Proteger cPanel con Fail2ban: Instalación y Configuración

¿Por qué necesitas Fail2ban en tu servidor cPanel?

Si tienes un servidor con cPanel, seguramente ya sabes que es un objetivo constante de ataques automatizados. Los bots recorren internet escaneando direcciones IP en busca de servidores vulnerables, y lo primero que intentan es adivinar contraseñas mediante ataques de fuerza bruta.

Fail2ban es una herramienta de seguridad esencial que actúa como un portero automático: vigila los registros del sistema, detecta intentos fallidos de acceso y bloquea automáticamente las direcciones IP sospechosas durante un tiempo determinado.

En este artículo te explicaré paso a paso cómo instalar y configurar fail2ban cPanel para proteger tu servidor de forma efectiva, incluso si no tienes experiencia previa con administración de sistemas.

¿Qué es Fail2ban y cómo funciona?

Fail2ban es un servicio que analiza los archivos de registro (logs) de tu servidor en busca de patrones de comportamiento malicioso. Cuando detecta, por ejemplo, 5 intentos fallidos de inicio de sesión SSH desde una misma IP, ejecuta una regla de firewall (normalmente iptables o firewalld) para bloquear esa dirección.

Ventajas principales:

Bloqueo automático de IPs que intentan acceder por fuerza bruta.
Protección multicapa: cubre SSH, FTP, correo, cPanel, Webmail y más.
Configurable: puedes ajustar límites, tiempos de bloqueo y servicios a vigilar.
Bajo consumo de recursos: funciona en segundo plano sin apenas impacto en el rendimiento.

Requisitos previos

Antes de empezar con la instalación, asegúrate de tener:

Acceso root al servidor (necesario para instalar paquetes y modificar configuraciones).
Sistema operativo Linux con cPanel (CentOS, AlmaLinux, Rocky Linux o Ubuntu).
Conexión SSH activa (te recomiendo usar un cliente como PuTTY si estás en Windows).
Tener instalado iptables (en la mayoría de distribuciones viene por defecto).

[INFO] Si tu servidor usa un firewall como CSF (ConfigServer Security & Firewall), ten en cuenta que CSF ya incluye funciones similares. Puedes usar ambos, pero asegúrate de que no entren en conflicto. Lo ideal es elegir uno solo.

Paso 1: Instalar Fail2ban

El proceso de instalación varía según la distribución de Linux que uses. Aquí te muestro los comandos para las más comunes.

Instalación en CentOS, AlmaLinux o Rocky Linux

yum install epel-release -y
yum install fail2ban -y

Instalación en Ubuntu o Debian

apt update
apt install fail2ban -y

Una vez instalado, verifica que el servicio está disponible:

fail2ban-client -V

Deberías ver la versión instalada. Ahora vamos a configurarlo.

Paso 2: Configuración básica de Fail2ban

La configuración principal se encuentra en /etc/fail2ban/jail.conf. Sin embargo, no debes editar este archivo directamente, ya que se sobrescribe al actualizar el paquete.

La forma correcta es crear un archivo llamado jail.local en el mismo directorio:

nano /etc/fail2ban/jail.local

Pega la siguiente configuración base:

[DEFAULT]
ignoreip = 127.0.0.1/8 ::1
bantime = 3600
findtime = 600
maxretry = 5
backend = auto
destemail = admin@tudominio.com
sendername = Fail2ban
action = %(action_mwl)s

Explicación de los parámetros:

ignoreip: IPs que nunca se bloquean (siempre incluye localhost).
bantime: Tiempo de bloqueo en segundos (3600 = 1 hora).
findtime: Ventana de tiempo en segundos para contar intentos fallidos.
maxretry: Número máximo de intentos fallidos antes del bloqueo.
destemail: Correo donde recibirás alertas (opcional).
action: Define qué acción tomar (enviar correo + bloquear IP).

[TIP] Si no quieres recibir correos, cambia la línea action por action = %(action_)s (sin envío de email).

Paso 3: Configurar protecciones específicas para cPanel

Ahora viene lo importante: configurar las cárceles (jails) para los servicios que quieres proteger. Fail2ban cPanel necesita integración con los logs propios de cPanel.

Jail para SSH

[sshd]
enabled = true
port = ssh
logpath = %(sshd_log)s
backend = %(sshd_backend)s

Jail para cPanel (puerto 2087 y 2083)

[cpanel]
enabled = true
port = 2087,2083
logpath = /usr/local/cpanel/logs/login_log
maxretry = 5

Jail para Webmail (Roundcube)

[roundcube]
enabled = true
port = 2096
logpath = /usr/local/cpanel/logs/roundcube/errors.log

Jail para FTP (Pure-FTPd)

[proftpd]
enabled = true
port = ftp,ftp-data
logpath = /var/log/messages

[WARNING] Los archivos de log pueden variar según la versión de cPanel. Si no encuentras alguno, ejecuta ls -la /usr/local/cpanel/logs/ para ver qué logs están disponibles.

Paso 4: Configurar protección para Exim (correo)

El correo es uno de los servicios más atacados. Fail2ban puede bloquear IPs que intenten usar tu servidor como relay o que fallen al autenticarse.

