Configurar Firewall en DirectAdmin | Guía CSF y Reglas Básicas

¿Qué es CSF y por qué necesitas configurarlo en DirectAdmin?

Si tienes un servidor con DirectAdmin, la seguridad es una de tus mayores preocupaciones. Un firewall bien configurado es tu primera línea de defensa contra accesos no autorizados, ataques de fuerza bruta y tráfico malicioso. Config Server Firewall (CSF) es la solución de firewall más popular y robusta para servidores Linux con paneles de control como DirectAdmin.

CSF no es solo un firewall básico; es un sistema de seguridad completo que incluye detección de intrusiones, protección contra fuerza bruta, y gestión de puertos y direcciones IP. Lo mejor de todo es que, aunque es extremadamente potente, puedes configurarlo sin ser un experto en seguridad informática. En esta guía, te explicaré paso a paso cómo configurar un firewall en DirectAdmin usando CSF, desde la instalación hasta las configuraciones más útiles para proteger tu servidor.

Requisitos previos antes de configurar CSF

Antes de empezar con la instalación y configuración de CSF, necesitas asegurarte de que tu servidor cumple con ciertos requisitos. No te saltes este paso, ya que una instalación incorrecta podría dejar tu servidor sin conexión.

Acceso SSH al servidor

Necesitarás acceso SSH (Secure Shell) a tu servidor. Esto te permitirá ejecutar comandos como administrador. En Windows puedes usar programas como PuTTY, mientras que en Mac o Linux puedes usar la terminal directamente.

Credenciales de root

Asegúrate de tener las credenciales de usuario root o un usuario con permisos de superusuario (sudo). La configuración de CSF requiere permisos elevados para modificar archivos del sistema.

Conocimiento básico de puertos

Debes saber qué puertos necesitas tener abiertos. Por ejemplo, el puerto 80 para HTTP, el 443 para HTTPS, el 21 para FTP, el 25 para SMTP, entre otros. Si no estás seguro, revisa la documentación de los servicios que tienes instalados.

[INFO] Si tu servidor usa Syspanel (anteriormente conocido como HestiaCP) en lugar de DirectAdmin, el proceso de configuración de CSF es similar, pero el puerto de acceso a Syspanel es el 2106. Asegúrate de tener este puerto abierto en tu firewall.

Instalación de CSF en DirectAdmin

La instalación de CSF es un proceso directo, pero requiere atención a los detalles. Sigue estos pasos en orden:

Paso 1: Descargar e instalar CSF

Conéctate a tu servidor por SSH y ejecuta los siguientes comandos:

cd /usr/src
wget http://download.configserver.com/csf.tgz
tar -xzf csf.tgz
cd csf
sh install.sh

Este proceso descargará, descomprimirá e instalará CSF en tu sistema. La instalación normalmente tarda unos minutos.

Paso 2: Verificar la instalación

Una vez completada la instalación, verifica que CSF se haya instalado correctamente:

csf -v

Este comando te mostrará la versión instalada de CSF. Si ves un número de versión, la instalación fue exitosa.

Paso 3: Desactivar el modo de prueba

CSF se instala en modo de prueba por defecto. Esto significa que el firewall no está realmente activo, solo está Monitoreando lo que haría. Para activarlo completamente:

nano /etc/csf/csf.conf

Busca la línea que dice TESTING = "1" y cambia el valor a "0". Guarda los cambios (Ctrl+O, luego Enter) y sal del editor (Ctrl+X).

Paso 4: Reiniciar CSF

Para aplicar los cambios y activar el firewall:

csf -r

Este comando reinicia CSF y aplica todas las reglas configuradas.

Configuración básica de CSF: abrir puertos y gestionar IPs

Ahora que tienes CSF instalado y funcionando, es hora de configurarlo según las necesidades de tu servidor. La configuración más importante es la gestión de puertos y direcciones IP.

Abrir puertos en CSF

Los puertos son los puntos de entrada a tu servidor. Debes abrir solo aquellos que sean necesarios para tus servicios. Para abrir un puerto:

Accede al archivo de configuración:

nano /etc/csf/csf.conf

Busca la sección llamada TCP_IN y TCP_OUT. Estos son los puertos de entrada y salida respectivamente.
Agrega los puertos que necesitas abrir, separados por comas. Por ejemplo:

TCP_IN = "20,21,22,25,53,80,110,143,443,465,587,993,995"
TCP_OUT = "20,21,22,25,53,80,110,113,443,587,993,995"

También puedes configurar los puertos UDP en las secciones UDP_IN y UDP_OUT.
Guarda los cambios y aplica la configuración:

csf -r

[TIP] Si no estás seguro de qué puertos abrir, una buena práctica es empezar con los puertos estándar y luego ir abriendo más según lo necesites. Es más seguro tener menos puertos abiertos que demasiados.

Bloquear y desbloquear IPs en DirectAdmin

CSF te permite bloquear direcciones IP específicas que representen una amenaza. Esto es especialmente útil cuando detectas intentos de intrusión o ataques de fuerza bruta.

Para bloquear una IP:

csf -d 192.168.1.100

Para desbloquear una IP:

csf -dr 192.168.1.100

También puedes bloquear rangos de IPs completos:

csf -d 192.168.1.0/24

[WARNING] Ten cuidado al bloquear rangos de IPs. Si bloqueas un rango demasiado amplio, podrías impedir el acceso a usuarios legítimos. Siempre verifica la IP o el rango antes de bloquearlo.

Ver el estado de las reglas de firewall

Para ver todas las reglas activas de tu firewall directadmin:

csf -l

Este comando te mostrará una lista de todas las reglas de firewall actualmente activas, incluyendo los puertos abiertos y las IPs bloqueadas.

