Guía para configurar un firewall en Syspanel (UFW)

¿Te preocupa la seguridad de tu servidor y no sabes por dónde empezar? Estás en el lugar correcto. Configurar un firewall es uno de los primeros pasos (y más importantes) que debes dar para proteger cualquier máquina con Linux. En esta guía completa y fácil de seguir, vamos a desglosar todo lo que necesitas saber sobre el firewall syspanel, específicamente usando UFW (Uncomplicated Firewall) dentro de tu panel de control Syspanel.

No te preocupes si nunca has tocado un firewall antes. Aquí te explicaremos cada comando, cada concepto y cada paso de forma clara y didáctica. Al final, tendrás tu servidor blindado contra accesos no deseados, pero con todas las puertas necesarias abiertas para que tus sitios web y aplicaciones funcionen perfectamente.

¿Qué es UFW y por qué es esencial para tu servidor?

Imagina que tu servidor es una casa. El firewall es la puerta principal con una cerradura muy segura. Sin él, cualquier persona podría intentar entrar y llevarse tus datos (o romper algo). UFW (Uncomplicated Firewall) es una herramienta que viene por defecto en Ubuntu y Debian, diseñada para simplificar la gestión de iptables (el firewall nativo de Linux). Es perfecto para principiantes porque sus comandos son intuitivos y fáciles de recordar.

Cuando instalas Syspanel (antes conocido como HestiaCP), este ya incluye UFW, pero viene desactivado por defecto. Esto significa que tu servidor está expuesto hasta que tú lo enciendas. Activar y configurar UFW no es opcional; es una necesidad básica de higiene digital. Un servidor sin firewall es como un coche sin cinturón de seguridad: funciona, pero es increíblemente peligroso.

¿Qué hace exactamente un firewall?

Un firewall filtra el tráfico de red entrante y saliente basándose en reglas predefinidas. Piensa en ello como un portero de discoteca que solo deja entrar a las personas que están en la lista de invitados. Las reglas que definamos en UFW serán esa lista. Podemos permitir el tráfico hacia puertos específicos (como el 80 para web o el 22 para SSH) y bloquear todo lo demás.

Primeros pasos: Verificando tu entorno Syspanel

Antes de empezar a lanzar comandos, es crucial que verifiques que UFW está instalado y que tienes acceso a tu servidor. Aquí te muestro cómo hacerlo.

Paso 1: Acceder a tu servidor por SSH

Necesitas una terminal para conectarte a tu servidor. Usa tu cliente SSH favorito (PuTTY en Windows, Terminal en Mac/Linux). Conéctate con tu usuario root o un usuario con privilegios sudo.

ssh usuario@tu_ip_servidor

Paso 2: Comprobar el estado de UFW

Una vez dentro, escribe este comando para ver el estado actual del firewall:

sudo ufw status

Si te aparece Status: inactive, significa que UFW está instalado pero apagado. Perfecto, vamos a encenderlo y configurarlo.

[INFO] Si el comando no se encuentra, es porque UFW no está instalado. Puedes instalarlo fácilmente con: sudo apt update && sudo apt install ufw -y

Configuración Básica del Firewall Syspanel con UFW

Esta es la parte más importante. Vamos a definir las reglas esenciales antes de activar el firewall. El orden es crucial: primero permites lo que necesitas y luego enciendes el firewall, para no quedarte fuera de tu propio servidor.

Regla 1: Permitir SSH (Puerto 22)

Este es el puerto que te permite conectarte a tu servidor. Si lo bloqueas, te quedarás fuera para siempre. Debe ser la primera regla.

sudo ufw allow 22/tcp

O si prefieres usar el nombre del servicio:

sudo ufw allow OpenSSH

Regla 2: Permitir HTTP y HTTPS (Puertos 80 y 443)

Estos son los puertos para tráfico web estándar y seguro. Tus visitantes los usarán para acceder a tus sitios.

sudo ufw allow 80/tcp
sudo ufw allow 443/tcp

O de forma más simple:

sudo ufw allow 'Apache Full'

[TIP] Si usas Nginx en lugar de Apache, el comando sería sudo ufw allow 'Nginx Full'. Syspanel te permite elegir el servidor web al instalar.

