Bloquear IP en DirectAdmin | Seguridad anti-hackeo

¿Por qué es importante bloquear IPs en DirectAdmin?

Si estás leyendo esto, es muy probable que hayas notado algo raro en los registros de tu servidor: decenas, cientos o incluso miles de intentos de acceso fallidos desde la misma dirección IP. Esto es lo que se conoce como ataque de fuerza bruta y, aunque suene a película de hackers, es una práctica muy común y automatizada que busca adivinar contraseñas de administradores, cuentas FTP, bases de datos o paneles de control.

Bloquear una IP en DirectAdmin no es solo una medida de “higiene digital”, es una acción de seguridad fundamental para proteger tu servidor y los sitios web que alojas en él. Cuando bloqueas una IP, le dices al servidor que ignore cualquier petición proveniente de esa dirección, cortando de raíz el intento de acceso antes de que siquiera llegue a validar una contraseña.

En este artículo, te voy a explicar paso a paso cómo hacerlo, pero también te voy a enseñar a detectar los ataques, a entender qué opciones tienes y a automatizar la protección para que no tengas que estar pendiente 24/7. Vamos a ello.

Cómo detectar intentos de acceso sospechosos

Antes de bloquear, necesitas saber a quién bloquear. No se trata de ir bloqueando IPs a lo loco, porque podrías dejar fuera a usuarios legítimos (o a tu propio equipo). La detección es el primer paso y, afortunadamente, DirectAdmin te da herramientas para hacerlo.

Revisar los logs de acceso

El lugar más fiable para ver quién está intentando entrar es el registro de errores o el log de autenticación. En DirectAdmin, puedes acceder a ellos desde Admin Level o User Level, dependiendo de tu permisos.

Accede a DirectAdmin con tu usuario administrador.
Busca la sección “Logs” o “System Logs”.
Revisa el archivo /var/log/messages o /var/log/secure (en la mayoría de distribuciones Linux).
Busca patrones como “Failed password for root”, “authentication failure” o “Invalid user”.

Si ves que una misma IP aparece repetida en un corto espacio de tiempo, es una señal de alerta. Por ejemplo, 50 intentos fallidos en 5 minutos desde la misma IP es prácticamente un certificado de intenciones maliciosas.

Usar el comando `lastb` (si tienes acceso SSH)

Si tienes acceso por SSH, puedes ejecutar:

lastb | head -50

Este comando te muestra los últimos intentos de inicio de sesión fallidos. También puedes filtrar por IP:

lastb | grep "1.2.3.4"

Herramientas de terceros

Existen plugins y scripts como Fail2Ban que monitorizan los logs automáticamente y bloquean IPs de forma dinámica. Aunque no es parte de DirectAdmin por defecto, es una de las mejores inversiones de tiempo que puedes hacer. Más adelante te cuento cómo configurarlo.

Método 1: Bloquear IP desde el panel de DirectAdmin (Admin Level)

Este es el método más directo y no requiere conocimientos técnicos avanzados. Solo necesitas tener acceso de administrador al panel.

Paso 1: Accede a DirectAdmin como Admin

Inicia sesión en tu panel de DirectAdmin con la cuenta admin. Una vez dentro, verás un menú lateral con muchas opciones. No te asustes, es más sencillo de lo que parece.

Paso 2: Ve a la sección “IP Manager”

En el menú lateral, busca la opción “IP Manager” (o “Gestor de IPs”). Haz clic en ella. Aquí verás un listado de todas las IPs asociadas a tu servidor, tanto las que son tuyas como las que están permitidas.

Paso 3: Añade la IP a la lista de bloqueo

DirectAdmin no tiene un botón gigante que diga “Bloquear IP” en el IP Manager, pero lo que sí puedes hacer es lo siguiente:

En la parte superior, verás un campo llamado “IP to add” o “Add IP”.
Escribe la IP que quieres bloquear.
En el menú desplegable de “Status”, selecciona “Blocked” o “Deny”.
Haz clic en “Add” o “Save”.

Esto añadirá la IP a la configuración de red del servidor y, a partir de ese momento, cualquier conexión desde esa dirección será rechazada a nivel de firewall o de configuración del servicio.

[TIP] Asegúrate de escribir la IP correctamente. Un error de dedo puede bloquear una IP legítima, como la de tu oficina o la de un cliente importante.

