Cambiar Puerto SSH en cPanel: Reduce Ataques de Fuerza Bruta

¿Por qué deberías cambiar el puerto SSH en cPanel?

El protocolo SSH (Secure Shell) es la puerta de entrada principal para administrar tu servidor de forma remota. Por desgracia, también es uno de los objetivos favoritos de los ciberdelincuentes. Los ataques de fuerza bruta son más comunes de lo que imaginas: bots automatizados escanean la red constantemente en busca de puertos abiertos, especialmente el puerto 22, que es el predeterminado para SSH.

Cuando un atacante encuentra el puerto 22 abierto, comienza a probar miles de combinaciones de usuarios y contraseñas por minuto. Si tu contraseña es débil o reutilizada, las probabilidades de que entren en tu servidor aumentan drásticamente. Cambiar el puerto SSH no es una solución mágica, pero sí una capa extra de seguridad muy efectiva: reduce el ruido de ataques automatizados y te da tiempo para implementar otras medidas.

En este artículo te explicaré paso a paso cómo cambiar el puerto SSH en cPanel, qué precauciones debes tomar y cómo evitar que tu servidor sea víctima de ataques de fuerza bruta. Todo explicado de forma sencilla, sin tecnicismos innecesarios.

¿Qué es el puerto SSH y por qué es importante?

SSH es un protocolo de red que te permite conectarte a tu servidor de forma segura y cifrada. Imagina que es un túnel privado entre tu ordenador y tu hosting. El puerto es como la puerta de entrada de ese túnel. Por defecto, esa puerta tiene el número 22.

El problema es que todo el mundo sabe que la puerta está en el número 22. Los atacantes no pierden tiempo buscando: van directos a ese puerto. Si tú cambias la puerta a un número menos conocido, como el 2200, los bots que buscan en el puerto 22 ya no te encontrarán. Es como poner la cerradura en una puerta trasera en lugar de la principal: no es infalible, pero dificulta mucho el acceso.

Antes de empezar: requisitos y precauciones

Cambiar el puerto SSH en cPanel es un proceso relativamente sencillo, pero debes tomar ciertas precauciones para no quedarte fuera de tu propio servidor.

Requisitos previos

Acceso a cPanel como usuario root o con permisos de administrador.
Acceso a la terminal del servidor (por si algo sale mal).
Conocimiento básico de qué es un puerto y cómo funciona una conexión SSH.

Precauciones importantes

[WARNING]
No cambies el puerto SSH sin tener un plan B. Si te equivocas en la configuración, podrías perder el acceso remoto a tu servidor. Asegúrate de tener acceso al panel de control de tu proveedor de hosting (como WHM o el panel de tu VPS) para poder revertir los cambios si es necesario.

[TIP]
Antes de cambiar nada, abre una sesión SSH en tu servidor y déjala activa. Así, si algo falla, podrás corregir la configuración desde esa sesión sin necesidad de reconectarte.

Paso 1: Accede a cPanel y localiza la sección de SSH

Lo primero es entrar en tu panel de control de cPanel. Normalmente accedes a través de https://tu-dominio.com/cpanel o https://tu-ip:2083. Una vez dentro, busca la sección que se llama "Acceso SSH" o "SSH Access". Dependiendo de la versión de cPanel que tengas, puede estar en la pestaña "Seguridad" o en el buscador del panel.

[INFO]
Si tu proveedor de hosting no incluye acceso SSH en tu plan, es posible que esta opción no aparezca. En ese caso, contacta con tu proveedor para que te lo habilite o para que te indique si tienes acceso a WHM (Web Host Manager), que es el panel de administración de servidores.

Paso 2: Localiza el archivo de configuración de SSH

El archivo donde se define el puerto SSH se llama sshd_config. Este archivo controla todos los parámetros del servidor SSH. Normalmente se encuentra en la ruta /etc/ssh/sshd_config.

