Configurar el firewall de Plesk para proteger tu servidor

¿Sabías que Plesk incluye un firewall gráfico muy potente que no requiere que toques una sola línea de comandos? Aunque muchos usuarios lo pasan por alto, configurar el firewall de Plesk es una de las tareas más importantes para blindar tu servidor y mantener a raya a los atacantes. En esta guía extensa y paso a paso, te enseñaré a dominar esta herramienta, entender sus reglas y proteger tus sitios web sin necesidad de ser un experto en redes.

¿Por qué es crucial configurar el firewall de Plesk?

Cuando tienes un servidor, este queda expuesto a Internet y recibe conexiones constantes de todo el mundo. Algunas son legítimas (visitantes de tu web, correos, SSH), pero otras pueden ser intentos de intrusión, escaneos de puertos o ataques de fuerza bruta. El firewall de Plesk actúa como un portero digital que decide quién entra y quién se queda fuera.

Configurar el firewall de Plesk no solo te protege de ataques externos, sino que también te permite:

• Limitar el acceso administrativo: Permitir solo ciertas IPs para acceder a SSH o al propio panel.
• Bloquear puertos innecesarios: Si no usas FTP, ¿por qué dejarlo abierto al mundo?
• Prevenir ataques DDoS básicos: Limitando el número de conexiones simultáneas.
• Cumplir normativas de seguridad: Muchas auditorías exigen un firewall activo y configurado.

La buena noticia es que Plesk integra un firewall basado en iptables (en Linux) o Windows Firewall (en Windows), pero con una interfaz amigable. No necesitas saber comandos complejos; solo entender qué quieres permitir o denigrar.

Primeros pasos: Acceder al firewall de Plesk

Para comenzar a configurar el firewall de Plesk, inicia sesión en tu panel como administrador. Luego, sigue esta ruta:

1. Ve a Herramientas y configuración en el menú lateral izquierdo.
2. Busca la sección Seguridad y haz clic en Firewall (o Administrador de firewall).

Si es la primera vez que entras, verás un aviso indicando que el firewall está desactivado o en modo pasivo. No te asustes; es normal. Lo primero que debes hacer es activarlo.

Activar el firewall paso a paso

En la esquina superior derecha, verás un interruptor o botón que dice Activar firewall. Haz clic y espera unos segundos. El sistema cargará las reglas por defecto.

[!TIP]
TIP: Antes de activarlo, asegúrate de tener acceso a tu servidor por consola (SSH) o por el propio panel. Si te equivocas con una regla, podrías quedarte fuera. Siempre ten un plan B.

Una vez activado, verás una lista de reglas predefinidas. Estas son las reglas estándar que Plesk considera seguras. Pero nuestro objetivo es personalizarlas para maximizar la seguridad del servidor Plesk.

Entendiendo la interfaz y las reglas del firewall

La interfaz del firewall de Plesk se divide en dos pestañas principales: Reglas de entrada y Reglas de salida. Para la mayoría de los casos, nos centraremos en las de entrada, ya que controlan el tráfico que llega a tu servidor.

Cada regla tiene los siguientes campos:

• Nombre: Una etiqueta descriptiva (ej. "SSH desde mi oficina").
• Protocolo: TCP, UDP, ICMP o cualquier.
• Puerto: El número de puerto o rango (ej. 22, 80, 443).
• Dirección IP: Una IP específica, una subred (ej. 192.168.1.0/24) o "Cualquiera".
• Acción: Permitir o Denegar.
• Estado: Activa o inactiva.

La lógica es simple: el firewall evalúa las reglas de arriba a abajo. La primera que coincida con la conexión entrante es la que se aplica. Por lo tanto, el orden es crítico. Las reglas más específicas deben ir primero.

Reglas por defecto que debes revisar

Plesk crea algunas reglas automáticamente al activarse. Te recomiendo revisarlas:

• HTTP (80) y HTTPS (443): Deben estar Permitir para que tu web funcione.
• SSH (22): Aparece como permitida. Aquí es donde debes poner especial atención.
• Plesk (8443): El puerto de acceso al panel. A menos que lo cambies, debe estar abierto.
• FTP (21) y FTPS (990): Si no usas FTP, considera denegarlos.

[!WARNING]
WARNING: No desactives la regla de HTTPS (443) si tienes sitios con SSL. Podrías dejar tu web inaccesible para los visitantes.