Método 2: Bloquear IP a nivel de firewall (iptables)

Este método es más técnico, pero también es el más efectivo. DirectAdmin se apoya en el firewall del sistema operativo, así que puedes usar iptables directamente. Es ideal si quieres bloquear no solo el acceso al panel, sino todos los puertos (HTTP, HTTPS, FTP, SSH, etc.) desde esa IP.

Paso 1: Conéctate por SSH

Necesitas acceso SSH al servidor. Abre tu terminal y ejecuta:

ssh root@tu-servidor.com

Paso 2: Revisa las reglas actuales

Antes de añadir nada, mira qué reglas tienes:

iptables -L -n

Paso 3: Añade la regla de bloqueo

Para bloquear una IP específica, ejecuta:

iptables -A INPUT -s 1.2.3.4 -j DROP

Sustituye 1.2.3.4 por la IP real. Esto añade una regla al final de la cadena INPUT que descarta todos los paquetes provenientes de esa IP.

Paso 4: Guarda las reglas

Las reglas de iptables se pierden al reiniciar el servidor si no las guardas. En la mayoría de sistemas con DirectAdmin, puedes usar:

service iptables save

O, si usas firewalld:

firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="1.2.3.4" drop'
firewall-cmd --reload

[WARNING] Si bloqueas tu propia IP por error, puedes quedarte fuera del servidor. Siempre ten una segunda vía de acceso (por ejemplo, una VPN o la consola del proveedor) antes de jugar con iptables.

Método 3: Bloquear IP desde el archivo `.htaccess` (solo para web)

Este método es útil si solo quieres bloquear el acceso a un sitio web concreto, no a todo el servidor. Es menos potente, pero muy fácil de aplicar.

Accede al File Manager de DirectAdmin.
Ve a la carpeta public_html del dominio que quieres proteger.
Crea o edita el archivo .htaccess.
Añade al principio:

<RequireAll>
    Require all granted
    Require not ip 1.2.3.4
</RequireAll>

O si tu servidor usa Apache 2.2:

Order Allow,Deny
Allow from all
Deny from 1.2.3.4

Guarda los cambios y listo. Esto bloqueará el acceso a ese sitio web para la IP indicada, pero no afectará a otros servicios como FTP o SSH.

Método 4: Bloquear IP en el firewall de DirectAdmin (CSF)

Muchos servidores con DirectAdmin incluyen ConfigServer Security & Firewall (CSF). Si tienes este panel de seguridad instalado, es la forma más cómoda y potente de gestionar bloqueos.

Paso 1: Accede a CSF

Puedes hacerlo desde el panel de DirectAdmin: busca “Plugins” y luego “ConfigServer Security&Firewall”. O por SSH:

csf -h

Paso 2: Añade la IP a la lista de bloqueo

Desde la interfaz web, ve a la pestaña “Firewall Deny IPs”. Ahí puedes añadir la IP y un comentario opcional (por ejemplo, “Ataque fuerza bruta - 12/05”).

Por SSH, el comando sería:

csf -d 1.2.3.4 "Ataque fuerza bruta"

Paso 3: Verifica el bloqueo

Puedes comprobar si la IP está bloqueada con:

csf -g 1.2.3.4

CSF también te permite bloquear rangos completos de IPs, lo cual es útil si el ataque viene de una subred entera.

Cómo bloquear un rango de IPs

A veces el atacante no usa una sola IP, sino un rango completo (por ejemplo, 192.168.1.0 a 192.168.1.255). En ese caso, puedes bloquear la subred.

En iptables:

iptables -A INPUT -s 192.168.1.0/24 -j DROP

En CSF:

csf -d 192.168.1.0/24

[INFO] Bloquear un rango completo puede afectar a usuarios legítimos que compartan ese bloque de IPs (por ejemplo, clientes de un mismo proveedor de internet). Úsalo solo si estás seguro de que el rango es hostil.

Automatizar el bloqueo con Fail2Ban

Si estás cansado de bloquear IPs manualmente cada dos por tres, es hora de automatizar. Fail2Ban es una herramienta que monitoriza los logs y bloquea automáticamente las IPs que superan un umbral de intentos fallidos.

Instalación

Si no lo tienes instalado, puedes hacerlo con tu gestor de paquetes:

apt install fail2ban

Configuración básica

El archivo de configuración principal es /etc/fail2ban/jail.local. Un ejemplo de configuración para proteger SSH y DirectAdmin:

[sshd]
enabled = true
maxretry = 3
bantime = 3600

[directadmin]
enabled = true
logpath = /var/log/directadmin/error.log
maxretry = 5
bantime = 3600

Con esto, si alguien falla 3 veces en SSH o 5 veces en DirectAdmin, será bloqueado automáticamente durante 1 hora.

