Configurar SSH en Syspanel | Acceso seguro al servidor

¿Por qué es importante configurar el acceso SSH en Syspanel?

El acceso SSH (Secure Shell) es la puerta de entrada a tu servidor. Cuando usas Syspanel como panel de control, esta puerta ya viene abierta por defecto, pero con la configuración estándar. Eso es como dejar la llave puesta en la cerradura de tu casa: funciona, pero no es lo más seguro del mundo.

Configurar el acceso SSH en Syspanel de forma segura no es un lujo, es una necesidad. Cada día se registran millones de intentos de acceso no autorizado a servidores en todo el mundo. Los bots automatizados escanean la red constantemente buscando puertos abiertos con contraseñas débiles. Si no tomas medidas, tu servidor podría convertirse en parte de una botnet, ser víctima de ransomware o simplemente perder datos importantes.

La buena noticia es que no necesitas ser un experto en Linux para proteger tu servidor. Con esta guía paso a paso, aprenderás a configurar SSH en Syspanel de manera segura, incluso si es tu primera vez con administración de servidores. Al final, tendrás un acceso SSH robusto, difícil de vulnerar y fácil de mantener.

¿Qué es Syspanel y cómo se relaciona con SSH?

Antes de entrar en materia, aclaremos un punto importante. Syspanel es un panel de control web para servidores Linux que te permite gestionar dominios, bases de datos, correos electrónicos y usuarios desde una interfaz gráfica. Es una herramienta muy completa, pero el acceso SSH es independiente de ella: funciona a nivel del sistema operativo.

Cuando hablamos de "configurar ssh syspanel", nos referimos a dos cosas:

Configurar el servicio SSH del servidor (que es donde Syspanel corre).
Configurar el acceso desde Syspanel para gestionar usuarios y permisos.

En Syspanel, el acceso SSH se gestiona desde la sección de usuarios del sistema. Ahí puedes crear usuarios con permisos específicos, asignarles carpetas de trabajo y decidir si pueden usar shell o solo SFTP para transferencia de archivos.

El puerto por defecto para el acceso web de Syspanel es el 2106, pero el servicio SSH propiamente dicho usa el puerto 22 por defecto en la mayoría de las distribuciones Linux. Vamos a cambiar eso por seguridad.

Primeros pasos: accede a tu servidor por primera vez

Para empezar, necesitas acceder a tu servidor. Si es la primera vez que lo haces, probablemente recibiste un correo con las credenciales de acceso. El usuario suele ser root o un usuario administrador que creaste durante la instalación.

Abre tu terminal (en Windows puedes usar PowerShell, en Mac o Linux la terminal nativa) y escribe:

ssh root@tu-ip-del-servidor

Te pedirá la contraseña. Escríbela y pulsa Enter. Ya estás dentro. Ahora vamos a asegurar ese acceso.

Cambia el puerto SSH por defecto

El puerto 22 es el más conocido y el primero que atacan los bots. Cambiarlo a un puerto no estándar reduce drásticamente los intentos de acceso automatizados. Es una medida simple pero muy efectiva.

Paso 1: Edita el archivo de configuración de SSH

Ejecuta el siguiente comando:

sudo nano /etc/ssh/sshd_config

Paso 2: Busca la línea del puerto

Localiza la línea que dice:

#Port 22

Descoméntala (elimina el #) y cambia el número por uno que no uses. Por ejemplo, el puerto 22022 o 54321. Asegúrate de que el puerto elegido no esté en uso por otro servicio.

Port 54321

Paso 3: Guarda y reinicia el servicio

Guarda el archivo con Ctrl + O, luego Ctrl + X para salir. Ahora reinicia el servicio SSH:

sudo systemctl restart sshd

[WARNING] IMPORTANTE: No cierres la sesión actual hasta que verifiques que puedes conectarte con el nuevo puerto. Si algo falla, te quedarías fuera del servidor. Abre una segunda terminal y prueba: ssh -p 54321 root@tu-ip. Si funciona, ya puedes cerrar la primera sesión.

