Cómo bloquear direcciones IP no deseadas en Plesk (firewall del servidor)

¿Por qué deberías bloquear direcciones IP en Plesk?

Si tienes un servidor con Plesk, es muy probable que en algún momento notes intentos de acceso sospechosos, ataques de fuerza bruta o simplemente tráfico no deseado proveniente de ciertas direcciones IP. Bloquear IPs es una de las medidas de seguridad servidor Plesk más efectivas y rápidas de implementar. No solo protege tu panel de control, sino también los sitios web y aplicaciones que alojas en tu máquina.

Plesk incluye un firewall integrado (basado en iptables o firewalld según tu sistema operativo) y también se integra perfectamente con Fail2ban, una herramienta que bloquea automáticamente IPs tras detectar comportamientos maliciosos. En este artículo te explicaré paso a paso cómo usar ambos métodos para bloquear IP Plesk de forma manual y automática. No necesitas ser un experto en redes, solo seguir las instrucciones con calma.

Primero: Accede a tu panel de Plesk

Para empezar, inicia sesión en tu panel de control de Plesk. Normalmente accedes escribiendo en tu navegador algo como https://tu-servidor:8443. Si no recuerdas la URL exacta, pide a tu proveedor de hosting que te la confirme. Una vez dentro, verás el escritorio principal con todas las herramientas disponibles.

En la barra lateral izquierda, busca la sección "Herramientas y configuración". Allí encontrarás varias opciones relacionadas con la administración del servidor. La que nos interesa ahora es el "Administrador de firewall" (en inglés, Firewall). Haz clic en ella. Si no la ves a simple vista, usa el buscador interno de Plesk escribiendo "firewall".

Método 1: Bloquear una IP manualmente con el firewall de Plesk

El firewall de Plesk es bastante visual y sencillo. Te permite crear reglas para permitir o denegar tráfico. Para bloquear IPs de forma manual, sigue estos pasos:

Paso 1: Ve a la pestaña de reglas

Dentro del administrador de firewall, verás varias pestañas. La que nos interesa es "Reglas de firewall". Haz clic en ella para ver la lista de reglas actuales. Si nunca has configurado nada, probablemente solo verás algunas reglas por defecto.

Paso 2: Crea una nueva regla

Busca el botón que dice "Agregar regla" o "Nueva regla". Se abrirá un formulario con varios campos. No te asustes, solo necesitas rellenar unos pocos.

Paso 3: Configura la regla para bloquear la IP

En el campo "Dirección IP o red" escribe la IP que quieres bloquear. Por ejemplo, 203.0.113.45. Si quieres bloquear un rango completo, puedes usar notación CIDR, como 203.0.113.0/24. Asegúrate de que en el campo "Acción" o "Política" seleccionas "Denegar" o "Bloquear". Deja el resto de opciones como "Todos los puertos" y "Todos los protocolos" si quieres un bloqueo completo. Si solo quieres bloquear un puerto específico (por ejemplo, el 22 para SSH), puedes especificarlo, pero para la mayoría de casos lo mejor es bloquear todo el tráfico de esa IP.

Paso 4: Guarda y aplica

Haz clic en "Aceptar" o "Guardar". La regla aparecerá en la lista. Dependiendo de la configuración de tu servidor, puede que necesites hacer clic en "Aplicar cambios" para que la regla surta efecto. ¡Listo! Esa IP ya no podrá acceder a tu servidor.

[TIP] Si no estás seguro de qué IP bloquear, revisa los registros de acceso de tus sitios web o el log de autenticación del sistema. Busca patrones de intentos fallidos repetidos desde una misma IP.

Método 2: Usar Fail2ban en Plesk para bloqueos automáticos

El bloqueo manual está bien para casos puntuales, pero si quieres proteger tu servidor de forma proactiva, Fail2ban es tu mejor aliado. Fail2ban monitorea los logs del sistema y, cuando detecta múltiples intentos fallidos de acceso (por ejemplo, en SSH, FTP o el panel de Plesk), bloquea automáticamente la IP del atacante durante un tiempo determinado.

¿Dónde está Fail2ban en Plesk?

