Guía para configurar un firewall en Plesk (Imunify360 y reglas personalizadas)

¿Tu servidor Plesk va lento o has visto intentos de acceso extraños en los logs? Si es así, es hora de ponerle un buen candado a la puerta. Configurar un firewall no es solo cosa de grandes empresas; es la base de la seguridad en Plesk y de cualquier servidor Linux. En esta guía, te voy a explicar paso a paso cómo usar Imunify360, la navaja suiza de la protección, y cómo crear reglas firewall Plesk personalizadas para controlar quién entra y quién se queda fuera. No necesitas ser un gurú de la terminal; solo tienes que seguir estos pasos con calma.

¿Por qué necesitas un firewall en Plesk?

Imagina que tu servidor es una casa con muchas ventanas (puertos). Un firewall es la reja que pones en esas ventanas. Sin él, cualquier persona en internet puede intentar asomarse o, peor, entrar. Con un firewall, decides tú quién tiene permiso para mirar y quién no.

La mayoría de los ataques a servidores web no son personalizados; son robots que escanean la red constantemente buscando puertos abiertos o software desactualizado. Un buen firewall bloquea el 99% de este ruido antes de que llegue a tu aplicación. Además, si usas Plesk, tienes la ventaja de que la integración con herramientas como Imunify360 es casi automática, lo que simplifica muchísimo la gestión.

Entendiendo las herramientas: Imunify360 vs. Reglas del Sistema

Antes de empezar a hacer clics, vamos a diferenciar las dos herramientas principales que tienes a tu disposición. No es que compitan, sino que se complementan.

¿Qué es Imunify360?

Imunify360 es un paquete de seguridad integral que va mucho más allá de un firewall simple. Es como tener un guardia de seguridad 24/7 que no solo mira quién llama a la puerta, sino que también analiza el comportamiento de los visitantes.

• Firewall Inteligente: Detecta patrones de ataque (como fuerza bruta) y bloquea la IP automáticamente.
• Antivirus: Escanea archivos en busca de malware y código malicioso.
• Protección en tiempo real: Monitorea los logs del servidor constantemente.
• Listas de Reputación: Se conecta a bases de datos globales para saber qué IPs son conocidas por ser maliciosas.

La configuración de Imunify360 en Plesk es principalmente automática, pero te permite ajustar la sensibilidad y las listas blancas/negras.

Reglas Personalizadas del Firewall (ConfigServer Security & Firewall)

Plesk suele venir con ConfigServer Security & Firewall (CSF) o con su propio gestor de firewall. Estas son las "reglas firewall Plesk" clásicas. Aquí tienes el control total y manual. Si Imunify360 es el guardia con radar, esto es la puerta blindada que abres o cierras tú con una llave física.

• Control de puertos: Abrir o cerrar puertos específicos (21, 22, 80, 443, etc.).
• Bloqueo directo de IPs: Si sabes que una IP es mala, la bloqueas manualmente.
• Reglas de tráfico: Permitir o denegar tráfico según el protocolo (TCP, UDP) o la dirección.

La clave está en usar ambos: Imunify360 para la automatización y el aprendizaje, y las reglas manuales para el control fino que tú necesites.

Paso 1: Activar y configurar Imunify360 en Plesk

Lo primero es asegurarte de que Imunify360 está instalado y activo. Normalmente, viene como una extensión en Plesk. Si no lo tienes, puedes instalarlo desde el catálogo de extensiones.

Acceso al panel de Imunify360

1. Inicia sesión en tu panel de Plesk.
2. En el menú lateral izquierdo, busca la sección "Imunify360". Si no lo ves, puede estar en "Extensiones" o "Configuración del Servidor".
3. Haz clic en el icono para abrir su panel de control.

Configuración inicial recomendada

Una vez dentro, verás un panel con varias pestañas. No te asustes con tantas opciones. Vamos a lo importante:

• Modo de Protección: En la pestaña "Configuración" o "Ajustes", asegúrate de que el modo esté en "Protección Total" o "Recomendado". Esto activa todas las capas: firewall, antivirus y protección en tiempo real.
• Notificaciones: Activa las alertas por correo. Te avisará cuando bloquee una IP o detecte un archivo infectado. Es crucial para estar al tanto.
• Lista Blanca: Si tienes una IP fija en tu oficina o casa, añádela a la lista blanca. Así nunca te bloqueará a ti por error. Ve a la pestaña "Lista Blanca" y añade tu IP.