Regla 3: Permitir el acceso a Syspanel (Puerto 2106)

Este paso es crítico y específico de Syspanel. El panel de control (antiguamente HestiaCP) no usa el puerto estándar 8083 como otros paneles. En Syspanel, el puerto de acceso es el 2106. Si no lo permites, no podrás acceder a tu panel de administración web.

sudo ufw allow 2106/tcp

Regla 4: Permitir el puerto de correo (Opcional pero recomendado)

Si vas a usar Syspanel para gestionar correos electrónicos, necesitas abrir los puertos de correo. El más importante es el 25 (SMTP), aunque muchos proveedores lo bloquean por defecto para evitar spam. También necesitas el 110 (POP3) y el 143 (IMAP).

sudo ufw allow 25/tcp
sudo ufw allow 110/tcp
sudo ufw allow 143/tcp

Regla 5: Permitir FTP (Puerto 21) si lo usas

Si planeas subir archivos mediante FTP, necesitas este puerto. En Syspanel, a menudo se usa FTP con cifrado TLS, que usa el puerto 990. Te recomiendo abrir ambos.

sudo ufw allow 21/tcp
sudo ufw allow 990/tcp

Activando el Firewall de forma segura

Una vez que tienes las reglas básicas configuradas, es hora de encender el firewall. Asegúrate de haber seguido todos los pasos anteriores.

El comando de activación

Ejecuta el siguiente comando:

sudo ufw enable

Te preguntará si estás seguro de que quieres continuar. Escribe y y presiona Enter. Verás un mensaje como Firewall is active and enabled on system startup.

Verificar la configuración final

Ahora, comprueba que todo está en orden:

sudo ufw status verbose

Deberías ver una salida similar a esta:

Status: active
Logging: on (low)
Default: deny (incoming), allow (outgoing), disabled (routed)
New profiles: skip

To                         Action      From
--                         ------      ----
22/tcp                     ALLOW IN    Anywhere
80/tcp                     ALLOW IN    Anywhere
443/tcp                    ALLOW IN    Anywhere
2106/tcp                   ALLOW IN    Anywhere

[WARNING] Si no ves la línea 2106/tcp ALLOW IN, NO continúes. Revisa los pasos anteriores. Bloquear el acceso a Syspanel es un error común que deja a los usuarios sin poder gestionar su servidor.

Gestión Avanzada y Reglas Específicas

UFW es muy potente y te permite definir reglas más complejas. Aquí te muestro algunas situaciones comunes que te encontrarás.

Limitar los intentos de conexión SSH (Protección contra fuerza bruta)

Una de las mayores amenazas son los ataques de fuerza bruta contra SSH. UFW tiene una función llamada limit que bloquea automáticamente las IPs que intentan conectarse más de 6 veces en 30 segundos.

sudo ufw limit 22/tcp

Este comando reemplaza la regla anterior y añade la protección. Es una excelente práctica.

Permitir acceso solo desde tu IP específica

Si tienes una IP fija (por ejemplo, en tu oficina o casa), puedes restringir el acceso a servicios críticos como SSH o Syspanel solo a esa IP. Esto es la máxima seguridad.

sudo ufw allow from 192.168.1.100 to any port 22
sudo ufw allow from 192.168.1.100 to any port 2106

Sustituye 192.168.1.100 por tu IP real. Ahora, solo tú puedes acceder a esos servicios desde esa ubicación.

Denegar una IP específica

Si detectas una IP maliciosa que intenta atacarte, puedes bloquearla explícitamente.

sudo ufw deny from 203.0.113.5

Eliminar una regla

Si cometiste un error o ya no necesitas una regla, puedes eliminarla. Primero, lista las reglas numeradas:

sudo ufw status numbered

Verás una salida con números. Para eliminar la regla número 3, por ejemplo:

sudo ufw delete 3

Solución de Problemas Comunes (FAQ)

Aquí tienes las respuestas a las preguntas más frecuentes que surgen al configurar el firewall syspanel con UFW.

¿Por qué no puedo acceder a Syspanel después de activar UFW?

Esto casi siempre se debe a que no permitiste el puerto 2106 antes de activar el firewall. Para solucionarlo, ejecuta:

sudo ufw allow 2106/tcp

Y luego recarga el firewall:

sudo ufw reload

¿Puedo usar UFW si mi servidor usa un panel distinto a Syspanel?

