa ubicación?
- ¿Algún usuario viaja y necesita conectarse mediante VPN?
- ¿Nuestros servicios cloud pueden utilizar infraestructura ubicada allí?
- ¿Existe una razón real para aceptar conexiones desde ese país?
- ¿Tenemos forma de detectar rápidamente un bloqueo incorrecto?
Dos formas de utilizar GeoIP en KerioControl
KerioControl permite aplicar control geográfico de dos maneras. Aunque ambos métodos utilizan información GeoIP, su comportamiento no es exactamente el mismo.
Por ello, elegir el método correcto evita problemas posteriores, especialmente cuando se necesitan excepciones.
GeoIP Filter global
Este método está pensado para bloquear todas las conexiones entrantes procedentes de los países seleccionados.
En consecuencia, resulta sencillo de configurar, aunque también es más restrictivo.
Grupos GeoIP + reglas de tráfico
En este caso, los países se utilizan como grupos de direcciones dentro de las reglas normales del firewall.
Así es posible crear excepciones y políticas mucho más específicas.
Si necesitas permitir determinadas direcciones, utiliza grupos GeoIP dentro de las reglas de tráfico y coloca primero la regla específica de permiso.
Cómo bloquear completamente tráfico entrante de un país
Si confirmaste que no necesitas aceptar conexiones procedentes de determinada ubicación, puedes utilizar el filtro GeoIP global.
Antes de hacerlo, conviene realizar una copia de seguridad de la configuración y verificar que no existan usuarios, proveedores o servicios legítimos relacionados con ese país.
Accede a GeoIP Filter
En la administración de KerioControl ve a:
Security Settings → GeoIP Filter
Activa el bloqueo
Después, habilita la opción Block incoming traffic from the following countries.
Selecciona los países
A continuación, pulsa Add y selecciona solo los países cuyo tráfico entrante quieras bloquear completamente.
Aplica la configuración
Finalmente, confirma la selección y pulsa Apply. A partir de ese momento, KerioControl aplicará el bloqueo correspondiente.
Cómo utilizar GeoIP con excepciones y lista de permitidos
Algunas empresas necesitan bloquear un país en términos generales, pero conservar acceso desde determinadas direcciones IP.
En ese escenario, el filtro global no es la opción adecuada. Resulta más flexible utilizar grupos de direcciones GeoIP dentro de las reglas de tráfico.
De esta forma, primero puedes autorizar las excepciones y después aplicar la restricción general.
Crea el grupo GeoIP
Empieza creando un grupo de direcciones IP basado en GeoIP. Después, selecciona el país o conjunto de países que quieres controlar.
Crea la lista de direcciones permitidas
A continuación, crea otro grupo con las direcciones IP específicas que sí deben poder acceder.
Crea primero la regla ALLOW
- Source: grupo de direcciones permitidas
- Destination: firewall o servidor correspondiente
- Action: Allow
Crea después la regla de bloqueo
- Source: grupo GeoIP del país
- Destination: firewall o servidor correspondiente
- Action: Drop o Deny
GeoIP y GFI AppManager
GFI AppManager también permite crear grupos de direcciones IP utilizando presets GeoIP y posteriormente utilizarlos en KerioControl.
Esta opción puede resultar especialmente útil para proveedores de servicios o administradores que gestionan varios firewalls KerioControl desde una plataforma centralizada.
Sin embargo, AppManager ya no es la única alternativa para crear este tipo de grupos.
Cómo comprobar que GeoIP está funcionando
Una vez aplicada la configuración, conviene verificar el resultado antes de dar el cambio por terminado.
Active Connections
En: Status → Active Connections puedes mostrar las columnas:
- Source Country
- Destination Country
Gracias a estas columnas puedes identificar visualmente el país asociado con las direcciones IP de las conexiones activas.
Debug Log
Si necesitas revisar con mayor detalle los paquetes bloqueados, utiliza:
Logs → Debug → Messages
Después, habilita temporalmente los mensajes relacionados con GeoIP y paquetes descartados.
Buenas prácticas antes y después de activar GeoIP
Una configuración prudente suele dar mejores resultados que un bloqueo amplio aplicado sin análisis previo.
Por ello, recomendamos trabajar de forma gradual y documentar cada cambio realizado.
- Realiza un respaldo de la configuración antes de hacer cambios importantes.
- No bloquees decenas de países únicamente porque no tengas clientes allí.
- Empieza con una política limitada y amplíala después de observar los resultados.
- Identifica previamente proveedores, usuarios remotos y servicios cloud.
- Utiliza grupos GeoIP y reglas de tráfico cuando necesites excepciones.
- Revisa los logs durante los primeros días.
- Documenta los países bloqueados y la razón de cada restricción.
- Revisa periódicamente que las reglas sigan teniendo sentido para el negocio.
Errores frecuentes al configurar GeoIP
Aunque GeoIP es relativamente sencillo de configurar, algunos errores pueden generar bloqueos inesperados o una falsa sensación de seguridad.
Conclusión: GeoIP debe reducir riesgo, no crear problemas
El control geográfico puede ser útil cuando existe una razón clara para limitar conexiones según su ubicación.
No obstante, una buena estrategia no consiste en bloquear el mayor número posible de países. Lo importante es identificar qué conexiones necesita realmente el negocio y aplicar el nivel de restricción adecuado.
Para escenarios sencillos, el GeoIP Filter proporciona un bloqueo global de tráfico entrante. Por otro lado, cuando se requieren excepciones, los grupos GeoIP dentro de las reglas de tráfico ofrecen mucho mayor control.
Finalmente, recuerda que GeoIP debe formar parte de una estrategia más amplia de seguridad. Su verdadero valor aparece cuando se combina con buenas reglas de firewall, prevención de intrusiones, actualizaciones y una correcta administración de accesos.
Preguntas frecuentes sobre GeoIP en KerioControl
¿GeoIP bloquea también el tráfico saliente?
El GeoIP Filter global está orientado al bloqueo de conexiones entrantes. En cambio, si quieres restringir conexiones salientes hacia determinados países, puedes hacerlo mediante grupos GeoIP y reglas de tráfico.
¿Puedo permitir una IP de un país que tengo bloqueado?
Sí. Sin embargo, si necesitas excepciones no debes depender del bloqueo global para ese país. En ese caso, utiliza grupos GeoIP en las reglas de tráfico y coloca la regla ALLOW de la IP autorizada antes de la regla general de bloqueo.
¿Necesito GFI AppManager para crear grupos GeoIP?
No necesariamente. KerioControl 9.4.5 p1 y versiones posteriores permiten crear presets GeoIP en grupos de direcciones IP desde la interfaz local. AppManager, por su parte, sigue siendo útil cuando se busca administración centralizada.
¿GeoIP sustituye al IPS de KerioControl?
No. GeoIP aplica criterios geográficos a las conexiones, mientras que el sistema de prevención de intrusiones analiza tráfico en busca de patrones asociados con amenazas. Por tanto, son capas distintas y complementarias.
¿Bloquear más países hace más seguro mi firewall?
No necesariamente. Aunque puede reducir parte de la superficie de exposición, un bloqueo excesivo también puede afectar servicios legítimos. Por esta razón, la política debe responder a las necesidades reales de la organización.
¿No sabes qué configuración necesita tu empresa?
En InterDepot te ayudamos a revisar y configurar GFI KerioControl de acuerdo con los servicios, usuarios y riesgos reales de tu organización. Primero analizamos la necesidad y, después, definimos la configuración adecuada.
