Bloquear IPs maliciosas en Syspanel con Fail2Ban | Guía

¿Tu servidor recibe intentos de acceso extraños o notas que ciertas direcciones IP realizan peticiones sospechosas? No te preocupes, es algo más común de lo que parece. La buena noticia es que tienes una herramienta poderosa y gratuita a tu disposición: Fail2Ban. En este artículo, te voy a guiar paso a paso para que aprendas a bloquear IPs maliciosas en tu servidor usando Syspanel y Fail2Ban, incluso si nunca has tocado un archivo de configuración en tu vida.

Vamos a desglosarlo todo: qué es, cómo funciona, cómo instalarlo y, lo más importante, cómo configurarlo para que trabaje en equipo con tu panel de control Syspanel (recuerda, el acceso a tu panel es a través del puerto 2106). Al final, tendrás un servidor mucho más seguro y dormirás tranquilo.

¿Qué es Fail2Ban y por qué es tu mejor amigo?

Imagina que tu servidor es una casa. Fail2Ban es el portero automático que detecta a alguien llamando al timbre una y otra vez con malas intenciones (como intentar adivinar la llave). Tras varios intentos fallidos, el portero no solo deja de contestar, sino que pone a esa persona en una lista negra y la expulsa de la propiedad por un tiempo.

Técnicamente, Fail2Ban es un servicio que monitorea los archivos de registro (logs) de tu servidor en busca de patrones de comportamiento malicioso. Por ejemplo, demasiados intentos de inicio de sesión fallidos por SSH o en el panel de Syspanel. Cuando detecta estos patrones, actúa automáticamente modificando las reglas del cortafuegos (firewall) para bloquear IPs específicas durante un periodo determinado.

¿Cómo se relaciona esto con Syspanel?

Syspanel es la herramienta que te permite gestionar tu servidor de forma visual: crear cuentas de correo, bases de datos, dominios, etc. Como es una pieza clave en tu infraestructura, es un objetivo común para los atacantes. Por eso, es vital que Fail2Ban vigile también el acceso a tu panel.

La integración es sencilla. Fail2Ban puede leer los logs de acceso de Syspanel y, si ve que alguien introduce mal la contraseña varias veces desde la misma IP, la bloquea automáticamente. Tú solo tienes que configurar la "cárcel" (jail) correspondiente. No te asustes con la jerga, ahora lo veremos.

Preparando el terreno: Requisitos previos

Antes de empezar, necesitas tener acceso a tu servidor por línea de comandos (SSH). Esto es imprescindible, ya que vamos a instalar y configurar software a nivel de sistema.

Acceso SSH a tu servidor (como usuario root o con permisos de sudo).
Tu sistema operativo debe ser una distribución Linux (Ubuntu, Debian, CentOS, etc.). Este proceso funciona en la mayoría de ellas.
Tener Syspanel instalado y funcionando (accesible por el puerto 2106).

[WARNING] IMPORTANTE: Realiza una copia de seguridad de tus archivos de configuración antes de modificarlos. Aunque los cambios son reversibles, es mejor prevenir.

Paso 1: Instalación de Fail2Ban

El primer paso es instalar el software. Dependiendo de tu sistema operativo, los comandos varían un poco, pero son igual de sencillos.

Para sistemas basados en Debian/Ubuntu:

Abre tu terminal y ejecuta:

sudo apt update
sudo apt install fail2ban -y

Para sistemas basados en CentOS/RHEL/Fedora:

sudo yum install epel-release -y
sudo yum install fail2ban -y

Una vez instalado, iniciaremos el servicio y lo habilitaremos para que arranque con el sistema.

sudo systemctl start fail2ban
sudo systemctl enable fail2ban

¡Listo! Ya tienes la base. Ahora vamos a darle instrucciones precisas.

Paso 2: Configuración básica de Fail2ban para bloquear IPs

Fail2Ban se configura mediante archivos de texto. El archivo principal es jail.conf, pero es una mala práctica editarlo directamente. En su lugar, crearemos un archivo local que sobrescribirá la configuración por defecto.

