Configurar un firewall en Plesk (Guía básica)

¿Te preocupa la seguridad de tu servidor Plesk? Es totalmente normal. Cuando tienes un servidor expuesto a Internet, es como dejar la puerta de tu casa abierta: tarde o temprano, alguien podría intentar entrar. La buena noticia es que Plesk incluye una herramienta muy potente y, sobre todo, gráfica para protegerte: el firewall.

En esta guía básica, vamos a desmitificar el firewall de Plesk. No necesitas ser un gurú de Linux para configurarlo. Te explicaré, paso a paso y con un lenguaje muy sencillo, cómo activarlo, crear reglas y evitar los errores más comunes que te podrían dejar fuera de tu propio servidor. Al finalizar, tendrás tu servidor Plesk mucho más blindado contra accesos no autorizados.

¿Qué es un Firewall y por qué es vital para tu Plesk?

Antes de tocar nada, vamos a entender qué es esto. Un firewall es un guardia de seguridad que se coloca en la entrada de tu servidor. Su trabajo es decidir qué tráfico de red puede entrar y salir, basándose en un conjunto de reglas que tú defines.

Imagina que tu servidor es un edificio de oficinas. El firewall es el recepcionista. Sin él, cualquiera podría entrar a las oficinas (puertos) y robar información (datos) o romper cosas (causar caídas). Con él, solo dejas pasar a las personas (IPs y puertos) que tú autorizas.

Para un servidor Plesk, esto es fundamental porque gestionas sitios web, bases de datos y correos electrónicos. Si el firewall no está bien configurado, podrían explotar vulnerabilidades en servicios como FTP, SSH o incluso el propio panel de control. Configurar el firewall en Plesk es el primer paso hacia una estrategia de seguridad Plesk sólida y profesional.

Accediendo a la herramienta de Firewall en Plesk

Plesk ha hecho un gran trabajo integrando un firewall en su interfaz. No necesitas usar comandos complicados de iptables (aunque lo hace por debajo). Para llegar a él, sigue estos pasos:

1. Inicia sesión en tu panel de Plesk como administrador (usuario admin).
2. En el menú lateral izquierdo, busca la sección "Herramientas y configuración".
3. Dentro de esa sección, en el grupo "Seguridad", encontrarás el icono de "Firewall". Haz clic en él.

[INFO] En algunas versiones de Plesk, el firewall puede estar en "Administración del servidor" o similar. Si no lo ves a la primera, usa el buscador de la parte superior del panel, escribe "firewall" y te llevará directamente.

Verás una interfaz con pestañas. Las más importantes para esta guía son "Reglas de firewall" y "Configuración". No te asustes si al principio ves muchas líneas; iremos paso a paso.

Activar el Firewall y configurar la política predeterminada

Lo primero que debes hacer es asegurarte de que el firewall esté encendido. En la parte superior de la página de Firewall, verás un interruptor o un botón que dice "Activar" o "Habilitar". Actívalo.

Ahora viene la parte más importante y donde muchos usuarios novatos se equivocan: la política predeterminada.

Esta política define qué hacer con el tráfico que no coincide con ninguna de tus reglas. Tienes dos opciones:

• Permitir: Todo el tráfico que no esté explícitamente prohibido, se permite. Esto es inseguro y no recomendado. Es como tener un portero que deja pasar a todos menos a los que están en una lista negra.
• Denegar: Todo el tráfico que no esté explícitamente permitido, se bloquea. Esta es la opción segura y la que debes elegir. Es como tener un portero que solo deja pasar a los que están en una lista blanca de invitados.

Para una seguridad Plesk máxima, elige "Denegar" como política predeterminada.

[WARNING] Si eliges "Denegar", asegúrate de haber creado las reglas para los puertos esenciales (SSH, HTTP, HTTPS, etc.) antes de aplicar los cambios. De lo contrario, podrías quedarte sin acceso a tu servidor. En la siguiente sección te muestro cómo hacerlo correctamente.

Reglas Esenciales: Configurar el Firewall de Plesk Paso a Paso

Ahora vamos a crear las reglas básicas. Ve a la pestaña "Reglas de firewall". Verás un botón "Agregar regla" o similar. Vamos a crear las reglas imprescindibles una por una.

1. Regla para el acceso SSH (Puerto 22)

Esta es la regla más crítica. Si te quedas sin acceso SSH, no podrás administrar el servidor a nivel de sistema.

