Plesk: Cómo configurar el cortafuegos y la seguridad del servidor

¿Por qué es clave la seguridad en Plesk?

Cuando gestionas un servidor web, la seguridad no es un lujo, es una necesidad. Plesk es uno de los paneles de control más populares del mercado, y precisamente por eso, es un objetivo constante para ataques automatizados, bots y personas malintencionadas que buscan vulnerabilidades. La buena noticia es que Plesk incluye herramientas muy potentes para proteger tu servidor, y en esta guía te voy a enseñar a configurarlas paso a paso, sin necesidad de ser un experto en redes.

Piensa en tu servidor como si fuera tu casa. El cortafuegos es la puerta principal con cerradura, y Fail2Ban es el perro guardián que ladra y avisa si alguien merodea demasiado. Configurar ambos correctamente es la diferencia entre tener una casa segura o una con la puerta abierta de par en par.

A lo largo de este artículo, vamos a desgranar cómo funciona el cortafuegos Plesk, cómo crear reglas firewall Plesk efectivas, y cómo sacarle todo el partido a Fail2Ban Plesk para una protección servidor Plesk realmente sólida. Al final, tendrás un plan de acción claro para blindar tu infraestructura.

Primeros pasos: Accede al Firewall de Plesk

Antes de empezar a crear reglas, necesitas saber dónde está todo. Plesk integra la gestión del firewall (normalmente usando firewalld o iptables en Linux) directamente en su interfaz gráfica. Esto es una gran ventaja, porque no tendrás que escribir comandos complicados en la terminal.

Para acceder, inicia sesión en tu panel de Plesk y sigue esta ruta:

1. Ve a la barra lateral izquierda y busca la sección "Herramientas y ajustes".
2. Dentro de esta, en el grupo "Seguridad", encontrarás la opción "Firewall" o "Cortafuegos".
3. Haz clic en ella y se abrirá el panel de gestión del firewall.

Aquí verás una interfaz limpia con varias pestañas, normalmente: "Reglas de firewall", "Protección contra intrusiones" (donde está Fail2Ban) y "Configuración". No te asustes, es más sencillo de lo que parece.

[INFO] Si tu servidor usa un firewall externo (como el de tu proveedor de nube), las reglas que configures en Plesk se sumarán a las de ese firewall. Es importante tenerlo en cuenta para no duplicar o contradecir reglas. La regla de oro es: si bloqueas en el firewall del proveedor, también deberías bloquear en Plesk para que la gestión sea coherente.

Configurando el Cortafuegos Plesk: Reglas Básicas

El cortafuegos funciona con reglas. Una regla le dice al servidor qué tráfico puede entrar y salir, y desde qué direcciones IP. Vamos a crear las reglas más comunes que necesitarás para un servidor web estándar.

Reglas de entrada (Inbound)

Estas reglas controlan el tráfico que viene de fuera hacia tu servidor. Es la parte más crítica de la configuración.

1. Acceso a puertos estándar: Lo primero es asegurarse de que los puertos esenciales están abiertos. Normalmente, Plesk ya incluye estas reglas por defecto, pero es bueno verificarlas. Deberías tener reglas para:

   • Puerto 80 (HTTP): Para el tráfico web normal.
   • Puerto 443 (HTTPS): Para el tráfico web cifrado. Este es imprescindible.
   • Puerto 21 (FTP): Solo si usas FTP clásico. Si puedes, usa SFTP (puerto 22) que es más seguro.
   • Puerto 22 (SSH): Para la administración remota del servidor. Nunca lo dejes abierto a todo el mundo (0.0.0.0/0) si puedes evitarlo.

2. Puertos de Plesk: El panel en sí necesita sus puertos. El principal es el 8443 (para acceso HTTPS a Plesk). También puedes tener el 8880 para HTTP (no recomendado, usa siempre HTTPS).

3. Puertos de correo: Si tu servidor gestiona email, necesitas abrir:

   • 25 (SMTP): Para enviar correo.
   • 110 (POP3) y 143 (IMAP): Para que los clientes de correo lean sus mensajes.
   • 465 (SMTPS) y 993 (IMAPS): Para las versiones cifradas de los anteriores.

Creando una regla personalizada

Imagina que quieres permitir el acceso a un puerto específico solo para una IP concreta, por ejemplo, el puerto 22 (SSH) solo desde tu oficina.

