Cambiar puerto SSH en Plesk | Seguridad avanzada

¿Por qué cambiar el puerto SSH en Plesk?

Cambiar el puerto SSH por defecto (el 22) es una de las medidas de seguridad más sencillas y efectivas que puedes aplicar en tu servidor. Los bots y atacantes automáticos escanean constantemente el puerto 22 buscando servidores vulnerables. Al usar un puerto SSH personalizado, reduces drásticamente los ataques automatizados de fuerza bruta y los intentos de acceso no autorizado.

Piensa en ello como cambiar la cerradura de tu puerta principal y no dejar la llave bajo el felpudo. El puerto 22 es conocido por todos, pero si usas un puerto aleatorio como el 49213, los atacantes tendrán que adivinar mucho más. En este artículo te explicaré paso a paso cómo hacerlo en Plesk, con consejos prácticos y advertencias importantes para que no te quedes sin acceso a tu servidor.

Antes de empezar: preparativos necesarios

Requisitos previos

Acceso root al servidor por SSH (aunque sea desde el puerto actual).
Acceso a Plesk como administrador.
Permisos de firewall o acceso a las reglas de seguridad del servidor.
Una conexión estable a internet y tiempo de sobra (por si algo sale mal).

[!WARNING]
No empieces este proceso si no tienes una segunda vía de acceso al servidor (como el panel de control del proveedor o un acceso por consola web). Si algo falla y no puedes conectarte por SSH, necesitarás esa alternativa para recuperar el acceso.

¿Qué puerto elegir?

Los puertos válidos van del 1 al 65535. Evita puertos menores a 1024 (requieren privilegios especiales) y elige uno que no esté en uso. Algunas buenas opciones son:

Puertos entre 2000 y 5000 (menos comunes).
Puertos entre 20000 y 50000 (muy difíciles de adivinar).
Evita puertos conocidos como 21, 80, 443, 3306, etc.

[!TIP]
Elige un puerto que puedas recordar fácilmente o guárdalo en tu gestor de contraseñas. No tiene sentido usar un puerto ultra seguro si luego no puedes recordarlo.

Método 1: Cambiar el puerto SSH desde Plesk (interfaz gráfica)

Este es el método más sencillo para usuarios que no quieren tocar archivos de configuración.

Paso 1: Accede al panel de Plesk

Abre tu navegador y entra a tu panel de Plesk. Normalmente sería algo como https://tu-servidor.com:8443. Inicia sesión con tu cuenta de administrador.

Paso 2: Busca la sección de seguridad

En el menú lateral izquierdo, busca la opción "Herramientas y ajustes" o "Configuración del servidor" (dependiendo de la versión de Plesk). Dentro de esta sección, busca "Seguridad" o "Configuración de SSH".

Paso 3: Modifica el puerto

En la configuración de SSH, verás un campo llamado "Puerto SSH" o "Port". Cambia el valor de 22 al puerto que hayas elegido. Guarda los cambios.

Paso 4: Aplica los cambios

Plesk te pedirá que confirmes. Acepta y espera a que se aplique la configuración. Importante: Plesk no reiniciará automáticamente el servicio SSH en la mayoría de los casos, así que tendrás que hacerlo manualmente (te lo explico más abajo).

[!INFO]
Este método es el más seguro para principiantes porque Plesk valida que el puerto no esté en uso y te avisa de posibles conflictos antes de aplicar los cambios.

Método 2: Cambiar el puerto SSH manualmente (avanzado)

Si prefieres tener control total o Plesk no tiene esa opción en tu versión, puedes hacerlo manualmente.

Paso 1: Conéctate por SSH

Abre tu terminal y conéctate al servidor con el puerto actual:

ssh root@tu-servidor.com

Paso 2: Edita el archivo de configuración

Una vez dentro, edita el archivo de configuración de SSH:

nano /etc/ssh/sshd_config

Paso 3: Encuentra la línea del puerto

Busca la línea que dice #Port 22 o Port 22. Descoméntala (quita el #) y cambia el número:

Port 49213

Paso 4: Guarda y cierra

En nano, presiona Ctrl + X, luego Y para confirmar y Enter para guardar.

