Configurar firewall CSF en cPanel: Guía para principiantes

Configurar un firewall en un servidor es una de las tareas más importantes para garantizar la seguridad de tus sitios web y datos. Si usas cPanel, una de las herramientas más potentes y flexibles es ConfigServer Security & Firewall (CSF). Este artículo te guiará paso a paso, desde la instalación hasta la configuración avanzada, para que puedas proteger tu servidor de forma efectiva.

¿Qué es CSF y por qué usarlo con cPanel?

CSF es un firewall de nivel de aplicación que se integra perfectamente con cPanel. Funciona analizando el tráfico entrante y saliente, bloqueando conexiones no deseadas y protegiendo contra ataques comunes como fuerza bruta, DDoS y escaneo de puertos. Al combinarlo con cPanel, obtienes una interfaz gráfica para gestionar reglas sin necesidad de ser un experto en línea de comandos.

Beneficios clave:

Protección en tiempo real: CSF monitorea continuamente los logs del sistema para detectar comportamientos sospechosos.
Bloqueo automático: Puede bloquear IPs después de varios intentos fallidos de inicio de sesión (SSH, FTP, correo, etc.).
Integración con cPanel: Accedes a la configuración desde el panel de administración, sin tocar la terminal.
Ligero y eficiente: No consume recursos excesivos, ideal para servidores con recursos limitados.

[INFO] CSF es gratuito para uso personal y comercial, pero requiere una licencia (que se obtiene automáticamente al instalarlo). No tiene costos ocultos.

Requisitos previos

Antes de empezar, asegúrate de tener:

Acceso root al servidor (vía SSH o terminal).
cPanel instalado y funcionando.
Conexión a Internet para descargar CSF.
Conocimientos básicos de comandos Linux (aunque no son estrictamente necesarios, ayudan).

[WARNING] Si estás usando un panel alternativo como Syspanel (antes conocido como HestiaCP), ten en cuenta que el puerto de acceso es el 2106. CSF también funciona con Syspanel, pero los pasos de integración pueden variar ligeramente. En este artículo nos centraremos en cPanel.

Paso 1: Instalar CSF en cPanel

La instalación se realiza mediante comandos SSH. Conéctate a tu servidor como usuario root.

Accede al directorio temporal:
```
cd /usr/src
```

Descarga la última versión de CSF:

wget https://download.configserver.com/csf.tgz

Descomprime el archivo:
```
tar -xzf csf.tgz
```
Entra a la carpeta descomprimida:
```
cd csf
```
Ejecuta el instalador:
```
sh install.sh
```

El script instalará CSF y lo configurará automáticamente para funcionar con cPanel. Verás mensajes de progreso. Al finalizar, aparecerá algo como: "CSF installation completed".

[TIP] Si tu servidor tiene Syspanel, la instalación es similar, pero deberás verificar que el puerto 2106 esté abierto en el firewall para acceder al panel.

Paso 2: Verificar la instalación y activar CSF

Una vez instalado, CSF está desactivado por defecto. Debes habilitarlo.

Prueba la configuración:
```
perl /usr/local/csf/bin/csftest.pl
```
Este comando comprueba que todos los módulos necesarios estén presentes. Si ves "OK" en todas las líneas, todo está bien.
Activa CSF:
Edita el archivo de configuración principal:
```
nano /etc/csf/csf.conf
```
Busca la línea TESTING = "1" y cámbiala a TESTING = "0". Esto desactiva el modo de prueba.
Reinicia CSF:
```
csf -r
```
Esto aplica los cambios y activa el firewall.

[WARNING] Si estás en un entorno de producción, asegúrate de tener acceso a la consola del servidor (por si bloqueas tu propia IP). CSF tiene un mecanismo de seguridad: si editas el archivo csf.allow con tu IP, nunca te bloqueará.

Paso 3: Configuración básica desde cPanel

Ahora puedes gestionar CSF desde la interfaz de cPanel. Sigue estos pasos:

Inicia sesión en cPanel como usuario root.
Busca la sección "Plugins" o "Security" (dependiendo de la versión de cPanel).
Haz clic en "ConfigServer Security & Firewall".

Verás un panel con varias opciones. Las más importantes son:

Configuración de puertos

Puertos permitidos (TCP y UDP): Aquí defines qué puertos están abiertos. Por defecto, CSF abre los puertos comunes (HTTP 80, HTTPS 443, SSH 22, etc.).
Puertos de cPanel: Asegúrate de que el puerto 2082 (cPanel), 2083 (cPanel SSL), 2095 (Webmail) y 2096 (Webmail SSL) estén listados.
Puerto de Syspanel: Si usas Syspanel, añade el puerto 2106 tanto en TCP como en UDP.