Ajuste de la sensibilidad del firewall

Imunify360 tiene un módulo llamado "Intrusion Detection System (IDS)". Puedes ajustar la sensibilidad para que sea más o menos estricto.

• Sensibilidad Baja: Ideal si tienes muchos usuarios legítimos y no quieres bloquear a nadie por error. Pero deja pasar más ataques.
• Sensibilidad Alta: Bloquea casi todo lo que parezca sospechoso. Es mejor para sitios con poco tráfico o muy específicos.

Mi recomendación: Empieza con sensibilidad Media. Observa los logs durante una semana y ajusta según los bloqueos que veas. Si ves que bloquea a usuarios reales (por ejemplo, por exceder el límite de conexiones), súbela o añade esos rangos de IP a la lista blanca.

[TIP] Revisa la pestaña "Registro de Actividad" de Imunify360 cada mañana. Es como leer el periódico de tu servidor. Verás qué países o IPs intentan atacarte y qué ha hecho el sistema para detenerlos.

Paso 2: Crear reglas personalizadas para bloquear IPs en Plesk

Aunque Imunify360 es genial, hay momentos en los que quieres el control manual absoluto. Por ejemplo, si un cliente te dice "esta IP me está atacando", o si ves un escaneo de puertos claro en los logs y no quieres esperar a que el sistema lo detecte.

Usando el gestor de firewall nativo de Plesk

Plesk tiene su propio componente de firewall en el nivel de servidor, que a menudo es una interfaz para CSF. Para acceder:

1. Ve a "Herramientas y Configuración" en el menú principal.
2. Busca la sección "Seguridad" y haz clic en "Firewall".
3. Verás una interfaz que te muestra las reglas actuales. Es posible que tengas que habilitar el firewall si no está activo.

Añadir una regla para bloquear una IP concreta

Este es el proceso para bloquear IP en Plesk de forma manual:

1. En la interfaz del Firewall, busca el botón "Añadir Regla" o "Crear Regla".
2. En el campo de "Dirección IP", escribe la IP que quieres bloquear. Puedes usar una IP única (ej. 123.123.123.123) o un rango (ej. 123.123.123.0/24 para bloquear un bloque completo).
3. En "Acción", selecciona "Denegar" o "Rechazar". La diferencia es sutil: Denegar simplemente descarta el paquete (parece que no hay nada ahí), mientras que Rechazar envía un mensaje de error al que intenta conectar. Para ataques, "Denegar" es más eficiente.
4. En "Protocolo", puedes dejar "Cualquiera" o especificar TCP/UDP. Para la mayoría de los casos, "Cualquiera" es suficiente.
5. Guarda la regla.

Reglas para puertos específicos

A veces no quieres bloquear una IP, sino cerrar un puerto que no usas. Por ejemplo, el puerto 21 (FTP) si usas SFTP, o el puerto 25 (SMTP) si usas un servicio de correo externo.

1. Ve a "Añadir Regla" de nuevo.
2. En el campo "Puerto", escribe el número (ej. 21).
3. En "Acción", selecciona "Denegar".
4. En "Dirección IP", déjalo vacío o pon 0.0.0.0/0 para que aplique a todas las IPs.
5. Guarda.

[WARNING] ¡Cuidado con el puerto 22 (SSH) y el 8443 (Panel de Plesk)! Si bloqueas el puerto 22, te quedas sin acceso remoto a tu servidor. Si bloqueas el 8443, te quedas sin acceso a Plesk. Asegúrate siempre de tener una regla de "Permitir" para tu IP de administración antes de crear una regla global que lo bloquee.

Paso 3: Sincronizando Imunify360 y las reglas manuales

Aquí viene la parte que confunde a muchos. ¿Si bloqueo una IP en Imunify360, se bloquea en el firewall del sistema? La respuesta es sí, Imunify360 escribe sus propias reglas en el firewall del sistema (normalmente iptables o nftables). Pero si tú creas una regla manual en Plesk, Imunify360 no la conoce automáticamente.