1. En la pestaña "Reglas de firewall", haz clic en "Añadir regla".
2. En "Puerto", escribe 22.
3. En "Dirección IP remota" (o "Origen"), selecciona "Red o IP específica" y escribe tu IP pública (puedes buscarla en Google con "cuál es mi IP").
4. En "Acción", selecciona "Permitir".
5. Haz clic en "Aceptar" y luego en "Aplicar cambios" en la parte superior para que la regla surta efecto.

[TIP] Si no sabes tu IP pública, una forma rápida de averiguarla es visitar sitios web como whatismyip.com desde la red desde la que te conectas. Guárdala en un lugar seguro, la necesitarás para configurar accesos restringidos.

Restringir el acceso al panel de Plesk (Puerto 8443)

Esta es una de las mejores prácticas de seguridad Plesk. No quieres que cualquier persona en Internet pueda intentar acceder a tu panel de control.

1. Busca la regla que permite el acceso al puerto 8443.
2. Edítala.
3. Cambia el origen de "Cualquier lugar" a "Red o IP específica".
4. Introduce tu IP de oficina o una lista de IPs de confianza.
5. Guarda los cambios.

De esta manera, aunque alguien adivine tu contraseña, no podrá siquiera intentar conectarse desde otra ubicación. Es una capa extra de protección muy efectiva.

Fail2Ban Plesk: Tu Guardián Automático

Fail2Ban es una herramienta que actúa como un sistema de detección y prevención de intrusiones. Su función es simple pero brillante: vigila los registros del sistema (logs) y si detecta múltiples intentos fallidos de conexión (por ejemplo, de contraseña SSH o de login en WordPress), bloquea automáticamente la IP del atacante durante un tiempo determinado.

Cómo activar Fail2Ban en Plesk

Plesk integra Fail2Ban de serie, pero puede que esté desactivado por defecto.

1. Ve a "Herramientas y ajustes" > "Protección contra intrusiones".
2. Verás un interruptor principal. Actívalo para habilitar Fail2Ban.
3. Plesk te mostrará una serie de "modos" de protección (General, Web, Correo, etc.). Cada modo incluye un conjunto de reglas predefinidas. Te recomiendo empezar con el modo "General" que cubre los ataques más comunes a SSH y FTP.

Configurando los ajustes de Fail2Ban

Una vez activado, es hora de ajustar el comportamiento.

1. En la misma pantalla, verás una lista de servicios protegidos (SSH, FTP, Apache, etc.) y el número de intentos permitidos.
2. Puedes ajustar el "Número de intentos": ¿Cuántos fallos se permiten antes de bloquear? Un valor típico es 5.
3. También puedes ajustar el "Tiempo de bloqueo": ¿Cuánto tiempo se bloquea la IP? Por defecto suele ser 600 segundos (10 minutos), pero puedes subirlo a 3600 (1 hora) o más para ataques persistentes.
4. Hay un campo llamado "Tiempo de búsqueda" que determina la ventana de tiempo en la que se cuentan los intentos. Por ejemplo, 5 intentos en 10 minutos.

[WARNING] Ten cuidado con los valores demasiado estrictos. Si pones "3 intentos" con un bloqueo de "24 horas", podrías bloquearte a ti mismo si te equivocas de contraseña un par de veces. Empieza con valores moderados y ajústalos según tu experiencia.

Añadir reglas personalizadas a Fail2Ban (Jails)

Fail2Ban permite crear "jails" (celdas) personalizadas para proteger aplicaciones específicas. Por ejemplo, proteger el login de WordPress.

1. En la sección de Fail2Ban, busca la pestaña "Jails" o "Cárceles".
2. Plesk te permite añadir una nueva jail especificando el filtro (qué buscar en los logs) y la acción (qué hacer cuando se encuentre).
3. Para WordPress, necesitarías saber la ruta del log de acceso de Apache y el patrón de error de login. Plesk tiene algunas plantillas predefinidas para aplicaciones comunes.

Esta parte es más avanzada, pero es increíblemente útil para una protección servidor Plesk personalizada.

Más allá del firewall: Buenas prácticas de seguridad

El cortafuegos y Fail2Ban son la base, pero no son suficientes por sí solos. Aquí tienes otras capas de seguridad que debes considerar.

Mantén Plesk y el sistema operativo actualizados

Plesk te avisa cuando hay actualizaciones disponibles. No las ignores. Las actualizaciones no solo añaden funciones nuevas, sino que corrigen vulnerabilidades de seguridad conocidas. Lo mismo aplica a los paquetes del sistema operativo.