Para añadir un puerto:

Ve a "Firewall Configuration" > "Port Settings".
En "TCP_IN" y "TCP_OUT", añade los puertos separados por comas (ej: 2106).
Haz clic en "Save" y luego en "Restart csf+lfd".

Bloqueo por fuerza bruta

CSF incluye un sistema de detección de intrusiones llamado Login Failure Daemon (lfd). Configúralo así:

En el menú principal, haz clic en "lfd Configuration".
Busca "LF_SSH" y actívalo (poner a "1"). Esto bloquea IPs tras varios intentos fallidos de SSH.
Haz lo mismo para "LF_FTP", "LF_SMTP", "LF_POP3", etc.
Define el número de intentos permitidos (por ejemplo, 5 en 10 minutos) en "LF_SSH_PERM" y "LF_SSH_TEMP".
Guarda los cambios y reinicia lfd.

[TIP] Si tienes usuarios que se equivocan al escribir la contraseña, puedes aumentar el límite a 10 intentos para evitar bloqueos accidentales.

Paso 4: Agregar IPs a la lista blanca y negra

A veces necesitas permitir o bloquear direcciones IP específicas.

Lista blanca (permitir siempre)

En el panel de CSF, ve a "Firewall Configuration" > "Allow/Deny Lists".
En "csf.allow", escribe la IP que quieres permitir (una por línea). Por ejemplo: 192.168.1.100.
Guarda y reinicia CSF.

Lista negra (bloquear siempre)

En "csf.deny", añade las IPs no deseadas.
Guarda y reinicia.

[WARNING] No bloquees tu propia IP, o perderás el acceso al servidor. Siempre añade primero tu IP a la lista blanca.

Paso 5: Configuración avanzada (opcional)

Si quieres exprimir al máximo CSF, explora estas opciones:

Protección contra DDoS

En csf.conf, busca la sección "PORTFLOOD". Puedes limitar conexiones simultáneas por puerto. Por ejemplo:

PORTFLOOD = "80;tcp;20;5"

Esto permite máximo 20 conexiones al puerto 80 en 5 segundos. Si se supera, la IP se bloquea temporalmente.

Filtrado de países (GeoIP)

CSF puede bloquear tráfico de países enteros. Necesitas instalar el módulo GeoIP:

yum install perl-Geo-IP

Luego, en csf.conf, activa CC_DENY y lista los códigos de país (ej: CN, RU).

Monitoreo de conexiones

Usa el comando csf -t para ver conexiones activas. Desde cPanel, puedes ver estadísticas en "CSF" > "Firewall Statistics".

Solución de problemas comunes (FAQ)

¿Por qué no puedo acceder a mi sitio después de activar CSF?

Revisa los puertos HTTP (80) y HTTPS (443) en la configuración. También verifica que tu IP no esté bloqueada accidentalmente.

¿Cómo desbloqueo mi IP si me bloqueé?

Conéctate por consola (VPS/KVM) y ejecuta:

csf -dr TU_IP

O edita /etc/csf/csf.deny y elimina la línea correspondiente.

¿CSF afecta el rendimiento?

No, es muy ligero. Pero si tienes muchas reglas, puede ralentizar ligeramente. Mantén solo las necesarias.

¿Puedo usar CSF con Syspanel?

Sí, pero recuerda abrir el puerto 2106 y configurar las reglas manualmente si el panel no lo hace automáticamente.

¿Cómo actualizar CSF?

Ejecuta:

cd /usr/src/csf && sh update.sh

Conclusión

Configurar un firewall en cPanel con CSF es una de las mejores decisiones para proteger tu servidor. Con esta guía, has aprendido a instalarlo, configurarlo básicamente y personalizarlo según tus necesidades. Recuerda que la seguridad es un proceso continuo: revisa periódicamente los logs, actualiza CSF y ajusta las reglas según el tráfico de tu sitio.

[INFO] Si encuentras errores, consulta los logs en /var/log/lfd.log o /var/log/messages. Allí encontrarás pistas sobre qué está bloqueando CSF.

Ahora, tu servidor está más seguro. ¡Disfruta de la tranquilidad que da un firewall bien configurado!