Desactiva el acceso root por SSH

El usuario root tiene privilegios absolutos. Si un atacante consigue acceder como root, tiene el control total de tu servidor. Por eso, es recomendable desactivar el acceso SSH directo para root y usar un usuario normal con permisos de superusuario.

Paso 1: Crea un usuario administrador

sudo adduser tu_usuario

Te pedirá contraseña y algunos datos. Complétalos y continúa.

Paso 2: Añade el usuario al grupo sudo

sudo usermod -aG sudo tu_usuario

Paso 3: Verifica que el usuario tiene permisos

Cierra la sesión actual y conéctate con el nuevo usuario:

ssh -p 54321 tu_usuario@tu-ip

Prueba a ejecutar sudo whoami. Debería decir root. Perfecto.

Paso 4: Desactiva el acceso root por SSH

Vuelve a editar el archivo de configuración:

sudo nano /etc/ssh/sshd_config

Busca la línea:

#PermitRootLogin yes

Cámbiala por:

PermitRootLogin no

Guarda, reinicia SSH y verifica que ya no puedes conectarte como root.

Configura autenticación por clave SSH (la forma más segura)

Las contraseñas son vulnerables a ataques de fuerza bruta. Las claves SSH son archivos criptográficos que son prácticamente imposibles de adivinar. Esta es la capa de seguridad más importante que puedes añadir.

Paso 1: Genera un par de claves en tu ordenador local

En tu máquina local (no en el servidor), ejecuta:

ssh-keygen -t ed25519 -C "tu_correo@ejemplo.com"

Te preguntará dónde guardar la clave. Pulsa Enter para usar la ubicación por defecto. Luego te pedirá una frase de contraseña (passphrase). No la dejes vacía. Esta frase protege tu clave privada en caso de que alguien robe tu ordenador.

Paso 2: Copia la clave pública al servidor

ssh-copy-id -p 54321 tu_usuario@tu-ip

Te pedirá la contraseña de tu usuario. Una vez copiada, prueba a conectarte sin contraseña:

ssh -p 54321 tu_usuario@tu-ip

Si todo funciona, ya tienes acceso por clave.

Paso 3: Desactiva la autenticación por contraseña

Ahora que las claves funcionan, podemos desactivar las contraseñas. Edita nuevamente el archivo de configuración:

sudo nano /etc/ssh/sshd_config

Busca y modifica las siguientes líneas:

PasswordAuthentication no
ChallengeResponseAuthentication no
UsePAM no

[TIP] Si tienes problemas con UsePAM no, deja UsePAM yes pero asegúrate de que PasswordAuthentication esté en no. La autenticación por clave seguirá funcionando.

Reinicia SSH y verifica que puedes conectarte con tu clave. Si no puedes, revisa los permisos de tu carpeta .ssh en el servidor:

chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys

Configura un firewall para SSH

El firewall es tu primera línea de defensa. Solo debes permitir conexiones SSH desde direcciones IP conocidas o al menos limitar el acceso.

Paso 1: Instala UFW (si no lo tienes)

sudo apt update
sudo apt install ufw

Paso 2: Configura las reglas básicas

sudo ufw allow 54321/tcp
sudo ufw allow 2106/tcp
sudo ufw enable

[INFO] El puerto 2106 es el acceso web a Syspanel. No lo bloquees o perderás acceso al panel.

Paso 3: Restringe SSH a IPs específicas (opcional pero recomendado)

Si tienes una IP fija, puedes limitar el acceso SSH solo a esa IP:

sudo ufw allow from tu_ip_fija to any port 54321

Esto hace que solo tú puedas conectarte por SSH. Si tu IP cambia frecuentemente, esta opción puede ser un problema. En ese caso, considera usar una VPN.

Usa Fail2ban para bloquear ataques de fuerza bruta

Fail2ban es una herramienta que monitoriza los logs de SSH y bloquea automáticamente las IPs que hacen demasiados intentos fallidos. Es como tener un guardia de seguridad que echa a los sospechosos.

Paso 1: Instala Fail2ban

sudo apt install fail2ban

Paso 2: Configura las reglas para SSH

Crea un archivo de configuración local:

sudo nano /etc/fail2ban/jail.local

Añade lo siguiente:

[sshd]
enabled = true
port = 54321
filter = sshd
logpath = /var/log/auth.log
maxretry = 3
bantime = 3600

Esto significa: después de 3 intentos fallidos, la IP queda bloqueada durante 1 hora.