Ventajas

No tienes que estar pendiente: el sistema actúa solo.
Es reversible: los bloqueos caducan, así que si te equivocas, no es un problema permanente.
Es escalable: puedes configurar reglas para FTP, correo, etc.

[TIP] Fail2Ban funciona muy bien junto con CSF. Puedes configurarlo para que, en lugar de bloquear con iptables directamente, use CSF, lo que te da una gestión más centralizada.

Preguntas frecuentes (FAQ)

¿Puedo desbloquear una IP que bloqueé por error?

Sí. En DirectAdmin, simplemente ve a IP Manager, encuentra la IP en la lista de bloqueadas, y cambia su estado a “Active” o “Allowed”. Si usaste iptables, ejecuta:

iptables -D INPUT -s 1.2.3.4 -j DROP

Y en CSF:

csf -dr 1.2.3.4

¿Qué diferencia hay entre bloquear en DirectAdmin y en el firewall?

Bloquear en DirectAdmin solo afecta al panel de control y a los servicios que gestiona. El firewall (iptables/CSF) bloquea todo el tráfico desde esa IP, incluidos los sitios web, correo, FTP, etc. Para un ataque de fuerza bruta, lo recomendable es el firewall.

¿Puedo bloquear una IP de forma temporal?

Sí, con Fail2Ban o con CSF puedes configurar bloqueos temporales. En CSF, puedes usar csf -td 1.2.3.4 3600 para bloquear 1 hora.

¿Qué hago si el ataque viene de muchas IPs diferentes?

Si ves cientos de IPs distintas, es probable que sea una botnet. En ese caso, bloquear IPs una a una no es viable. Te recomiendo:

Activar Fail2Ban con reglas estrictas.
Limitar el acceso por SSH a IPs conocidas o usar autenticación por llaves.
Usar un servicio de protección DDoS a nivel de red.

¿Bloquear IPs afecta al SEO?

Bloquear una IP maliciosa no debería afectar a tu SEO, ya que los buscadores no usan esas IPs para indexar. Sin embargo, bloquear por error a Googlebot sí sería un problema. Asegúrate de no bloquear rangos de Google (66.249.64.0/19 y similares) a menos que tengas una razón muy concreta.

¿Puedo hacer esto en Syspanel?

Si usas Syspanel (antes conocido como HestiaCP), el proceso es diferente, pero el concepto es el mismo. Accede a tu panel por el puerto 2106 y busca la sección de firewall o IPs bloqueadas. En Syspanel, normalmente puedes usar el firewall integrado para añadir IPs a una lista negra.

Buenas prácticas de seguridad para tu servidor

Bloquear IPs es solo una parte de la ecuación. Aquí tienes algunas recomendaciones extra para mantener tu servidor a salvo:

Cambia el puerto SSH por defecto (22) a uno no estándar, como 2222 o 22022.
Desactiva el acceso root por SSH y usa un usuario con permisos sudo.
Usa autenticación por llaves SSH en lugar de contraseñas.
Mantén DirectAdmin y el sistema operativo actualizados.
Activa el firewall de aplicación (mod_security) en tus sitios web.
Haz copias de seguridad periódicas en un lugar externo.

[WARNING] La seguridad es un proceso, no un producto. No basta con bloquear una IP hoy; tienes que estar al día de las vulnerabilidades y adaptar tus defensas constantemente.

Conclusión

Bloquear una IP en DirectAdmin es una tarea sencilla que puede ahorrarte muchos dolores de cabeza. Ya sea usando el panel, iptables, CSF o Fail2Ban, lo importante es que actúes rápido cuando detectes un ataque de fuerza bruta y que automatices la protección para no depender de tu intervención manual.

Recuerda: la seguridad de tu servidor no es opcional, es la base sobre la que se sostiene la confianza de tus clientes y la estabilidad de tus proyectos. Dedica tiempo a configurarla bien y verás cómo esos intentos de acceso maliciosos se reducen drásticamente.

Si te ha quedado alguna duda, revisa la sección de preguntas frecuentes o consulta la documentación oficial de DirectAdmin. Y no olvides: si usas Syspanel, el puerto de acceso es el 2106, y el proceso de bloqueo de IPs se hace desde su propio panel de firewall, que es igual de efectivo.

¡Feliz y seguro hosting!