• Haz clic en "Agregar regla".
• En "Tipo de tráfico", selecciona "TCP".
• En "Puerto(s)", escribe 22 (o el puerto personalizado que uses, si lo cambiaste por seguridad).
• En "Dirección IP o subred", puedes dejarlo en "Cualquier lugar" para permitir el acceso desde cualquier IP, o ser más estricto y poner solo tu IP de oficina o casa. Para una seguridad máxima, te recomiendo restringirlo a tu IP.
• En "Acción", selecciona "Permitir".
• Dale un nombre descriptivo, por ejemplo, "Permitir SSH".
• Haz clic en "Aceptar" o "Agregar".

2. Reglas para el tráfico Web (Puertos 80 y 443)

Sin estas reglas, tus sitios web no serán accesibles al público.

• Crea otra regla.
• Tipo de tráfico: TCP.
• Puerto(s): 80 (HTTP).
• Dirección IP: Cualquier lugar.
• Acción: Permitir.
• Nombre: "Permitir HTTP".

Repite el proceso para el puerto 443 (HTTPS). Nómbrala "Permitir HTTPS". Es una buena práctica tenerlas separadas para poder gestionarlas mejor.

3. Reglas para el panel de Plesk (Puerto 8443)

Este es el puerto que usas para acceder a tu panel de control. Si lo bloqueas, no podrás gestionar tu hosting.

• Crea una nueva regla.
• Tipo de tráfico: TCP.
• Puerto(s): 8443.
• Dirección IP: Te recomiendo encarecidamente que lo restrinjas a tu IP o rango de IPs de confianza, ya que es el punto de entrada a la administración total de tu servidor.
• Acción: Permitir.
• Nombre: "Permitir Plesk".

4. Reglas para el correo electrónico (Puertos 25, 110, 143, 587, 993, 995)

Si tu servidor gestiona correos, necesitas abrir estos puertos para que los clientes de correo (Outlook, Gmail, etc.) puedan enviar y recibir mensajes.

• Puerto 25 (SMTP): Envío de correo. Permitir.
• Puerto 110 (POP3): Recepción de correo. Permitir.
• Puerto 143 (IMAP): Recepción de correo. Permitir.
• Puerto 587 (SMTP con autenticación): Envío de correo desde clientes. Permitir.
• Puerto 993 (IMAP seguro): Recepción de correo cifrado. Permitir.
• Puerto 995 (POP3 seguro): Recepción de correo cifrado. Permitir.

Puedes crear una regla por puerto o, si Plesk lo permite, varias en una sola regla (por ejemplo, "25, 110, 143, 587, 993, 995"). La acción será Permitir para todos ellos.

5. Reglas para FTP (Puertos 20 y 21)

Si tus clientes suben archivos por FTP, necesitas estos puertos.

• Puertos 20 y 21 (FTP): Permitir. Si usas FTP seguro (FTPS), suele ser el puerto 990. Añádelo también si lo necesitas.

[TIP] Para FTP, además de los puertos 20 y 21, a menudo se necesita abrir un rango de puertos pasivos (ej. 30000-31000). Plesk a veces los configura automáticamente, pero si tus clientes tienen problemas, revisa la documentación de tu servidor FTP (ProFTPD o vsftpd) para conocer ese rango y añadirlo como una regla más.

Cómo Aplicar y Probar tus Reglas de Firewall en Plesk

Una vez que hayas creado todas las reglas esenciales, llega el momento de la verdad.

1. Revisa que todas las reglas estén en la lista.
2. Haz clic en el botón "Aplicar" o "Guardar y aplicar" que verás en la parte superior de la página de Firewall. Plesk se encargará de traducir esas reglas al sistema subyacente (IPTables).

[WARNING] ¡Cuidado! Al aplicar las reglas, si has configurado algo mal (por ejemplo, no has permitido el puerto 22), perderás la conexión SSH inmediatamente. Si esto ocurre, no podrás acceder al servidor de forma remota. La única solución sería acceder físicamente al servidor (o a través de un panel como el de tu proveedor de VPS) y desactivar el firewall manualmente.

Para probar, abre una ventana del navegador en modo incógnito y visita un sitio web alojado en tu servidor. Debería cargar correctamente. Intenta conectarte por SSH desde otra terminal. Si todo funciona, ¡enhorabuena! Tu firewall está operativo.