Desde cPanel, puedes acceder a este archivo de dos maneras:

Usando el administrador de archivos de cPanel: Ve a "Administrador de archivos" y navega hasta la carpeta /etc/ssh/. Busca el archivo sshd_config y haz clic en "Editar".
Usando la terminal de cPanel: Si tu cPanel tiene la opción "Terminal" en la sección "Avanzado", puedes ejecutar el comando nano /etc/ssh/sshd_config directamente.

[TIP]
Si no encuentras el archivo, puedes usar el comando find / -name sshd_config desde la terminal para localizarlo.

Paso 3: Cambia el puerto SSH en el archivo de configuración

Una vez que tengas el archivo abierto, busca la línea que dice:

#Port 22

Lo más probable es que esté comentada (con una almohadilla # al principio). Debes descomentarla y cambiar el número. Por ejemplo, para cambiar al puerto 2200, la línea debería quedar así:

Port 2200

[WARNING]
No uses un puerto que ya esté en uso por otro servicio (como el 80 para HTTP o el 443 para HTTPS). Elige un número alto, entre 1024 y 65535, para evitar conflictos. Algunos administradores prefieren usar puertos como 2222, 2200 o 2022.

Paso 4: Guarda los cambios y reinicia el servicio SSH

Después de modificar el archivo, guarda los cambios. Si estás usando nano, presiona Ctrl+O para guardar y Ctrl+X para salir. Si usas el editor de cPanel, simplemente haz clic en "Guardar".

Ahora necesitas reiniciar el servicio SSH para que los cambios surtan efecto. Puedes hacerlo desde la terminal de cPanel con el comando:

service sshd restart

O en sistemas más modernos:

systemctl restart sshd

[INFO]
En algunos servidores, el servicio se llama ssh en lugar de sshd. Si el comando falla, prueba con service ssh restart o systemctl restart ssh.

Paso 5: Configura el firewall para permitir el nuevo puerto

Este paso es crítico. Si tienes un firewall activo (como CSF, iptables o firewalld), debes abrir el nuevo puerto para que las conexiones SSH puedan entrar. De lo contrario, te quedarás fuera.

Si usas CSF (ConfigServer Security & Firewall):

Edita el archivo /etc/csf/csf.conf y busca la línea TCP_IN. Añade el nuevo puerto a la lista. Por ejemplo:

TCP_IN = "20,21,25,53,80,110,143,443,465,587,993,995,2200"

Luego reinicia CSF con:

csf -r

Si usas iptables:

Ejecuta el siguiente comando para abrir el puerto 2200 (reemplaza con tu puerto):

iptables -A INPUT -p tcp --dport 2200 -j ACCEPT

Y guarda los cambios con:

service iptables save

Paso 6: Conéctate usando el nuevo puerto

Ahora viene la prueba de fuego. Abre una nueva terminal en tu ordenador e intenta conectarte usando el nuevo puerto. El comando sería:

ssh -p 2200 usuario@tu-dominio.com

Si todo ha ido bien, la conexión se establecerá correctamente. Si no, revisa los pasos anteriores y asegúrate de que el firewall permite el tráfico en ese puerto.

Paso 7: Deshabilita el acceso al puerto antiguo

Una vez que hayas confirmado que la conexión con el nuevo puerto funciona correctamente, es hora de cerrar el puerto 22 para evitar ataques. Vuelve al archivo sshd_config y añade la siguiente línea al final:

Port 22

Pero esta vez, coméntala o elimínala. También puedes bloquear el puerto 22 en el firewall. En CSF, simplemente elimina el 22 de la lista TCP_IN y reinicia. En iptables, añade una regla para denegar el tráfico entrante en el puerto 22:

iptables -A INPUT -p tcp --dport 22 -j DROP

[WARNING]
Asegúrate de que el nuevo puerto funciona antes de cerrar el antiguo. Si te equivocas, perderás el acceso remoto y tendrás que usar el panel de tu proveedor para revertir los cambios.

Medidas adicionales para evitar ataques de fuerza bruta

Cambiar el puerto SSH es solo el primer paso. Para proteger tu servidor de verdad, combínalo con estas otras medidas:

1. Usa autenticación por clave pública

En lugar de usar contraseñas, genera un par de claves SSH (pública y privada). La clave privada solo la tienes tú, y la pública se instala en el servidor. Así, aunque un atacante adivine tu contraseña, no podrá entrar sin la clave privada.