Paso 3: Reinicia Fail2ban

sudo systemctl restart fail2ban

Puedes ver las IPs bloqueadas con:

sudo fail2ban-client status sshd

Monitoreo y mantenimiento del acceso SSH

La seguridad no es un evento, es un proceso. Debes revisar periódicamente los logs y las conexiones activas.

Revisa los intentos de acceso fallidos

sudo grep "Failed password" /var/log/auth.log | tail -20

Revisa quién está conectado ahora mismo

sudo ss -tunap | grep :54321

Mantén el sistema actualizado

sudo apt update && sudo apt upgrade

[TIP] Programa estas actualizaciones automáticamente con unattended-upgrades para no olvidarte.

Preguntas frecuentes (FAQ) sobre SSH y Syspanel

¿Puedo usar SSH desde Windows?

Sí. Windows 10 y 11 incluyen OpenSSH por defecto. Abre PowerShell y usa los mismos comandos que en Linux. También puedes usar PuTTY si prefieres una interfaz gráfica.

¿Cómo cambio la contraseña de un usuario en Syspanel?

Desde la terminal: sudo passwd nombre_usuario. Desde Syspanel, ve a la sección de usuarios y edita el usuario. Recuerda que si desactivaste la autenticación por contraseña, esto solo afecta al acceso web de Syspanel, no al SSH.

¿Qué hago si olvidé mi frase de contraseña de la clave SSH?

Si olvidas la frase de tu clave privada, no podrás usarla. Deberás generar un nuevo par de claves y copiar la nueva clave pública al servidor. Asegúrate de tener acceso por otro medio (como Syspanel) para poder hacerlo.

¿Es seguro usar el puerto 22 si cambio la contraseña por una muy fuerte?

Es mejor cambiar el puerto igualmente. Los bots escanean el puerto 22 de forma masiva. Incluso con una contraseña fuerte, cada intento de conexión consume recursos del servidor y genera logs que pueden ser abrumadores.

¿Syspanel tiene su propio sistema de gestión de claves SSH?

Syspanel te permite gestionar usuarios y sus claves SSH desde su interfaz web. Puedes añadir claves públicas para cada usuario sin necesidad de usar la terminal. Sin embargo, para configuraciones avanzadas como cambiar el puerto o desactivar root, necesitarás acceso por terminal.

¿Puedo usar Syspanel sin acceso SSH?

Sí, puedes gestionar la mayoría de las funciones desde el panel web en el puerto 2106. Pero para tareas de administración avanzada o solución de problemas, el acceso SSH es imprescindible.

Conclusión: tu servidor ahora es una fortaleza

Configurar el acceso SSH en Syspanel de forma segura requiere unos 20 minutos de trabajo, pero te ahorrará dolores de cabeza en el futuro. Resumiendo lo que has aprendido:

Cambiaste el puerto SSH por defecto a uno no estándar.
Desactivaste el acceso root directo por SSH.
Configuraste autenticación por claves criptográficas.
Activaste un firewall para limitar el acceso.
Instalaste Fail2ban para bloquear ataques de fuerza bruta.
Aprendiste a monitorear tu servidor.

Con estas medidas, tu servidor está protegido contra el 99% de los ataques automatizados. Los atacantes que queden tendrán que enfrentarse a un sistema robusto que no deja puertas abiertas.

[INFO] Recuerda que Syspanel seguirá funcionando en el puerto 2106 para acceso web. El SSH es una capa de gestión adicional que ahora es mucho más segura.

La seguridad es un viaje, no un destino. Revisa periódicamente tus logs, mantén el sistema actualizado y no compartas tus claves privadas con nadie. Con estos hábitos, tu servidor estará en buenas manos: las tuyas.

Si tienes dudas o encuentras algún problema durante el proceso, no dudes en consultar la documentación oficial de Syspanel o abrir un ticket de soporte. La comunidad y los equipos de soporte siempre están dispuestos a ayudar. ¡Buen trabajo llegando hasta aquí!