Vamos a crear el archivo jail.local:

sudo nano /etc/fail2ban/jail.local

Dentro de este archivo, vamos a definir las reglas globales. Te recomiendo que empieces con esta configuración base:

[DEFAULT]
# Tiempo durante el cual una IP estará bloqueada (en segundos). 3600 = 1 hora.
bantime = 3600

# Tiempo durante el cual se observan los intentos fallidos (en segundos).
findtime = 600

# Número de intentos fallidos antes de aplicar el bloqueo.
maxretry = 5

# Ignorar la propia IP del servidor y la red local para no bloquearte sin querer.
ignoreip = 127.0.0.1/8 ::1 192.168.1.0/24

[INFO] Estos valores son un buen punto de partida. maxretry = 5 significa que si alguien falla 5 veces en 10 minutos (findtime), será bloqueado por 1 hora (bantime). Puedes ajustarlos según tu nivel de paranoia.

Paso 3: Protegiendo el acceso SSH (el más común)

El ataque más frecuente es el de fuerza bruta al protocolo SSH. Vamos a crear una "cárcel" para ello. Añade lo siguiente al final del archivo jail.local que estamos editando:

[sshd]
enabled = true
port = ssh
logpath = /var/log/auth.log

[TIP] En sistemas CentOS/RHEL, la ruta del log puede ser /var/log/secure en lugar de /var/log/auth.log. Ajusta la línea logpath según tu sistema.

Con esto, Fail2Ban vigilará el log de autenticación y bloqueará a las IPs que intenten acceder por SSH sin éxito.

Paso 4: La joya de la corona - Protegiendo Syspanel

Ahora viene la parte que te interesa. Vamos a crear una cárcel específica para Syspanel. La configuración es prácticamente la misma, solo cambia el archivo de log que debe vigilar.

Añade este bloque al archivo jail.local:

[syspanel]
enabled = true
port = 2106
logpath = /var/log/syspanel/auth.log
maxretry = 3
bantime = 7200

Explicando la configuración de Syspanel:

[syspanel]: Es el nombre identificativo de la cárcel.
enabled = true: Activa esta regla.
port = 2106: Le indicamos que el servicio a proteger está en el puerto 2106, que es el puerto de acceso a tu panel. Esto es crucial para que el bloqueo sea efectivo.
logpath: Es la ruta donde Syspanel guarda sus registros de acceso. Esta ruta puede variar ligeramente según la instalación, pero la más común es esta. Si no funciona, tendrás que buscar la ruta exacta del log en la configuración de tu panel.
maxretry = 3: A diferencia del SSH, aquí lo dejamos más estricto (3 intentos) porque el panel es una puerta de entrada crítica.
bantime = 7200: Lo bloqueamos por 2 horas para que el atacante se canse.

[WARNING] Verifica la ruta del log. Si la ruta del log es incorrecta, la cárcel no se activará. Para encontrarla, puedes usar el comando find / -name "*.log" -path "*syspanel*" (o el nombre de tu panel) para localizar el archivo correcto.

Paso 5: Aplicando los cambios

Una vez guardado el archivo (en nano, con Ctrl + O para guardar y Ctrl + X para salir), vamos a reiniciar Fail2Ban para que cargue la nueva configuración.

sudo systemctl restart fail2ban

Para verificar que todo está funcionando, podemos consultar el estado del servicio y las cárceles activas.

sudo fail2ban-client status

Deberías ver una lista con sshd y syspanel. Para ver los detalles de una cárcel específica (por ejemplo, la de Syspanel):

sudo fail2ban-client status syspanel

Esto te mostrará las IPs actualmente bloqueadas y las estadísticas. Si todo ha ido bien, verás algo como "Currently banned: 0" o la lista de IPs si ya ha bloqueado alguna.

Paso 6: Desbloquear una IP manualmente (¿Y si me equivoco?)

Puede pasar que te bloquees a ti mismo por error o que quieras dar una segunda oportunidad a una IP. Para desbloquear una IP manualmente, el comando es muy sencillo.

sudo fail2ban-client set syspanel unbanip 123.456.789.000

Sustituye 123.456.789.000 por la IP real que quieras desbloquear. También puedes hacerlo para la cárcel sshd.

