<h2> El problema que nadie menciona en los tutoriales </h2> <p>La mayoría de guías de AWS te dicen: "abre el puerto 22 para conectarte por SSH" y configuran el acceso desde <code>0.0.0.0/0</code>. Eso significa que cualquier persona en internet puede intentar conectarse a tu servidor.</p> <p>Es un desastre de seguridad. Y es el punto de partida de este laboratorio.</p> <h2> ¿Qué construí? </h2> <p>Un Security Group en AWS configurado bajo el principio de <strong>Least Privilege</strong>: conceder solo los permisos mínimos necesarios. En este caso, acceso SSH restringido exclusivamente a mi IP pública.</p> <p><strong>Servicios utilizados:</strong></p> <ul> <li>VPC por defecto de AWS</li> <li>EC2 Security Groups</li> <li>AWS CLI</li> </ul> <h2> Conceptos clave antes de arrancar </h2> <p><strong>Security Group:</strong> es el firewall virtual de AWS. Controla qué tráfico puede entrar y salir de tus recursos.</p> <p><strong>CIDR /32:</strong> notación que representa una única dirección IP. Si pones <code>203.0.113.10/32</code>, solo esa IP específica tiene acceso. No el vecino. No un atacante con tu misma red.</p> <p><strong>Least Privilege:</strong> principio fundamental de seguridad. No des más permisos de los necesarios. Si alguien solo necesita leer, no le des permisos de escritura. Si solo tu IP necesita acceso SSH, no abras el puerto al mundo.</p> <h2> Paso 1: Obtener tu IP pública </h2> <div class="highlight js-code-highlight"> <pre class="highlight shell"><code>curl https://checkip.amazonaws.com </code></pre> </div> <p>Guarda ese número. Lo vas a usar en el Paso 4.</p> <h2> Paso 2: Obtener el ID de tu VPC por defecto </h2> <p>AWS crea una VPC por defecto en cada región lista para usar. La consultamos así:<br> </p> <div class="highlight js-code-highlight"> <pre class="highlight shell"><code>aws ec2 describe-vpcs <span class="se">\</span> <span class="nt">--filters</span> <span class="s2">"Name=isDefault,Values=true"</span> <span class="se">\</span> <span class="nt">--query</span> <span class="s1">'Vpcs[0].VpcId'</span> <span class="se">\</span> <span class="nt">--output</span> text </code></pre> </div> <p>Resultado esperado: algo como <code>vpc-0a1b2c3d4e5f6g7h8</code></p> <h2> Paso 3: Crear el Security Group </h2> <div class="highlight js-code-highlight"> <pre class="highlight shell"><code><span class="nv">SECURITY_GROUP_ID</span><span class="o">=</span><span class="si">$(</span>aws ec2 create-security-group <span class="se">\</span> <span class="nt">--group-name</span> <span class="s2">"proyecto-seguridad"</span> <span class="se">\</span> <span class="nt">--description</span> <span class="s2">"Security group - acceso restringido a IP específica"</span> <span class="se">\</span> <span class="nt">--vpc-id</span> <span class="si">$(</span>aws ec2 describe-vpcs <span class="se">\</span> <span class="nt">--filters</span> <span class="s2">"Name=isDefault,Values=true"</span> <span class="se">\</span> <span class="nt">--query</span> <span class="s1">'Vpcs[0].VpcId'</span> <span class="se">\</span> <span class="nt">--output</span> text<span class="si">)</span> <span class="se">\</span> <span class="nt">--query</span> <span class="s1">'GroupId'</span> <span class="se">\</span> <span class="nt">--output</span> text<span class="si">)</span> <span class="nb">echo</span> <span class="nv">$SECURITY_GROUP_ID</span> </code></pre> </div> <p>La variable <code>$SECURITY_GROUP_ID</code> almacena el ID para los siguientes comandos. Resultado esperado: <code>sg-0123456789abcdef0</code></p> <h2> Paso 4: Crear la regla de acceso — solo desde tu IP </h2> <p>⚠️ Reemplaza <code>203.0.113.10</code> con la IP que obtuviste en el Paso 1.<br> </p> <div class="highlight js-code-highlight"> <pre class="highlight shell"><code>aws ec2 authorize-security-group-ingress <span class="se">\</span> <span class="nt">--group-id</span> <span class="nv">$SECURITY_GROUP_ID</span> <span class="se">\</span> <span class="nt">--protocol</span> tcp <span class="se">\</span> <span class="nt">--port</span> 22 <span class="se">\</span> <span class="nt">--cidr</span> 203.0.113.10/32 </code></pre> </div> <p>El <code>/32</code> es lo que hace toda la diferencia. Sin él, estarías abriendo un rango de IPs. Con él, es solo la tuya.</p> <h2> Paso 5: Verificar que todo quedó bien </h2> <div class="highlight js-code-highlight"> <pre class="highlight shell"><code>aws ec2 describe-security-groups <span class="se">\</span> <span class="nt">--group-ids</span> <span class="nv">$SECURITY_GROUP_ID</span> <span class="se">\</span> <span class="nt">--query</span> <span class="s1">'SecurityGroups[0].IpPermissions'</span> <span class="se">\</span> <span class="nt">--output</span> table </code></pre> </div> <p>Deberías ver una tabla con el puerto 22, protocolo TCP, y tu IP con <code>/32</code>.</p> <h2> Limpieza </h2> <p>Siempre elimina los recursos cuando termines para evitar cargos inesperados:<br> </p> <div class="highlight js-code-highlight"> <pre class="highlight shell"><code>aws ec2 delete-security-group <span class="nt">--group-id</span> <span class="nv">$SECURITY_GROUP_ID</span> </code></pre> </div> <h2> Lo que aprendí </h2> <p>El mayor aprendizaje no fue el comando en sí, sino entender <strong>por qué</strong> el <code>/32</code> importa. La diferencia entre <code>0.0.0.0/0</code> y <code>tu-ip/32</code> es la diferencia entre dejar la puerta abierta a internet y entregarle una llave solo a quien la necesita.</p> <p>Eso es Least Privilege en la práctica. No es un concepto abstracto de libro, es una decisión de un comando.</p> <p><em>Este es el primer laboratorio de mi Road to DevOps. Cada semana voy a documentar lo que aprendo — sin filtros, con los errores incluidos.</em></p>