Como bloquear la compartición de archivos en Transmission

Cuando usamos Transmission en un servidor, conviene diferenciar muy bien qué puerto sirve para cada cosa. No es lo mismo el puerto que utiliza Transmission para recibir conexiones de otros peers que el puerto que usamos para acceder a la interfaz web.

Si queremos bloquear la compartición de archivos en Transmission, lo que realmente debemos bloquear es el puerto de conexiones entrantes del cliente BitTorrent. En nuestro caso, ese puerto es el 4143.

Puerto de conexiones entrantes: 4143

Este puerto es el que otros peers utilizan para conectarse a nuestro Transmission. Si queremos compartir correctamente los datos del torrent, este puerto debe estar abierto en el cortafuegos y, además, debe estar redirigido desde el router hacia el servidor donde se ejecuta Transmission.

Es decir, para compartir de forma activa, normalmente necesitamos dos cosas:

• Permitir el puerto 4143 en el cortafuegos del servidor.
• Hacer port forwarding del puerto 4143 desde el router hacia el servidor.

Si lo que queremos es evitar que otros peers puedan iniciar conexiones hacia nuestro Transmission, entonces no debemos redirigir ese puerto desde el router y también podemos bloquearlo en el cortafuegos del servidor.

sudo ufw deny 4143/tcp
sudo ufw deny 4143/udp

En este escenario, Transmission podrá seguir funcionando, pero nuestro cliente no aceptará conexiones entrantes desde Internet en ese puerto. Esto reduce la capacidad de compartir y también puede afectar al rendimiento general del torrent, porque dejamos de ser un peer accesible desde fuera.

El otro puerto importante es el 9091. Este puerto no tiene que ver con la transferencia de datos del torrent, sino con la interfaz web de Transmission.

Puerto de la interfaz web: 9091

El puerto 9091 sirve para acceder al panel web de Transmission desde un navegador. Si solo vamos a acceder a Transmission desde la propia máquina donde está instalado, no necesitamos exponer este puerto fuera.

Si queremos acceder a la interfaz web desde otro equipo de la misma red local, entonces el puerto 9091 debe estar permitido en el cortafuegos para la LAN.

sudo ufw allow from 192.168.1.0/24 to any port 9091 proto tcp

Lo que no debemos hacer, salvo que tengamos una razón clara y medidas de seguridad adicionales, es redirigir el puerto 9091 desde Internet hacia el servidor. Exponer la interfaz web de Transmission a Internet suele ser mala idea si no está protegida correctamente.

Por tanto, una configuración razonable sería esta:

Puerto 4143:
- Usado para conexiones entrantes de BitTorrent.
- Solo se debe abrir si queremos compartir activamente.
- Solo se debe forwardear en el router si queremos aceptar peers desde Internet.

Puerto 9091:
- Usado para la interfaz web de Transmission.
- Se puede abrir solo para la LAN.
- No hace falta forwardearlo en el router si no vamos a acceder desde Internet.

También debemos tener en cuenta las conexiones salientes. Transmission-daemon abre conexiones hacia otros peers usando puertos dinámicos del sistema. Normalmente estos puertos locales están dentro del rango efímero, por ejemplo:

49152-65535

No debemos bloquear completamente ese rango para las conexiones salientes, porque si lo hacemos Transmission no podrá establecer conexiones correctamente con otros peers. En la práctica, si bloqueamos las conexiones salientes necesarias, no solo impediremos compartir, sino que también podemos impedir la descarga.

La diferencia importante es esta: podemos bloquear el puerto de entrada de Transmission para que no nos lleguen conexiones iniciadas desde fuera, pero no debemos bloquear a ciegas las conexiones salientes si queremos que Transmission siga descargando.

Si usamos nftables, podríamos permitir la interfaz web solo desde la LAN y bloquear el puerto entrante de BitTorrent desde fuera con una lógica similar a esta:

sudo nft add rule inet filter input ip saddr 192.168.1.0/24 tcp dport 9091 accept
sudo nft add rule inet filter input tcp dport 4143 drop
sudo nft add rule inet filter input udp dport 4143 drop

Debemos adaptar la red 192.168.1.0/24 a la red real que estemos usando. Si nuestra LAN usa otro rango, como 192.168.0.0/24 o 10.0.0.0/24, tendremos que cambiarlo.

En el router, la parte importante es no crear una redirección NAT para el puerto 4143 si no queremos aceptar conexiones entrantes de otros peers.

No forwardear hacia el servidor:
4143/tcp
4143/udp

Y si tampoco queremos acceder a la interfaz web desde Internet, tampoco debemos forwardear el puerto 9091.

No forwardear hacia el servidor:
9091/tcp

Con esto dejamos separadas las dos funciones principales: el puerto 4143 queda reservado para las conexiones entrantes de BitTorrent y el puerto 9091 queda reservado para la administración web de Transmission.

La idea práctica es simple: si queremos bloquear la compartición entrante, bloqueamos o no redirigimos el puerto 4143. Si queremos seguir pudiendo administrar Transmission desde la LAN, permitimos el puerto 9091 solo desde nuestra red local. Y si queremos que Transmission siga descargando, no bloqueamos las conexiones salientes dinámicas que necesita para comunicarse con otros peers.