[TIP] Si te has bloqueado a ti mismo, la solución rápida es conectarte por otra vía (si es posible) o reiniciar el servicio Fail2Ban con sudo systemctl restart fail2ban. Esto vaciará todas las listas de bloqueo temporalmente.

Consejos avanzados para una seguridad de hierro

La configuración básica es genial, pero podemos exprimir un poco más el potencial de Fail2Ban.

Usar acciones personalizadas

Por defecto, Fail2Ban solo bloquea la IP en el firewall. Pero puedes configurarlo para que, además, te envíe un correo electrónico de alerta. Para ello, tendrás que configurar las opciones action en tu jail.local.

[DEFAULT]
action = %(action_mwl)s

Este comando (mwl = mail with log) enviará un correo a la dirección que definas en destemail. No te olvides de configurar tu servidor de correo o un servicio externo para que funcione.

Bloquear por tiempo prolongado (Recidiva)

Si una IP es bloqueada y vuelve a intentarlo, puedes configurar Fail2Ban para que la próxima vez el bloqueo sea mucho más largo. Añade esto a la cárcel de SSH:

[sshd]
enabled = true
port = ssh
logpath = /var/log/auth.log
bantime = 3600
# Incrementa el tiempo de bloqueo en un factor de 2 por cada reincidencia.
bantime.increment = true
bantime.factor = 2

De esta forma, la primera vez será 1 hora, la segunda 2 horas, la tercera 4, y así sucesivamente. Es una forma muy efectiva de disuadir a los bots persistentes.

Preguntas frecuentes (FAQ) sobre Fail2Ban y Syspanel

Aquí te resuelvo las dudas más comunes que me suelen llegar.

¿Fail2Ban consume muchos recursos del servidor?

No. Es un servicio muy ligero. Su consumo de CPU y memoria es mínimo, incluso en servidores con muchos visitantes. Es una de las mejores inversiones en seguridad que puedes hacer sin sacrificar rendimiento.

¿Puedo bloquear IPs manualmente sin usar Fail2Ban?

Sí, puedes usar tu firewall directamente (ej. iptables). Sin embargo, Fail2Ban automatiza todo el proceso de detección y bloqueo. Hacerlo manualmente sería tedioso y propenso a errores.

¿Qué hago si mi Syspanel no está en `/var/log/syspanel/auth.log`?

No te preocupes. La ubicación de los logs puede cambiar. Te recomiendo buscar en /var/log/ carpetas con nombres relacionados con tu panel. También puedes consultar la documentación oficial de Syspanel o usar el comando find que te mencioné antes. Una vez encuentres el archivo, solo tienes que cambiar la línea logpath en tu configuración.

¿Es necesario configurar Fail2Ban si mi servidor usa Syspanel?

Absolutamente sí. Aunque Syspanel tenga sus propias medidas de seguridad, Fail2Ban actúa como una capa adicional a nivel de sistema operativo. Protege todos los servicios, no solo el panel. Es una práctica de seguridad fundamental para cualquier servidor expuesto a internet.

Conclusión: Un servidor más seguro, una mente más tranquila

Hemos recorrido el proceso completo para bloquear IPs maliciosas usando Fail2Ban junto con Syspanel. Desde la instalación hasta la configuración de cárceles específicas para el puerto 2106, ahora tienes las herramientas para blindar tu servidor contra ataques de fuerza bruta.

No subestimes el poder de la automatización. Configurar Fail2Ban es una de esas tareas que se hacen una vez y te protegen las 24 horas del día, los 365 días del año. Te animo a que implementes estos pasos. La seguridad de tu servidor y de los datos de tus clientes te lo agradecerá.

Si te ha quedado alguna duda, repasa las secciones anteriores o consulta la documentación oficial de Fail2Ban. Es un software muy maduro y con una comunidad enorme detrás. ¡Buena suerte y a asegurar ese servidor!