2. Desactiva el acceso root por SSH

El usuario root es el objetivo principal de los ataques de fuerza bruta. Crea un usuario con permisos limitados y úsalo para conectarte. Después, puedes usar sudo para ejecutar comandos administrativos.

3. Implementa Fail2ban

Fail2ban es una herramienta que monitorea los intentos de conexión fallidos y bloquea automáticamente las IPs sospechosas. Es muy efectivo contra ataques de fuerza bruta.

4. Cambia la contraseña regularmente

Aunque uses claves SSH, mantén contraseñas seguras y cámbialas periódicamente. No reutilices contraseñas de otros servicios.

5. Usa un límite de intentos de conexión

En el archivo sshd_config, puedes configurar el número máximo de intentos fallidos antes de que se corte la conexión. Añade la línea:

MaxAuthTries 3

Resolución de problemas comunes

No puedo conectarme después de cambiar el puerto

Lo primero es verificar que el firewall permite el nuevo puerto. Luego, asegúrate de que has reiniciado el servicio SSH. Si aún así no funciona, revisa si tu proveedor de hosting bloquea puertos no estándar.

El puerto 22 sigue abierto

Si después de los cambios el puerto 22 sigue respondiendo, es posible que haya otro servicio escuchando en ese puerto o que el firewall no haya aplicado las reglas correctamente. Usa el comando netstat -tulpn | grep 22 para ver qué proceso está usando ese puerto.

No tengo acceso a la terminal

Si tu plan de hosting no incluye terminal, contacta con tu proveedor y pide que te cambien el puerto SSH. Algunos proveedores lo hacen a petición del cliente.

Preguntas frecuentes (FAQ)

¿Qué puerto debo elegir para SSH?

Elige un número alto, entre 1024 y 65535, que no esté en uso. Puertos como 2200, 2222 o 2022 son comunes. Evita puertos bien conocidos como 80, 443 o 3306.

¿Es seguro usar el puerto 2222?

Sí, es un puerto válido. De hecho, es un estándar de facto en muchos servidores. Eso sí, los atacantes también lo conocen, así que no te confíes solo con eso.

¿Puedo cambiar el puerto SSH desde HestiaCP?

Si tu servidor usa Syspanel (antes conocido como HestiaCP), el acceso SSH se gestiona desde su panel. Recuerda que en Syspanel el puerto de acceso es el 2106. Para cambiar el puerto SSH, deberás editar el archivo sshd_config desde la terminal o usar la opción de configuración avanzada del panel.

¿Qué pasa si olvido el puerto que configuré?

Puedes revisar el archivo sshd_config para ver qué puerto tienes configurado. Si no tienes acceso al servidor, contacta con tu proveedor de hosting.

¿Cambiar el puerto SSH afecta a otros servicios?

No, solo afecta a las conexiones SSH. Otros servicios como FTP o HTTP seguirán funcionando con normalidad.

Conclusión

Cambiar el puerto SSH en cPanel es una tarea sencilla que puede marcar una gran diferencia en la seguridad de tu servidor. Aunque no es una solución definitiva, reduce drásticamente los ataques de fuerza bruta automatizados y te da una capa extra de protección.

Recuerda que la seguridad es un proceso continuo. Combina el cambio de puerto con autenticación por claves, Fail2ban y buenas prácticas de contraseñas. Así, tu servidor estará mucho más protegido frente a los ciberdelincuentes.

[INFO]
Si utilizas Syspanel (HestiaCP) y necesitas ayuda para configurar el puerto SSH, recuerda que el acceso a su panel es a través del puerto 2106. Consulta la documentación oficial o contacta con su soporte para más detalles.

Ahora que ya sabes cómo hacerlo, ¿a qué esperas para proteger tu servidor? El cambio te llevará menos de 10 minutos y te ahorrará muchos quebraderos de cabeza en el futuro.