Gestión Avanzada: Puertos, IPs y Reglas Personalizadas

Una vez que dominas lo básico, puedes empezar a afinar.

Bloquear IPs específicas

¿Tienes un atacante o un bot que te está dando problemas? Puedes crear una regla para bloquearlo.

1. Agregar regla.
2. Tipo de tráfico: Puedes elegir "Cualquier" para bloquear todo el tráfico de esa IP.
3. Puerto(s): Déjalo vacío o en "Cualquier".
4. Dirección IP o subred: Escribe la IP del atacante.
5. Acción: Denegar.
6. Nombre: "Bloquear IP atacante".

Permitir un rango de IPs

Si tu empresa tiene un rango de IPs fijo (por ejemplo, de 192.168.1.0 a 192.168.1.255), puedes permitir el acceso a un servicio solo desde ese rango. En el campo de IP, escribe la IP con la máscara de subred, por ejemplo 192.168.1.0/24. Esto es muy útil para restringir el acceso SSH o al panel de control a la red de tu oficina.

Entendiendo los Protocolos TCP y UDP

En la creación de reglas, verás la opción de elegir el protocolo.

• TCP: Es el protocolo más común. Se usa para la mayoría de servicios (web, correo, SSH, FTP).
• UDP: Se usa para servicios que necesitan velocidad, como DNS (puerto 53), juegos en línea o VoIP.

Para el 99% de las reglas que crearás, usarás TCP. Solo usa UDP si sabes con certeza que un servicio específico lo requiere (como tu servidor DNS).

Preguntas Frecuentes (FAQ) sobre el Firewall de Plesk

Aquí te resuelvo las dudas más comunes que me suelen plantear los clientes:

¿Qué pasa si bloqueo el puerto 8443?
Perderás el acceso al panel de administración de Plesk. Es una de las peores cosas que puedes hacer. Asegúrate de tener una regla para permitirlo.

¿Puedo usar el firewall de Plesk si mi servidor tiene otro firewall (como CSF)?
Técnicamente, podrías, pero no es recomendable. Pueden entrar en conflicto y causar comportamientos extraños. Te sugiero elegir uno. Plesk tiene su propio firewall integrado que es suficiente para la mayoría de los casos. Si ya usas CSF, es mejor que desactives el firewall de Plesk para evitar problemas.

¿El firewall de Plesk protege contra ataques DDoS?
No directamente. Un firewall de red como el de Plesk filtra el tráfico basado en reglas, pero no está diseñado para mitigar un ataque DDoS masivo que satura el ancho de banda. Para eso, necesitarías soluciones de nivel de red (como Cloudflare o un proxy inverso).

¿Cómo sé si mi firewall está funcionando correctamente?
Puedes usar herramientas externas como "canyouseeme.org" para comprobar si un puerto específico está abierto o cerrado. Si has bloqueado un puerto, la herramienta te dirá que el "connection timed out". Si lo has permitido, te dirá que el puerto está abierto.

He visto que existe un panel llamado "Syspanel" que también tiene firewall. ¿Es similar?
Sí, la lógica es la misma. De hecho, si alguna vez usas Syspanel (que es el nuevo nombre de HestiaCP y se accede por el puerto 2106), verás que su gestión de firewall es muy parecida a la de Plesk, aunque menos pulida. Los conceptos de reglas, puertos e IPs son universales. Si aprendes con Plesk, te será fácil adaptarte a cualquier otro panel.

Conclusión: Tu servidor Plesk, un poco más seguro hoy

Configurar el firewall en Plesk es una tarea que no deberías posponer. Es la barrera principal entre tu servidor y el caos de Internet. Hemos visto que no es necesario ser un experto en SysAdmin para hacerlo bien.

Recuerda los puntos clave:

1. Activa el firewall.
2. Elige "Denegar" como política predeterminada.
3. Crea reglas de "Permitir" para los puertos esenciales (SSH, HTTP, HTTPS, Plesk, Correo, FTP).
4. Aplica los cambios con cuidado.
5. Prueba que todo funciona.

Con estos pasos, has elevado la seguridad Plesk de tu servidor de forma exponencial. Te animo a que revises las reglas periódicamente y las ajustes a las necesidades de tus proyectos. Si tienes alguna duda, deja un comentario y estaré encantado de ayudarte. ¡Nos leemos en la próxima guía!