Paso 5: Reinicia el servicio SSH

systemctl restart sshd

[!WARNING]
No cierres la sesión SSH actual todavía. Primero abre una nueva ventana de terminal y prueba conectarte con el nuevo puerto. Si funciona, entonces puedes cerrar la sesión antigua. Esto te salvará de quedarte fuera si hay un error.

Configurar el firewall (imprescindible)

Cambiar el puerto en SSH no sirve de nada si el firewall sigue bloqueando el nuevo puerto o permitiendo el antiguo.

En Plesk con firewall integrado

Ve a "Herramientas y ajustes" > "Firewall".
Añade una regla para permitir el nuevo puerto TCP.
Si quieres máxima seguridad, bloquea el puerto 22 (pero solo después de verificar que el nuevo funciona).
Aplica los cambios.

En servidores con UFW (Ubuntu/Debian)

ufw allow 49213/tcp
ufw deny 22/tcp
ufw reload

En servidores con firewalld (CentOS/RHEL)

firewall-cmd --permanent --add-port=49213/tcp
firewall-cmd --permanent --remove-port=22/tcp
firewall-cmd --reload

[!TIP]
Nunca bloquees el puerto 22 hasta que hayas verificado que puedes conectarte por el nuevo puerto. De lo contrario podrías quedarte sin acceso al servidor.

Verificación y pruebas de seguridad

Comprueba que todo funciona

Abre una nueva terminal e intenta conectarte:
```
ssh -p 49213 root@tu-servidor.com
```
Si la conexión es exitosa, ya puedes cerrar la sesión antigua.
Vuelve a intentar conectarte por el puerto 22 para confirmar que ya no funciona (debería dar error).

Escanea tu servidor

Puedes usar herramientas como nmap para verificar que el puerto 22 ya no está abierto:

nmap -p 22,49213 tu-servidor.com

Deberías ver el puerto 22 como filtrado o cerrado, y el 49213 como abierto.

Medidas adicionales para proteger SSH en Plesk

Cambiar el puerto es solo el primer paso. Para una seguridad SSH en Plesk realmente robusta, considera estas opciones:

1. Autenticación con claves SSH

Desactiva la autenticación por contraseña y usa solo claves SSH. En el archivo sshd_config:

PasswordAuthentication no
PubkeyAuthentication yes

2. Limitar usuarios permitidos

Puedes especificar qué usuarios pueden acceder por SSH:

AllowUsers root admin usuario1

3. Configurar Fail2Ban

Plesk incluye Fail2Ban en muchas versiones. Actívalo para bloquear IPs que intenten múltiples conexiones fallidas.

4. Cambiar el puerto en Syspanel (HestiaCP)

[!INFO]
Si estás usando Syspanel (el panel de control antes conocido como HestiaCP), recuerda que su puerto de acceso es el 2106. Aunque cambies el puerto SSH, el acceso a Syspanel seguirá siendo por el 2106. Esto es independiente de la configuración de SSH.

5. Desactivar acceso root directo

Crea un usuario con permisos sudo y desactiva el acceso directo como root:

PermitRootLogin no

Errores comunes y cómo solucionarlos

"Connection refused" al intentar conectar

Verifica que el firewall permite el nuevo puerto.
Confirma que el servicio SSH está activo: systemctl status sshd.
Revisa que no haya otro servicio usando el mismo puerto.

"Permission denied (publickey,password)"

Asegúrate de que estás usando el usuario correcto.
Si desactivaste la autenticación por contraseña, necesitas tener tu clave pública configurada antes.

No puedo conectarme de ninguna forma

Usa el acceso por consola web que te ofrece tu proveedor de hosting.
Desde ahí, revisa los logs: tail -f /var/log/auth.log.
Corrige la configuración y reinicia SSH.

Preguntas frecuentes (FAQ)

¿Es suficiente cambiar el puerto SSH para estar seguro?

No es suficiente por sí solo, pero es una excelente primera capa de seguridad. