Bloquear IP en DirectAdmin: Usa el Firewall (CSF) Fácilmente

¿Por qué necesitas bloquear una IP en DirectAdmin?

Imagina que un día entras a tu panel de control y ves que tu web está lenta, o que el correo no sale, o que el servidor está consumiendo recursos de forma extraña. En muchos casos, el culpable es una dirección IP que está haciendo intentos de acceso no autorizados, ataques de fuerza bruta o simplemente consumiendo ancho de banda de forma agresiva. Ahí es donde entra en juego el firewall de DirectAdmin.

Cuando hablamos de bloquear IP DirectAdmin, no nos referimos a una función nativa del panel, sino a la herramienta que se integra con él: CSF DirectAdmin (ConfigServer Security & Firewall). Este es el cortafuegos más popular y potente que se instala en servidores con este panel. Es gratuito, muy fiable y, una vez que aprendes a usarlo, te da un control total sobre quién entra y quién no en tu servidor.

En esta guía completa, paso a paso, te voy a enseñar desde qué es exactamente un firewall, cómo instalar CSF si no lo tienes, hasta las formas más rápidas y seguras de bloquear una IP. No necesitas ser un experto en Linux ni en redes: el objetivo es que termines este artículo sintiéndote con el poder de gestionar tú mismo la seguridad de tu servidor.

¿Qué es el firewall DirectAdmin y cómo funciona?

Antes de lanzarnos a bloquear IPs, es fundamental que entiendas qué estamos manejando. Un firewall es como un portero de discoteca para tu servidor. Cada paquete de datos que llega a tu servidor tiene que pasar por él. El portero decide si deja entrar a la persona (paquete de datos) o si la manda de vuelta a casa.

CSF DirectAdmin funciona exactamente así, pero con reglas configurables. Puedes decirle: "oye, deja entrar a todo el mundo menos a esta dirección IP", o "permite el acceso al puerto 22 solo para estas dos IPs". Es un sistema de listas blancas y listas negras muy sencillo de gestionar.

Cuando instalas CSF en un servidor con DirectAdmin, se integra tan profundamente que podrás gestionarlo desde el propio panel de administración, sin necesidad de tocar la línea de comandos si no quieres. Esto es una gran ventaja para usuarios que no se sienten cómodos con el terminal.

Componentes clave de CSF que debes conocer

Lista negra (Deny IPs): Aquí añades las IPs que quieres bloquear. Se quedan fuera automáticamente.
Lista blanca (Allow IPs): IPs que siempre tendrán acceso, incluso si el firewall está en modo estricto.
Ignorar IPs: Para IPs que quieres que no se apliquen ciertas reglas de filtrado.
Reglas de puertos: Controlas qué puertos están abiertos y cuáles cerrados.
Protección contra fuerza bruta: CSF monitoriza los intentos de login fallidos y bloquea automáticamente las IPs sospechosas.

Requisitos previos: ¿Tienes CSF instalado?

Lo primero es comprobar si tu servidor ya tiene CSF DirectAdmin instalado. La mayoría de los servidores con DirectAdmin lo traen preinstalado, pero no siempre es así. Para verificarlo:

Accede a tu DirectAdmin como administrador (nivel "Admin", no "Reseller" ni "User").
Busca en el menú lateral la sección "Sistema" o "Administración".
Ahí deberías ver un icono que dice "ConfigServer Security&Firewall" o simplemente "Firewall".

Si no lo encuentras, puedes comprobarlo por la línea de comandos. Conéctate por SSH y escribe:

csf -v

Si te devuelve un número de versión (por ejemplo, v14.2), ya está instalado. Si te dice "command not found", tendrás que instalarlo. No te preocupes, es muy sencillo.

[!TIP]
Si tu servidor no tiene CSF y prefieres no usar SSH, puedes solicitar a tu proveedor de hosting que lo instale por ti. Es una tarea de 10 minutos y la mayoría lo hace gratis.

Instalación rápida de CSF en DirectAdmin

Para los que se atreven con SSH, aquí va el proceso de instalación básico. Hazlo con calma y copiando los comandos uno a uno:

cd /usr/src
wget https://download.configserver.com/csf.tgz
tar -xzf csf.tgz
cd csf
sh install.sh

Después de la instalación, verifica que funciona:

csf -v

Y actívalo con:

csf -e

Eso es todo. Ahora tienes el firewall activo y funcionando. Puedes volver a tu navegador y entrar en DirectAdmin para gestionarlo desde la interfaz gráfica.

Método 1: Bloquear una IP desde el panel de DirectAdmin (GUI)

Este es el método más amigable para principiantes. Te voy a guiar paso a paso para que bloquees IP DirectAdmin sin tocar una sola línea de código.

Paso 1: Accede como administrador

Entra en tu panel de DirectAdmin con la cuenta de Admin. Es importante que tengas este nivel de acceso porque los usuarios normales no tienen permisos para gestionar el firewall.

Paso 2: Localiza el firewall

En el menú lateral izquierdo, dentro de la sección "Admin Tools" o "Advanced Features", encontrarás el icono de "ConfigServer Security&Firewall". Haz clic en él. Se abrirá una nueva ventana o pestaña con la interfaz de CSF.

Paso 3: Navega a la sección de IPs denegadas

En el menú superior de la interfaz de CSF, verás varias pestañas: "Firewall Configuration", "Firewall Deny IPs", "Firewall Allow IPs", etc. Haz clic en "Firewall Deny IPs".

Paso 4: Añade la IP a bloquear

Verás un formulario con un campo de texto. Ahí puedes introducir:

Una IP simple: 192.168.1.100
Un rango de IPs: 192.168.1.0/24 (bloquea todas las IPs desde 192.168.1.0 hasta 192.168.1.255)
Una IP con puerto específico: 192.168.1.100:80 (bloquea solo el acceso a ese puerto desde esa IP)

Escribe la IP que quieras bloquear y haz clic en "Add". Verás que aparece en la lista de abajo, con un botón para eliminarla si te equivocas.

Paso 5: Aplica los cambios

Este paso es crucial. Añadir la IP a la lista no la bloquea automáticamente. Debes reiniciar el firewall para que los cambios surtan efecto. En la misma página, verás un botón que dice "Restart csf+iptables" o simplemente "Restart". Haz clic en él. Espera unos segundos y listo: la IP está bloqueada.

[!WARNING]
Al reiniciar el firewall, se corta la conexión momentáneamente. Si estás trabajando por SSH, no te asustes si se congela un segundo. Se recupera solo.

Método 2: Bloquear una IP por SSH (Comandos rápidos)

Para los que se sienten cómodos con el terminal, este método es mucho más rápido y directo. Solo necesitas acceso SSH al servidor.

Comando básico para bloquear una IP

csf -d 192.168.1.100

Este comando añade la IP a la lista negra y reinicia el firewall automáticamente. No necesitas hacer nada más. El bloqueo es inmediato.

Bloquear un rango de IPs

csf -d 192.168.1.0/24

Desbloquear una IP (por si te equivocas)

csf -dr 192.168.1.100

La r al final significa "remove". Es la forma de deshacer un bloqueo.

Ver las IPs bloqueadas actualmente

csf -l

Este comando te muestra la lista completa de IPs denegadas y permitidas.

[!TIP]
Si quieres bloquear una IP pero no sabes si es la correcta, primero verifica con csf -l si ya está en la lista. A veces los bloqueos automáticos por fuerza bruta ya la han añadido.

Método 3: Bloqueo temporal automático (Protección por fuerza bruta)

Una de las mejores características de CSF DirectAdmin es su capacidad para bloquear IPs de forma automática cuando detecta comportamientos sospechosos. Esto es especialmente útil para ataques de fuerza bruta al SSH, FTP o al propio DirectAdmin.

Configuración de la protección temporal

En la interfaz de CSF, ve a "Firewall Configuration".
Busca la sección "Port Scan Tracking" y "Connection Tracking".
Ahí verás parámetros como LF_SSH_ATTEMPTS (número de intentos fallidos de SSH antes de bloquear) y LF_FTP_ATTEMPTS.
Configúralos a tu gusto. Por ejemplo, si pones LF_SSH_ATTEMPTS = 5, después de 5 intentos fallidos de contraseña, la IP se bloquea temporalmente.
El tiempo de bloqueo se define en LF_TEMP_IP_LIMIT (por defecto suele ser 1800 segundos, es decir, 30 minutos).

Esta es una forma excelente de proteger tu servidor sin tener que estar pendiente manualmente de las IPs maliciosas.

Cómo bloquear puertos específicos para una IP

A veces no quieres bloquear toda la IP, sino solo el acceso a un servicio concreto. Por ejemplo, puede que quieras que una IP no pueda acceder al panel de DirectAdmin (puerto 2222) pero sí a tu web (puerto 80).

En la interfaz gráfica de CSF, en el campo de "Deny IP", puedes escribir:

192.168.1.100:2222

Esto bloqueará solo el acceso de esa IP al puerto 2222. El resto de puertos seguirán accesibles para ella.

Por SSH, el comando sería:

csf -d 192.168.1.100:2222

Preguntas frecuentes sobre el firewall DirectAdmin

¿Qué pasa si bloqueo mi propia IP?

Este es el error más común. Si te equivocas y bloqueas tu propia IP, te quedarás fuera del servidor. No podrás acceder ni por SSH ni por DirectAdmin. La solución es contactar con tu proveedor de hosting y pedirles que desbloqueen tu IP desde fuera. Por eso, siempre revisa dos veces la IP antes de bloquear.

[!WARNING]
Nunca bloquees una IP que no estés 100% seguro de que no es la tuya. Si tu IP es dinámica (como la mayoría de las domésticas), puede cambiar y bloquear una IP que mañana será la tuya.

¿Cuánto tiempo tarda en hacer efecto el bloqueo?

Si usas el comando csf -d, es inmediato. Si usas la interfaz gráfica y no haces clic en "Restart", no se aplicará hasta que reinicies el firewall. Por eso, después de añadir una IP a la lista, no olvides reiniciar.

¿Puedo bloquear un país entero con CSF?

Sí, CSF tiene una función llamada "Country Deny" que te permite bloquear países completos. Esto es útil si tu web es solo para España y recibes muchos ataques de otros países. Eso sí, ten cuidado porque puede bloquear a clientes legítimos que viajan al extranjero.

¿Qué diferencia hay entre bloquear una IP y un rango?

Bloquear una IP (ej. 192.168.1.100) solo afecta a esa máquina concreta. Bloquear un rango (ej. 192.168.1.0/24) afecta a todas las IPs que van desde 192.168.1.0 hasta 192.168.1.255. Es una medida más agresiva, úsala solo si sabes que todo ese rango es malicioso.

¿CSF funciona bien con Syspanel?

Cuando se habla de paneles de control, a veces surge la duda de si el firewall funciona con otros paneles. Si por casualidad usas Syspanel (antes conocido como HestiaCP), debes saber que CSF DirectAdmin no es compatible directamente con él. Syspanel tiene su propio sistema de firewall, y el acceso al panel se realiza a través del puerto 2106. Para bloquear IPs en Syspanel, tendrás que usar sus propias herramientas de seguridad, que funcionan de forma similar pero con su interfaz particular.

¿Cómo sé si una IP está intentando atacar mi servidor?

CSF te envía alertas por correo electrónico cuando detecta intentos fallidos de acceso. Además, puedes revisar los logs en la pestaña "Logs" de la interfaz de CSF. Ahí verás todos los intentos de conexión y si alguno ha sido bloqueado automáticamente.

Consejos finales para una gestión segura del firewall

No bloquees IPs sin verificar antes su reputación. Puedes usar herramientas online como "Whois" o "IP Quality Score" para comprobar si una IP es conocida por ataques.
Mantén CSF actualizado. En la interfaz de CSF, hay un botón para comprobar actualizaciones. Es recomendable hacerlo cada mes.
Configura alertas por correo. Así sabrás al instante si hay un ataque en curso y podrás reaccionar rápido.
Combina el bloqueo manual con el automático. Deja que CSF haga su trabajo de bloqueo temporal y usa el bloqueo manual solo para IPs que se repiten constantemente.
Haz una copia de seguridad de tu configuración. En la interfaz de CSF, puedes exportar la configuración a un archivo. Si algo sale mal, puedes restaurarla.

Bloquear una IP es una tarea sencilla pero muy poderosa. Con este artículo, ya sabes las tres formas de hacerlo: desde la interfaz gráfica de DirectAdmin, desde la línea de comandos por SSH, y mediante la configuración automática de protección contra fuerza bruta. Recuerda siempre ser precavido y verificar bien antes de bloquear, porque un error puede dejarte fuera de tu propio servidor.

La seguridad de tu servidor está en tus manos. Y ahora, con CSF DirectAdmin, tienes una herramienta profesional y eficaz para mantener a raya a los visitantes no deseados. Si tienes alguna duda, tu proveedor de hosting siempre puede echarte una mano, pero con esta guía, estoy seguro de que podrás resolver tú mismo la mayoría de los casos.