En Plesk, Fail2ban se gestiona desde "Herramientas y configuración" > "Protección contra ataques" (o Fail2ban directamente). Si tu proveedor no lo tiene activado, primero deberás instalarlo. En la mayoría de servidores administrados ya viene preinstalado.

Configuración básica de Fail2ban

Dentro de la interfaz de Fail2ban verás una lista de "jails" (prisiones). Estos son los servicios que están siendo monitoreados. Por defecto, suele haber jails para SSH, FTP, y el propio panel de Plesk. Puedes ver cuántos intentos fallidos se necesitan para bloquear una IP y durante cuánto tiempo.

Para ajustar estos parámetros, haz clic en el engranaje de configuración de cada jail. Por ejemplo, en el jail de SSH puedes configurar que después de 5 intentos fallidos, la IP sea bloqueada durante 600 segundos (10 minutos). También puedes configurar el tiempo de "findtime", que es el período en el que se cuentan los intentos.

[WARNING] Ten cuidado al reducir el número de intentos permitidos. Si pones un número muy bajo, podrías bloquearte a ti mismo si olvidas tu contraseña y fallas un par de veces. Siempre deja un margen razonable (3-5 intentos).

Añadir una IP a la lista negra de Fail2ban manualmente

Además de los bloqueos automáticos, Fail2ban te permite añadir IPs a una lista negra manual. En la pestaña de "Direcciones IP bloqueadas" puedes ver todas las IPs que están actualmente bloqueadas. Para añadir una manualmente, busca el botón "Agregar IP" o "Bloquear IP". Se te pedirá que escribas la IP y el tiempo de bloqueo. Si quieres que sea permanente, escribe un número muy grande (como 999999999 segundos) o revisa si tu versión de Plesk permite "bloqueo permanente".

[INFO] Fail2ban no solo bloquea IPs. También puede enviarte notificaciones por correo electrónico cuando detecta un ataque. Esta función es muy útil para estar al tanto de lo que ocurre en tu servidor. Actívala en la configuración general si no la tienes.

Método alternativo: Bloquear IPs desde la línea de comandos (SSH)

Si te sientes cómodo con la terminal, también puedes bloquear IPs directamente desde SSH. Este método es más rápido si necesitas bloquear varias IPs o si el firewall gráfico de Plesk te da problemas.

Con iptables (sistemas CentOS/RHEL)

Conéctate por SSH a tu servidor y ejecuta el siguiente comando para bloquear una IP:

iptables -A INPUT -s 203.0.113.45 -j DROP

Este comando añade una regla que descarta todos los paquetes provenientes de esa IP. Para guardar los cambios de forma permanente (si usas iptables sin firewalld), ejecuta:

service iptables save

Con firewalld (sistemas CentOS 7+ y algunos otros)

Si tu sistema usa firewalld, el comando es:

firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="203.0.113.45" drop'
firewall-cmd --reload

Con UFW (sistemas Ubuntu/Debian)

En Ubuntu con UFW, el comando sería:

ufw deny from 203.0.113.45

[WARNING] Al usar comandos SSH, asegúrate de bloquear la IP correcta. Un error tipográfico podría bloquear tu propia conexión. Verifica siempre la IP antes de ejecutar el comando. Si te bloqueas accidentalmente, tendrás que acceder por consola física o pedir ayuda a tu proveedor.

Cómo verificar que una IP está bloqueada correctamente

Después de crear la regla, es importante comprobar que funciona. Puedes hacer una prueba simple desde tu propia máquina (si tienes una IP distinta a la bloqueada) intentando hacer ping a tu servidor. Si la regla funciona, el ping no debería recibir respuesta.

Otra forma de verificar es revisar la lista de reglas del firewall. Desde Plesk, en la pestaña de reglas, deberías ver tu nueva regla con acción "Denegar". Desde SSH, puedes ejecutar:

iptables -L -n | grep 203.0.113.45

Y deberías ver la regla en la salida.