Usa autenticación de dos factores (2FA)

Habilita 2FA para tu cuenta de administrador de Plesk y para las cuentas de tus clientes si es posible. Esto añade una capa extra que hace casi imposible el acceso no autorizado, incluso si tu contraseña es robada.

Cambia el puerto SSH por defecto

Aunque tengas un firewall, cambiar el puerto SSH del 22 a otro número (por ejemplo, 2222) reduce drásticamente los ataques automatizados de bots que escanean el puerto 22 constantemente.

1. Accede a tu servidor por SSH.
2. Edita el archivo de configuración de SSH: nano /etc/ssh/sshd_config.
3. Busca la línea #Port 22 y cámbiala a Port 2222.
4. Guarda el archivo y reinicia el servicio SSH: systemctl restart sshd.

[WARNING] IMPORTANTE: Antes de cerrar la sesión SSH, abre una nueva conexión en el nuevo puerto (2222) para asegurarte de que funciona. Si fallas, podrías quedarte sin acceso remoto al servidor. Ten siempre una alternativa de acceso (como el panel de tu proveedor) para poder revertir el cambio.

Configura la política de contraseñas

En Plesk, puedes definir requisitos de complejidad para las contraseñas de los usuarios. Ve a "Herramientas y ajustes" > "Política de seguridad" y exige contraseñas largas, con combinación de mayúsculas, minúsculas, números y símbolos.

Preguntas Frecuentes (FAQ) sobre la seguridad en Plesk

Para terminar, vamos a resolver algunas dudas comunes que suelen tener los usuarios.

¿Qué hago si me he bloqueado mi propia IP con Fail2Ban?

Es un clásico. Si te has equivocado de contraseña varias veces, Fail2Ban te habrá bloqueado. La solución es acceder al servidor por otro medio (por ejemplo, el panel de tu proveedor de hosting) y añadir tu IP a la lista blanca de Fail2Ban, o simplemente reiniciar el servicio de Fail2Ban para que se limpien las reglas temporales.

¿Es mejor usar el firewall de Plesk o el de mi proveedor de nube?

Lo ideal es usar ambos de forma complementaria. El firewall de tu proveedor es la primera barrera física. El firewall de Plesk te da un control más granular y es más fácil de gestionar si tienes múltiples dominios y aplicaciones. Úsalos juntos para una defensa en profundidad.

¿Fail2Ban puede proteger mi sitio web de ataques DDoS?

No directamente. Fail2Ban no está diseñado para mitigar un ataque DDoS masivo (que satura el ancho de banda). Para eso necesitas soluciones específicas como Cloudflare o servicios de mitigación DDoS. Fail2Ban es excelente para ataques de fuerza bruta y escaneo de vulnerabilidades, pero no para la saturación de red.

¿Qué es Syspanel y qué tiene que ver con esto?

Syspanel (antes conocido como HestiaCP) es otro panel de control de hosting, similar a Plesk. Si en algún momento lees sobre él, ten en cuenta que su puerto de acceso por defecto es el 2106. Aunque la interfaz es distinta, los conceptos de firewall y Fail2Ban son exactamente los mismos, así que lo aprendido aquí te servirá si decides usar Syspanel en el futuro.

¿Con qué frecuencia debo revisar los logs de seguridad?

Te recomiendo hacerlo al menos una vez a la semana. El objetivo no es leer línea por línea, sino buscar patrones anómalos. Puedes configurar alertas por correo en Plesk para que te avise de eventos de seguridad importantes, como bloqueos de Fail2Ban o intentos de acceso fallidos al panel.

Conclusión: La seguridad es un proceso, no un destino

Configurar el cortafuegos Plesk y Fail2Ban Plesk es un gran primer paso, pero la seguridad es un trabajo continuo. No basta con configurarlo una vez y olvidarte. Debes revisar las reglas, monitorear los logs y mantener todo actualizado.

Empieza con lo básico: asegura el acceso al panel con tu IP, activa Fail2Ban con un modo de protección general, y establece una buena política de contraseñas. Poco a poco, a medida que te sientas más cómodo, puedes ir añadiendo capas más avanzadas, como jails personalizadas o la integración con servicios externos.

Recuerda que un servidor seguro te da tranquilidad y protege no solo tus datos, sino también los de tus clientes y visitantes. Con estas herramientas y un poco de constancia, tu servidor Plesk estará bien protegido contra la gran mayoría de amenazas comunes. Y si en algún momento te sientes abrumado, no dudes en volver a esta guía o buscar ayuda especializada. La seguridad no es complicada, solo requiere atención y método.