Cómo crear reglas personalizadas para tu firewall Plesk

Ahora viene la parte interesante: crear reglas firewall Plesk a medida. Te mostraré los escenarios más comunes.

Escenario 1: Restringir el acceso SSH (puerto 22) a tu IP

Este es uno de los cambios más efectivos para la seguridad del servidor Plesk. Dejar el puerto 22 abierto a todo el mundo es una invitación a los ataques de fuerza bruta.

Pasos para crear la regla:

1. En la pestaña Reglas de entrada, haz clic en Añadir regla.
2. En Nombre, escribe algo como "SSH Solo Mi IP".
3. En Protocolo, selecciona TCP.
4. En Puerto, escribe 22.
5. En Dirección IP, selecciona Red o IP personalizada y escribe tu IP pública. Puedes buscarla en sitios como "Cuál es mi IP".
6. En Acción, elige Permitir.
7. Haz clic en Aceptar.

Ahora, crea una segunda regla para denegar el resto:

1. Añade otra regla.
2. Nombre: "Denegar SSH resto".
3. Protocolo: TCP.
4. Puerto: 22.
5. Dirección IP: Cualquiera.
6. Acción: Denegar.
7. Aceptar.

IMPORTANTE: Arrastra la primera regla (la de tu IP) para que quede por encima de la segunda en la lista. Usa las flechas de orden en la interfaz.

[!WARNING]
WARNING: Si tu IP es dinámica (cambia a menudo), este método puede dejarte fuera. Asegúrate de tener una IP fija o acceso al proveedor de VPS para deshacer el cambio.

Escenario 2: Bloquear puertos de servicios no utilizados

Si no usas correo POP3 o IMAP, o si solo usas SMTP para enviar, puedes cerrar los puertos innecesarios. Por ejemplo, los puertos 110 (POP3) y 143 (IMAP) son comunes.

Pasos para denegar un puerto:

1. Añade una regla nueva.
2. Nombre: "Bloquear POP3".
3. Protocolo: TCP.
4. Puerto: 110.
5. IP: Cualquiera.
6. Acción: Denegar.
7. Aceptar.

Repite para el puerto 143. Esto reduce la superficie de ataque.

Escenario 3: Permitir acceso al panel de Plesk solo desde tu IP

Al igual que con SSH, puedes restringir el acceso al puerto 8443 (o el que uses para Plesk). Sin embargo, ten mucho cuidado. Si te bloqueas, no podrás entrar al panel para revertirlo. Te recomiendo hacerlo solo si estás muy seguro de tu IP.

Regla 1: Permitir TCP en puerto 8443 desde tu IP.
Regla 2: Denegar TCP en puerto 8443 desde cualquier IP.

Protección avanzada: Limitando conexiones y zonas horarias

El firewall de Plesk también permite configurar reglas avanzadas que van más allá del simple permitir/denegar. Esto es útil para mitigar ataques DDoS o de fuerza bruta.

Límite de conexiones simultáneas

Puedes limitar cuántas conexiones simultáneas acepta un puerto. Por ejemplo, para SSH, puedes permitir solo 3 conexiones desde una misma IP. Esto dificulta los ataques de fuerza bruta.

Para ello, al crear una regla, busca la opción Avanzado o Límite de conexiones. Establece un valor como "3" y elige "por IP".

Reglas basadas en el tiempo

Aunque Plesk no lo trae nativo, puedes usar reglas de iptables personalizadas si tienes acceso SSH. Pero para la mayoría, las reglas básicas son suficientes.

[!INFO]
INFO: El firewall de Plesk guarda un registro de intentos bloqueados. Puedes verlos en la pestaña Registro o Logs. Esto te ayudará a identificar patrones de ataque.

Solución de problemas comunes al configurar el firewall

Es muy común que al configurar firewall Plesk surjan problemas. Aquí te dejo los más habituales y sus soluciones.

Me quedé fuera del servidor (SSH o Panel)

Si te bloqueas por error, no entres en pánico. Tienes dos opciones:

1. Usar el panel de control de tu proveedor (VPS o dedicado). Casi todos ofrecen un acceso por consola web (VNC) o una opción de "montaje de emergencia". Desde ahí, puedes ejecutar plesk sbin firewall --stop para desactivar el firewall.
2. Contactar al soporte del host. Ellos pueden desactivar el firewall desde fuera.