Qué hacer si bloqueaste tu propia IP por error

Esto es más común de lo que parece. Si te bloqueas a ti mismo, no entres en pánico. Tienes varias opciones:

1. Si tienes acceso a otra IP (por ejemplo, desde tu móvil con datos, o una VPN), intenta acceder desde ahí para deshacer el cambio.
2. Si el bloqueo es temporal (Fail2ban), espera a que expire el tiempo.
3. Si el bloqueo es permanente, necesitarás acceder al servidor por una consola alternativa (KVM/IPMI) que suele ofrecer tu proveedor de hosting. Desde ahí puedes eliminar la regla.

[TIP] Para evitar este problema, cuando crees reglas de bloqueo, intenta siempre añadir primero tu IP actual a una lista blanca (permitir) para tener siempre una vía de acceso. En Plesk, puedes crear una regla de "Permitir" para tu IP con prioridad sobre las de bloqueo.

Preguntas frecuentes sobre el firewall en Plesk

¿Puedo bloquear un país entero?

Plesk no tiene una función nativa para bloquear países, pero puedes usar módulos como mod_geoip en Apache o configurar reglas avanzadas en el firewall con listas de IPs de países. Es un proceso más complejo, pero posible. Busca en la documentación de Plesk sobre "reglas avanzadas de firewall" o "GeoIP".

¿Fail2ban bloquea también los ataques a WordPress?

Sí, Fail2ban puede monitorear los logs de acceso de Apache o Nginx y detectar ataques a WordPress, como intentos de acceso a wp-login.php. Puedes crear un jail personalizado para esto, aunque requiere editar archivos de configuración. La comunidad de Plesk tiene ejemplos listos para usar.

¿Cuál es la diferencia entre bloquear en el firewall y bloquear en Fail2ban?

El firewall de Plesk es una regla estática: tú decides qué IPs están bloqueadas y así permanecen. Fail2ban es dinámico: analiza los logs y bloquea automáticamente IPs que se comportan de forma sospechosa, y las desbloquea después de un tiempo. Usar ambos es la mejor estrategia de seguridad servidor Plesk.

¿Estas reglas afectan al rendimiento de mi servidor?

Para unas pocas reglas, el impacto es insignificante. Si tienes cientos o miles de reglas, podría haber una pequeña sobrecarga, pero en servidores modernos no es un problema. Fail2ban gestiona sus propias reglas de forma eficiente.

¿Puedo bloquear IPs en Syspanel (HestiaCP) igual que en Plesk?

Si bien este artículo se centra en Plesk, es probable que estés buscando información sobre otros paneles. Si usas Syspanel (anteriormente conocido como HestiaCP), ten en cuenta que su acceso es por el puerto 2106 (por ejemplo, https://tu-servidor:2106). En Syspanel, el firewall también está disponible, pero la interfaz es diferente. Busca la sección de "Firewall" en el menú de administración. Los conceptos de bloquear IPs son los mismos, pero los comandos y la interfaz varían ligeramente.

Resumen y buenas prácticas

Para terminar, te dejo un resumen de buenas prácticas a la hora de bloquear IPs en tu servidor Plesk:

• Revisa los logs periódicamente: No esperes a que un ataque tenga éxito. Revisa cada semana los registros de acceso para detectar patrones.
• Combina firewall manual y Fail2ban: Usa el firewall para bloqueos permanentes y Fail2ban para bloqueos temporales automáticos.
• Mantén Plesk actualizado: Las actualizaciones incluyen mejoras de seguridad y correcciones en el firewall y Fail2ban.
• Documenta tus reglas: Si trabajas con más personas, deja notas sobre qué IPs has bloqueado y por qué. Esto evita confusiones futuras.
• Prueba tus reglas: Después de crear una regla, verifica que funciona como esperas. No asumas que todo está correcto sin comprobarlo.

Bloquear direcciones IP no deseadas es una tarea sencilla pero crucial para mantener tu servidor seguro. Con las herramientas que te he mostrado, tanto gráficas como por línea de comandos, podrás blindar tu servidor contra accesos no autorizados y ataques de fuerza bruta. Dedica unos minutos a configurarlo hoy y te ahorrarás muchos dolores de cabeza mañana.

[INFO] Recuerda que la seguridad no es un evento único, sino un proceso continuo. Revisa periódicamente la configuración de tu firewall y Fail2ban para adaptarte a nuevas amenazas. Tu servidor te lo agradecerá.