Gestionar firewall en Syspanel: Bloquear IPs y reglas

¿Qué es el firewall en Syspanel y por qué debería importarte?

Si tienes un servidor, ya sea para alojar una web, una tienda online o una aplicación, la seguridad es una de tus mayores preocupaciones. El firewall es tu primera línea de defensa. Piensa en él como un portero muy estricto que decide quién puede entrar y quién debe quedarse fuera de tu servidor.

En Syspanel, el panel de control que incluye la gestión de tu servidor (y que recuerda a otros paneles como HestiaCP, pero con su propia identidad), tienes una herramienta integrada para gestionar este portero de forma gráfica y sencilla. No necesitas ser un experto en líneas de comandos para proteger tu máquina.

En este artículo, te voy a explicar paso a paso cómo gestionar el firewall en Syspanel, centrándonos en dos acciones fundamentales: bloquear IPs y crear reglas personalizadas. Al final, serás capaz de blindar tu servidor contra accesos no deseados.

¿Cómo accedo a Syspanel? Es muy fácil. Solo tienes que escribir en tu navegador la dirección de tu servidor seguida del puerto 2106. Por ejemplo: https://tu-dominio.com:2106. Ahí iniciarás sesión con tus credenciales de administrador.

Localizando el módulo de Firewall

Una vez dentro de Syspanel, el primer paso es encontrar el apartado de Firewall. Normalmente, lo encontrarás en el menú lateral izquierdo o en el panel principal de "Servidor".

Busca una sección que se llame "Firewall" o "Reglas de Firewall". Al hacer clic, se abrirá una pantalla con una tabla que muestra las reglas existentes. Si es la primera vez que entras, puede que veas algunas reglas por defecto (como permitir SSH, HTTP y HTTPS). No las borres sin saber lo que haces, o podrías quedarte fuera de tu propio servidor.

Gestionando IPs Bloqueadas: El arte de decir "No"

La función más común y práctica del firewall es bloquear IPs específicas. Esto es útil cuando detectas intentos de acceso sospechosos, ataques de fuerza bruta o simplemente quieres restringir el acceso a ciertas zonas geográficas o a un usuario conflictivo.

¿Cómo sé qué IP bloquear?

Antes de bloquear, asegúrate de que la IP que quieres bloquear es realmente la correcta. A veces, los atacantes usan redes de bots (botnets) y la IP cambia constantemente. Sin embargo, bloquear una IP concreta es un buen primer paso para disuadir ataques puntuales.

Puedes ver los intentos de acceso fallidos en los logs de Syspanel (sección "Registros" o "Logs"). Si ves una IP que intenta entrar una y otra vez con contraseñas incorrectas, es una candidata perfecta para el bloqueo.

Pasos para bloquear una IP en Syspanel

Ve a la sección "Firewall".
Busca el botón que dice "Agregar Regla" o "Añadir IP". Suele estar en la esquina superior derecha.
Se abrirá un formulario. Aquí es donde debes prestar atención:
- Acción: Selecciona "Denegar" o "Rechazar". La diferencia es sutil: "Denegar" envía un mensaje de error al que intenta conectar, mientras que "Rechazar" simplemente ignora la petición (hace que parezca que el servidor no existe). Para máxima seguridad, te recomiendo "Rechazar".
- Protocolo: Normalmente dejarás "TCP" o "Cualquiera". Si no sabes qué elegir, selecciona "Cualquiera" (o "ALL") para bloquear todo el tráfico de esa IP.
- Puerto: Si quieres bloquear solo un servicio (por ejemplo, el puerto 21 de FTP), escríbelo aquí. Si quieres bloquear toda la comunicación con esa IP, deja el puerto en blanco o selecciona "Todos".
- Dirección IP: Aquí es donde pones la IP maliciosa. Asegúrate de escribirla correctamente, con sus cuatro números separados por puntos (ej. 123.456.789.10).
Haz clic en "Guardar" o "Añadir".

¡Listo! A partir de ese momento, esa IP no podrá comunicarse con tu servidor. Verás la nueva regla en la lista con un estado "Activo".

[TIP] Si quieres bloquear un rango de IPs (por ejemplo, todas las que van de 123.456.789.1 a 123.456.789.255), puedes usar el formato CIDR. En el campo de IP, escribe 123.456.789.0/24. Esto bloquea las 256 IPs de ese rango. Es muy práctico para bloquear países enteros si tienes acceso a las listas de rangos.

Creando Reglas Avanzadas: El control fino

Bloquear una IP es una acción puntual. Pero el firewall de Syspanel te permite crear reglas más complejas para gestionar el tráfico de forma granular. Esto es clave para la seguridad del servidor porque te permite, por ejemplo, permitir el acceso a un puerto solo desde una IP concreta (la de tu oficina) y denegarlo al resto.

Tipos de reglas que puedes crear

Permitir (Allow): Abre un puerto o un rango de IPs.
Denegar (Deny): Cierra un puerto o bloquea una IP.
Rechazar (Reject): Similar a denegar, pero envía una respuesta de "no disponible".