Configuraciones avanzadas de seguridad con CSF

Una vez que domines las configuraciones básicas, puedes explorar las opciones más avanzadas que ofrece CSF para proteger tu servidor DirectAdmin de manera más efectiva.

Protección contra fuerza bruta

CSF tiene un sistema de detección de fuerza bruta integrado. Puedes configurarlo en el archivo csf.conf buscando las opciones relacionadas con LF_ (Login Failure).

Por ejemplo, para configurar el bloqueo automático de IPs después de 5 intentos fallidos de SSH:

LF_SSH = "5"
LF_SSH_PERM = "3600"

Esto bloqueará temporalmente la IP durante 3600 segundos (1 hora) después de 5 intentos fallidos.

Configurar alertas por correo

CSF puede enviarte notificaciones por correo cuando detecta eventos de seguridad. Para configurar esto:

Busca la línea LF_ALERT_TO en csf.conf.
Agrega tu dirección de correo:

LF_ALERT_TO = "tu@correo.com"

También puedes configurar alertas para eventos específicos, como LT_EMAIL_ALERT para alertas de correo.

Usar listas de bloqueo globales

CSF permite usar listas de bloques globales como Spamhaus o DShield. Para activarlas:

En csf.conf, busca la opción SPAMHAUS y cámbiala a "1".
También puedes activar DShield y BOGON para mayor protección.

Estas listas contienen direcciones IP conocidas por ser maliciosas y se actualizan automáticamente.

Monitorización y mantenimiento del firewall

Configurar el firewall no es suficiente; debes monitorearlo y mantenerlo actualizado regularmente para garantizar la seguridad de tu servidor.

Ver los logs de CSF

CSF registra todos los eventos en /var/log/lfd.log. Puedes revisar este archivo para ver intentos de intrusión, bloqueos de IPs y otros eventos de seguridad:

tail -f /var/log/lfd.log

Actualizar CSF regularmente

CSF se actualiza periódicamente para incluir nuevas reglas y correcciones de seguridad. Para verificar si hay actualizaciones disponibles:

csf -u

Este comando actualizará CSF a la última versión disponible.

Programar verificaciones automáticas

Puedes configurar CSF para que realice verificaciones automáticas de seguridad mediante cron jobs. Por ejemplo, para verificar el estado del firewall cada hora:

crontab -e

Y agrega la línea:

0 * * * * /usr/sbin/csf -c

Solución de problemas comunes

A pesar de ser una herramienta robusta, a veces pueden surgir problemas con CSF. Aquí te explico cómo resolver los más comunes.

No puedo acceder al servidor después de activar CSF

Esto suele pasar cuando bloqueas accidentalmente tu propia IP o no has abierto el puerto SSH (22). Para solucionarlo:

Accede al servidor a través de la consola de tu proveedor de hosting (modo de rescate).
Edita el archivo /etc/csf/csf.deny y elimina tu IP.
Reinicia CSF con csf -r.

Los servicios no responden

Si un servicio deja de funcionar después de configurar CSF, probablemente no has abierto el puerto necesario. Verifica qué puerto usa el servicio y agrégalo a TCP_IN o UDP_IN según corresponda.

CSF bloquea demasiadas IPs

Si CSF está bloqueando demasiadas IPs, puede ser por configuraciones demasiado estrictas. Revisa las opciones LF_ en csf.conf y ajusta los valores a algo más razonable.

Preguntas frecuentes sobre firewall DirectAdmin y CSF

¿CSF afecta el rendimiento del servidor?

CSF tiene un impacto mínimo en el rendimiento del servidor. El proceso lfd (Login Failure Daemon) monitorea los logs en tiempo real, pero su consumo de recursos es bajo. En servidores muy cargados, puedes ajustar los intervalos de monitoreo.

¿Puedo usar CSF junto con otros firewalls?

No se recomienda usar múltiples firewalls simultáneamente, ya que pueden entrar en conflicto. CSF es suficiente para proteger tu servidor DirectAdmin. Si tienes otro firewall activo, desactívalo antes de usar CSF.

¿Cómo puedo hacer una copia de seguridad de mi configuración de CSF?

Puedes copiar el archivo /etc/csf/csf.conf y todos los archivos de /etc/csf/ a un lugar seguro. También puedes usar el comando:

csf -c

Para crear un archivo de configuración comprimido.

¿CSF protege contra ataques DDoS?

CSF ofrece protección básica contra DDoS mediante la limitación de conexiones y el bloqueo de IPs. Sin embargo, para ataques DDoS más sofisticados, necesitarás soluciones adicionales como un CDN o un servicio especializado en mitigación de DDoS.

Conclusión: tu servidor DirectAdmin ahora es más seguro

Configurar un firewall en DirectAdmin con CSF es una de las mejores decisiones que puedes tomar para proteger tu servidor. Con las configuraciones que hemos visto, ahora puedes controlar qué puertos están abiertos, bloquear IPs maliciosas y protegerte contra ataques de fuerza bruta.

Recuerda que la seguridad es un proceso continuo. No basta con configurar el firewall una vez; debes monitorearlo regularmente, mantenerlo actualizado y ajustar las configuraciones según las necesidades cambiantes de tu servidor.

[TIP] Dedica tiempo cada semana a revisar los logs de CSF y verificar que no haya intentos de intrusión. La prevención es mucho más fácil que la remediación.

Si has seguido esta guía completa, ahora tienes un firewall robusto y bien configurado en tu servidor DirectAdmin. Tu servidor está protegido contra las amenazas más comunes, y tienes las herramientas para responder rápidamente ante cualquier incidente de seguridad. ¡Buen trabajo!