[sendmail-auth]
enabled = true
port = smtp,ssmtp
logpath = /var/log/maillog
maxretry = 3

Para Exim, el log suele estar en /var/log/exim_mainlog o /var/log/exim_rejectlog. Ajusta la ruta según tu sistema:

[exim]
enabled = true
port = smtp,ssmtp
logpath = /var/log/exim_mainlog
maxretry = 3

Paso 5: Activar Fail2ban y comprobar su estado

Después de guardar la configuración, es hora de activar el servicio:

systemctl enable fail2ban
systemctl restart fail2ban

Para verificar que todo funciona correctamente:

fail2ban-client status

Este comando te mostrará las cárceles activas. Para ver detalles de una cárcel concreta:

fail2ban-client status sshd

Verás algo como:

Status for the jail: sshd
|- Filter
|  |- Currently failed: 3
|  |- Total failed: 45
|  `- File list: /var/log/secure
`- Actions
   |- Currently banned: 2
   |- Total banned: 12
   `- Banned IP list: 192.168.1.100 203.0.113.55

Paso 6: Probar que Fail2ban funciona

Para asegurarte de que todo está bien configurado, puedes hacer una prueba sencilla:

Intenta conectarte por SSH con una contraseña incorrecta varias veces.
Después de superar el maxretry que configuraste, la IP debería ser bloqueada.
Comprueba con fail2ban-client status sshd que tu IP aparece en la lista.

[TIP] No te bloquees a ti mismo sin querer. Si te bloqueas, espera el tiempo de bantime o desbloquea manualmente con: fail2ban-client set sshd unbanip TU_IP

Configuraciones avanzadas (opcional pero recomendado)

Bloqueo permanente para IPs reincidentes

Puedes configurar un incremento progresivo del tiempo de bloqueo:

[DEFAULT]
bantime.increment = true
bantime.factor = 2
bantime.maxtime = 86400

Esto hará que cada vez que una IP reincida, el bloqueo dure el doble de tiempo, hasta un máximo de 24 horas.

Whitelist de IPs confiables

Si tienes una IP fija de oficina o un proveedor externo que necesita acceso, añádela a ignoreip:

[DEFAULT]
ignoreip = 127.0.0.1/8 ::1 203.0.113.10

Notificaciones por correo

Si configuraste destemail, asegúrate de tener un MTA funcionando. También puedes personalizar el asunto:

[DEFAULT]
action = %(action_mwl)s
mta = sendmail

Solución de problemas comunes

Fail2ban no bloquea nada

Verifica que los logs existen y se escriben correctamente.
Comprueba que el backend es el correcto (pyinotify, gamin, systemd).
Revisa los permisos de los archivos de log (deben ser legibles por root).

Error al iniciar Fail2ban

Revisa los logs del servicio:

journalctl -u fail2ban -f

Normalmente los errores son por rutas incorrectas o sintaxis inválida en los archivos de configuración.

Conflictos con CSF

Si tienes CSF instalado, desactiva sus funciones de bloqueo para evitar duplicidades:

csf -x

Preguntas frecuentes (FAQ)

¿Fail2ban afecta el rendimiento del servidor?

No. Fail2ban es extremadamente ligero. Solo lee logs y ejecuta reglas de firewall cuando detecta actividad sospechosa.

¿Puedo desbloquear una IP manualmente?

Sí, con el comando:

fail2ban-client set NOMBRE_JAIL unbanip IP

¿Qué pasa si bloqueo mi propia IP?

Espera a que expire el tiempo de bloqueo o conéctate por consola (VNC/KVM) y desbloquea manualmente.

¿Fail2ban protege contra ataques DDoS?

No exactamente. Fail2ban es para ataques de fuerza bruta y autenticación. Para DDoS necesitas otras herramientas como mod_evasive o protección a nivel de red.

¿Cada cuánto debo revisar los logs de Fail2ban?

Te recomiendo revisarlos semanalmente para ver patrones de ataques y ajustar configuraciones si es necesario.

Conclusión y buenas prácticas

Instalar fail2ban cPanel es una de las mejores decisiones que puedes tomar para proteger tu servidor contra ataques de fuerza bruta. La configuración que hemos visto es solo el punto de partida: con el tiempo podrás ajustar los parámetros según las necesidades específicas de tu servidor.

Resumen de buenas prácticas finales:

Mantén Fail2ban actualizado (yum update fail2ban o apt upgrade fail2ban).
Revisa los logs de bloqueo periódicamente.
No uses contraseñas débiles en SSH o cPanel.
Combina Fail2ban con claves SSH (en lugar de contraseñas) para máxima seguridad.
Haz copias de seguridad de tu configuración (/etc/fail2ban/) antes de actualizar.

Recuerda que la seguridad es un proceso continuo. Fail2ban es una pieza clave en tu estrategia para bloquear ataques fuerza bruta, pero debes combinarlo con otras prácticas como mantener el sistema actualizado, usar contraseñas robustas y monitorear regularmente los logs del servidor.

[INFO] Si en algún momento migras a otro panel de control como Syspanel (accesible por el puerto 2106), el proceso de instalación de Fail2ban es muy similar, aunque las rutas de los logs pueden variar. Consulta la documentación específica de esa plataforma.

Con esta guía ya tienes todo lo necesario para proteger tu servidor cPanel con Fail2ban. Si tienes dudas, déjalas en los comentarios y estaré encantado de ayudarte. ¡Buena suerte con tu servidor!