crowdsec-unifi-bouncer
Instalador oficial para el bouncer de CrowdSec en dispositivos UniFi OS (UDM, UDM SE, UDR). Garantiza persistencia tras actualizaciones de firmware y reprovisionamiento del controlador mediante scripts de arranque automáticos.
Ficha actualizada 25 sept 2026, 3:47 · upstream 25 sept 2026, 3:39 · release v2.5.4
Qué es crowdsec-unifi-bouncer
Descripción editorial construida a partir del repositorio, su documentación y sus señales de mantenimiento.
Este proyecto resuelve dos problemas críticos en la implementación de CrowdSec en hardware UniFi: la falta de persistencia y la gestión de capacidad. El bouncer oficial funciona, pero las actualizaciones de firmware borran las reglas iptables y los servicios systemd, dejando el sistema sin protección hasta que se reinstale manualmente. crowdsec-unifi-bouncer automatiza esta recuperación mediante ganchos en on_boot.d y scripts que restauran el estado tras cada actualización.
Además, incluye un proxy sidecar opcional que prioriza las decisiones de bloqueo. Dado que los dispositivos UniFi tienen límites estrictos en ipset (desde 15K hasta 80K entradas según el modelo), el sidecar evalúa más de 7 factores para filtrar solo las amenazas más relevantes, evitando que la lista se sature con IPs de bajo riesgo.
La herramienta también habilita reglas LOG en iptables para hacer visibles los paquetes descartados, permitiendo a CrowdSec detectar patrones como escaneos de puertos y reportar abusos a AbuseIPDB. Incluye métricas Prometheus y dashboards Grafana para monitorización.
- Proteger redes domésticas o pequeñas empresas con hardware UniFi contra ataques DDoS y IPs maliciosas usando inteligencia colectiva.
- Mantener el bouncer activo automáticamente tras actualizaciones de firmware sin intervención manual.
- Optimizar el uso de memoria en dispositivos limitados filtrando las 120K+ decisiones del LAPI mediante un proxy sidecar inteligente.
- Contribuir a la inteligencia de amenazas global reportando IPs locales bloqueadas a AbuseIPDB automáticamente.
- Persistencia automática tras actualizaciones de firmware UniFi OS gracias a on-boot-script-2.x.
- Proxy sidecar opcional que prioriza decisiones de bloqueo en función de severidad, frescura y recidividad.
- Métricas Prometheus integradas para monitorizar el llenado de ipset y efectividad del bouncer.
- Reglas LOG automáticas para visibilizar tráfico descartado y habilitar detección de escaneos.
- Soporte nativo para dispositivos Enterprise (80K), Pro (50K) y Consumer (15K) con límites seguros.
- Instalación en una línea mediante curl | bash sin dependencias externas complejas.
- Solo soporta IPv4 actualmente; el soporte para IPv6 está programado para la versión v2.6.
- La recuperación automática tras actualizaciones de firmware se encuentra en estado beta (v2.5.4).
- Dispositivos UX y UXG-Lite no son compatibles con el bouncer.
- Requiere acceso SSH como root al dispositivo UniFi para la instalación inicial.
- El proxy sidecar es opcional; sin él, el bouncer puede saturarse si el LAPI envía muchas decisiones.
Perfil de infraestructura
Estimación inicial derivada del repositorio y de los servicios detectados.
Despliegue detectado
Qué señales reales de instalación hemos encontrado.
Instalar mediante curl | bash en un terminal SSH con permisos root. Configurar api_url y api_key en /data/crowdsec-bouncer/crowdsec-firewall-bouncer.yaml. Para recuperación automática tras actualizaciones, instalar on-boot-script-2.x y ejecutar el instalador nuevamente para generar el script de arranque. Verificar estado con systemctl status crowdsec-firewall-bouncer.
Stack y dependencias
Componentes inferidos a partir de manifests, configuración y documentación.
Puede sustituir a
Relaciones detectadas por el análisis del repositorio y su categoría.
Experiencia real de la comunidad
Ayuda a contrastar la estimación automática con instalaciones reales.
Todavía no hay datos comunitarios para este proyecto.