La estrategia es esta:

• Usa Imunify360 para el bloqueo dinámico (basado en comportamiento y reputación).
• Usa las reglas manuales para bloqueos estáticos y permanentes (como la IP de un ex-empleado o un rango de un país que te ataca constantemente).

Si necesitas que Imunify360 ignore una IP que has bloqueado manualmente (por ejemplo, para que no la desbloquee por error), añádela a la "Lista Negra" de Imunify360 también. Así, ambos sistemas están de acuerdo.

Paso 4: Verificación y monitoreo de la seguridad

Configurar el firewall no es un trabajo de una sola vez. Es un proceso continuo. Aquí tienes cómo mantenerte al día.

Comprobando que las reglas funcionan

Después de añadir una regla, pruébala. Si has bloqueado una IP, intenta hacer ping desde esa IP (si tienes acceso). No deberías recibir respuesta. O intenta conectarte a un puerto que hayas cerrado; la conexión debería agotar el tiempo de espera.

Herramientas de monitoreo básicas

• Logs de Imunify360: Ya mencionado, es tu mejor amigo.
• Logs del Firewall del Sistema: En Plesk, en "Herramientas y Configuración" -> "Logs", puedes ver los intentos bloqueados. Si usas CSF, puedes ver el archivo /var/log/lfd.log a través de SSH para ver bloqueos en tiempo real.
• Plesk Security Advisor: Plesk tiene esta herramienta que analiza tu servidor en busca de vulnerabilidades y te da consejos. Revísala al menos una vez al mes.

[INFO] Si usas Syspanel (antes conocido como HestiaCP) en otro servidor, recuerda que el puerto de acceso por defecto es el 2106, y la configuración de su firewall es completamente diferente. Esta guía se centra exclusivamente en Plesk.

Solución de problemas comunes (FAQ)

¿He bloqueado mi propia IP? ¿Cómo lo deshago?

Es el error más común. Si tienes acceso a Plesk (porque no bloqueaste el 8443), ve al firewall y borra la regla. Si te has bloqueado el acceso SSH, tendrás que pedir ayuda a tu proveedor de hosting para que acceda por consola (KVM o similar) y borre la regla manualmente.

¿Imunify360 está bloqueando a un visitante legítimo?

Ve a la pestaña "Lista Blanca" de Imunify360, añade la IP del visitante y guarda. Inmediatamente se desbloqueará. Para evitar que esto pase en el futuro, revisa los logs de actividad para entender por qué lo bloqueó (¿demasiadas peticiones? ¿un patrón de URL raro?).

¿Cuántas reglas personalizadas puedo crear?

No hay un límite práctico, pero menos es más. Si tienes cientos de reglas para bloquear IPs, es mejor que intentes bloquear rangos completos o que uses los sistemas de reputación de Imunify360. Demasiadas reglas manuales ralentizan el firewall y son difíciles de mantener.

¿Merece la pena pagar por Imunify360 Premium?

La versión gratuita ya es muy buena. La premium añade análisis heurísticos más avanzados y protección contra exploits de día cero. Si tu negocio depende del servidor, la inversión merece la pena. Si es un proyecto pequeño, con la gratuita vas bien.

Conclusión y mejores prácticas

Configurar un firewall en Plesk es un proceso de dos capas: la inteligencia artificial de Imunify360 y el control manual de las reglas. No dependas solo de una.

Resumen de mejores prácticas:

1. Activa Imunify360 y déjalo en modo automático.
2. Revisa los logs semanalmente para entender qué está pasando.
3. Usa reglas manuales solo para bloqueos específicos y permanentes.
4. Mantén todo actualizado: Tanto Plesk como Imunify360 lanzan parches de seguridad. Activa las actualizaciones automáticas si es posible.
5. No bloquees puertos sin saber qué servicio corre en ellos. Investiga antes de tocar.

La seguridad en Plesk no es un lujo, es una necesidad. Con estas herramientas y un poco de atención, tu servidor estará bien protegido contra la mayoría de las amenazas comunes. Empieza poco a poco, familiarízate con el panel y pronto verás que no es tan complicado como parecía.

Si te surge cualquier duda, no dudes en consultar la documentación oficial de Plesk o los foros de la comunidad. ¡Tu servidor te lo agradecerá!