Ejemplo práctico: Permitir acceso a un puerto solo desde una IP

Imagina que tienes un servicio de administración (como el propio Syspanel en el puerto 2106) y no quieres que todo el mundo pueda intentar acceder a él. La regla sería:

Acción: Permitir.
Protocolo: TCP.
Puerto: 2106.
IP de Origen: La IP fija de tu casa o trabajo.
Guardar.

Después, creas una segunda regla:

Acción: Denegar.
Protocolo: TCP.
Puerto: 2106.
IP de Origen: Cualquiera (o la dejas en blanco).
Guardar.

El orden de las reglas es crucial. Syspanel aplica las reglas de arriba a abajo. La primera regla que coincida con el tráfico es la que se aplica. Por eso, la regla "Permitir" debe estar siempre por encima de la regla "Denegar". Si pones el "Denegar" primero, bloquearás a todo el mundo, incluido tú.

[WARNING] Ten mucho cuidado con el orden de las reglas. Si creas una regla "Denegar" para el puerto 22 (SSH) y la pones al principio de la lista, te bloquearás a ti mismo y no podrás acceder al servidor. Asegúrate siempre de tener una regla "Permitir" para tu propia IP por encima de cualquier bloqueo general.

Gestión de puertos comunes

Tu servidor tiene puertos estándar que deberías tener controlados. Aquí tienes una tabla rápida:

Puerto	Servicio	Regla Recomendada
21	FTP	Denegar (usa SFTP en su lugar)
22	SSH	Permitir (restringe a tu IP si puedes)
80	HTTP	Permitir (para tu web)
443	HTTPS	Permitir (para tu web con SSL)
2106	Syspanel	Permitir (restringe a tu IP si puedes)
3306	MySQL	Denegar (accede solo desde localhost)

Activando y Desactivando el Firewall

En Syspanel, puedes tener el firewall desactivado si estás haciendo pruebas, pero es fundamental tenerlo siempre activado en producción.

En la parte superior de la página de Firewall, verás un interruptor o un botón que indica el estado. Si está en rojo o dice "Desactivado", haz clic para activarlo. El firewall se aplicará al instante.

[INFO] Algunas configuraciones de servidores en la nube tienen su propio firewall externo (como el Security Group de AWS). El firewall de Syspanel es interno. Para una protección completa, es recomendable usar ambos, pero si solo tienes uno, el de Syspanel es el que te protege de ataques a nivel de sistema operativo.

Solución de problemas comunes (FAQ)

"He bloqueado mi propia IP y ahora no puedo acceder"

No entres en pánico. Esto es más común de lo que parece. Para solucionarlo:

Accede a tu servidor a través del proveedor de hosting (el panel de tu empresa de hosting, no Syspanel).
Busca una opción de "Consola" o "VNC" que te dé acceso directo al terminal del servidor, sin pasar por la red.
Una vez dentro, escribe el comando sudo iptables -D INPUT -s TU_IP -j DROP (o el comando equivalente que use Syspanel por debajo, normalmente sudo firewall-cmd --permanent --remove-rich-rule='rule family="ipv4" source address="TU_IP" drop').
Recarga el firewall con sudo systemctl restart firewalld o sudo service iptables restart.
Vuelve a entrar por la vía normal.

"He añadido una regla pero no funciona"

Esto suele ser por el orden. Revisa que la regla "Permitir" esté por encima de la "Denegar". También asegúrate de que has guardado y aplicado los cambios. En Syspanel, a veces hay que hacer clic en un botón de "Aplicar cambios" o "Recargar" para que las reglas nuevas surtan efecto.

"¿Puedo bloquear un país entero?"

Sí, pero no de forma nativa en Syspanel. Necesitarás instalar módulos adicionales como xtables-addons o geoip. Es un proceso más avanzado que requiere acceso SSH. Si necesitas esto, te recomiendo buscar tutoriales específicos para tu sistema operativo (Ubuntu, Debian, CentOS).

"¿El firewall de Syspanel protege contra DDoS?"

El firewall de Syspanel es un firewall de filtrado de paquetes. Puede mitigar ataques DDoS pequeños (como SYN floods) si configuras límites de conexión, pero no es un sustituto de un servicio anti-DDoS profesional como Cloudflare o el que ofrezca tu proveedor de hosting.

Consejos finales para una seguridad de hierro

Gestionar el firewall en Syspanel es una tarea sencilla pero poderosa. No te limites a bloquear IPs cuando veas un problema; sé proactivo.

Revisa los logs semanalmente: Busca patrones de IPs que intenten acceder a puertos extraños.
Usa contraseñas fuertes: El firewall no te salva de tener una contraseña débil en tu panel o en SSH.
Mantén el sistema actualizado: Las actualizaciones de seguridad son vitales. Un firewall no puede protegerte contra vulnerabilidades del propio sistema operativo.
Cambia el puerto SSH: Si mueves el SSH del puerto 22 al 2222, reducirás drásticamente los ataques automáticos. Puedes hacerlo con una regla en Syspanel si el panel te lo permite, o editando el archivo sshd_config.

Dominar el firewall es un paso esencial para tomar el control total de tu servidor. Con estas herramientas, ya no eres un simple espectador, sino el guardián de tu propio castillo digital. Explora la interfaz, familiarízate con las opciones y, ante la duda, recuerda la regla de oro: bloquea todo lo que no necesites y permite solo lo imprescindible.