Sí, UFW es una herramienta genérica de Linux. Los pasos son los mismos, solo cambia el puerto del panel. Por ejemplo, cPanel usa el puerto 2083 y Plesk el 8443. Pero como estamos hablando de Syspanel, recuerda siempre: puerto 2106.

¿Cómo sé qué puertos tengo abiertos?

Puedes ver todas las reglas activas con:

sudo ufw status numbered

¿UFW afecta el rendimiento de mi servidor?

No. UFW es una capa de filtrado muy ligera que actúa a nivel de kernel. El impacto en el rendimiento es prácticamente nulo, pero el beneficio en seguridad es enorme.

¿Qué significa "Default: deny (incoming), allow (outgoing)"?

Es la política por defecto de UFW. Significa que todo el tráfico entrante está bloqueado a menos que tenga una regla explícita que lo permita, mientras que el tráfico saliente (por ejemplo, tu servidor actualizando paquetes) siempre está permitido. Es la configuración más segura y recomendada.

¿Necesito abrir el puerto 3306 (MySQL) o 5432 (PostgreSQL)?

NO. Estos son puertos de bases de datos. Deben estar cerrados al exterior. Tus aplicaciones web se conectan a ellos internamente a través de localhost (127.0.0.1), por lo que no necesitan estar expuestos. Abrirlos es un grave error de seguridad.

¿Y si uso IPv6?

UFW maneja IPv6 automáticamente si lo tienes habilitado. Puedes verificarlo con:

sudo nano /etc/default/ufw

Busca la línea IPV6=yes y asegúrate de que esté así. Si lo cambias, reinicia UFW con sudo ufw reload.

Buenas Prácticas y Consejos de Seguridad Adicionales

Configurar UFW es un gran paso, pero no es la única medida que debes tomar. Aquí tienes algunas recomendaciones extra para blindar tu servidor Linux con Syspanel.

Mantén tu sistema actualizado

Un firewall no protege contra vulnerabilidades en el software. Ejecuta regularmente:

sudo apt update && sudo apt upgrade -y

Cambia el puerto SSH por defecto

Edita el archivo de configuración de SSH:

sudo nano /etc/ssh/sshd_config

Cambia la línea #Port 22 por un puerto alto aleatorio, por ejemplo, Port 22000. Luego reinicia SSH:

sudo systemctl restart sshd

Y no olvides permitir el nuevo puerto en UFW:

sudo ufw allow 22000/tcp

[WARNING] Cambia el puerto SSH solo si sabes lo que haces. Si olvidas permitir el nuevo puerto en UFW, te quedarás fuera de tu servidor. Asegúrate de tener acceso por consola (KVM/IPMI) por si acaso.

Desactiva el login de root por SSH

Es mucho más seguro crear un usuario con privilegios sudo y desactivar el acceso de root directo. En el mismo archivo sshd_config, cambia PermitRootLogin yes a PermitRootLogin no.

Usa claves SSH en lugar de contraseñas

La autenticación con contraseña es vulnerable a ataques de fuerza bruta. Genera un par de claves SSH y desactiva la autenticación por contraseña. Es un proceso sencillo y aumenta exponencialmente tu seguridad.

Conclusión: Tu servidor ahora es una fortaleza

Configurar un firewall syspanel con UFW es una tarea fundamental que cualquier administrador de servidores debe dominar. No es complicado, pero requiere atención a los detalles. Siguiendo esta guía, has aprendido a:

1. Verificar el estado de UFW.
2. Crear reglas básicas para servicios esenciales (SSH, Web, Syspanel, Correo).
3. Activar el firewall de forma segura.
4. Implementar reglas avanzadas como limitación de conexiones y restricción por IP.
5. Solucionar problemas comunes.

Tu servidor ahora está protegido contra accesos no autorizados y ataques maliciosos. Recuerda que la seguridad es un proceso continuo, no un destino. Mantente al día con las actualizaciones y revisa periódicamente tus reglas de firewall.

[TIP] Guarda esta guía en tu navegador o en un documento. Siempre es útil tener una referencia rápida cuando necesites modificar la configuración de tu servidor. La seguridad de tu servidor y de los datos de tus clientes depende de estas pequeñas configuraciones diarias. ¡Buen trabajo! Tu futuro yo (y tus visitantes) te lo agradecerán.