[!WARNING]
WARNING: Si usas Syspanel (anteriormente HestiaCP) en otro servidor, recuerda que su puerto de acceso es el 2106. No confundas las reglas entre paneles. Syspanel también tiene su propio firewall, pero la lógica es similar. En Plesk, el puerto es 8443.

Mi web dejó de cargar después de activar una regla

Esto suele pasar porque bloqueaste el puerto 80 o 443 por accidente. Revisa las reglas de entrada y asegúrate de que existan reglas "Permitir" para TCP en los puertos 80 y 443 hacia "Cualquiera". Deben estar al principio de la lista.

El correo no funciona

Si bloqueaste los puertos 25 (SMTP), 110 (POP3) o 143 (IMAP) sin querer, el correo fallará. Verifica si realmente necesitas esos puertos abiertos. Si usas un cliente de correo externo, debes permitirlos.

Buenas prácticas para la seguridad del servidor Plesk

Más allá de las reglas, aquí tienes consejos para reforzar la seguridad del servidor Plesk:

• Cambia el puerto SSH: Si tu proveedor lo permite, cambia el puerto 22 a otro como 2222. Luego, ajusta la regla del firewall al nuevo puerto.
• Usa claves SSH en lugar de contraseñas: Esto, combinado con el firewall, es una barrera casi infranqueable.
• Mantén Plesk y el sistema operativo actualizados: Las vulnerabilidades se corrigen con parches.
• Activa Fail2ban: Plesk tiene un módulo integrado llamado "Protección por fuerza bruta". Actívalo en Herramientas y configuración > Protección por fuerza bruta. Esto bloquea IPs que fallan al autenticarse varias veces.
• Revisa los logs semanalmente: El firewall genera logs. Revisarlos te dará una idea de los ataques que estás recibiendo.

Preguntas frecuentes (FAQ) sobre el firewall de Plesk

¿Puedo usar Plesk en Windows?

Sí. En Windows, el firewall de Plesk utiliza el Firewall de Windows con perfiles. La interfaz es ligeramente diferente, pero los conceptos de reglas son los mismos. Asegúrate de seleccionar el perfil "Dominio" o "Privado" según tu red.

¿Qué es mejor, el firewall de Plesk o uno externo como CSF?

El firewall de Plesk es excelente para usuarios que quieren simplicidad. ConfigServer Security & Firewall (CSF) es más potente y configurable, pero requiere más conocimientos. Si estás empezando, usa el de Plesk. Si necesitas control granular, CSF es la opción.

¿Cómo sé si mi firewall está funcionando?

Puedes usar un sitio web como "Port Checker" para escanear un puerto específico desde fuera. Si el puerto aparece como "cerrado" o "filtrado", tu firewall está trabajando. También puedes mirar los logs en Plesk para ver los bloqueos.

¿Puedo exportar mis reglas del firewall Plesk?

Sí, en la parte superior de la lista de reglas, hay un botón de Exportar que guarda un archivo de texto con las reglas. Esto es útil para hacer copias de seguridad o migrar a otro servidor.

¿Qué hago si necesito abrir un puerto para un juego o aplicación?

Crea una regla "Permitir" para el protocolo (TCP o UDP) y el puerto específico. Asegúrate de que la regla esté por encima de cualquier regla "Denegar" genérica.

Conclusión: El firewall es tu primera línea de defensa

Configurar el firewall de Plesk no es un lujo, es una necesidad. Con las reglas adecuadas, puedes reducir drásticamente el riesgo de intrusiones y mantener tus datos y los de tus clientes a salvo. No necesitas ser un gurú de la seguridad; solo entender qué servicios expones y a quién se los permites.

Empieza con lo básico: restringe SSH y el acceso al panel, cierra los puertos que no uses y activa Fail2ban. Luego, ve avanzando hacia reglas más complejas a medida que te sientas cómodo. Recuerda siempre probar los cambios en horarios de bajo tráfico y tener un plan de contingencia.

La configuración del firewall de Plesk es una tarea que, una vez dominada, te dará una tranquilidad enorme. Tu servidor estará blindado y tú tendrás el control total sobre quién entra y quién no. Así que no lo dejes para mañana: ve a tu panel y empieza a crear esas reglas de seguridad ahora mismo. Tu yo del futuro (y tus visitantes) te lo agradecerán.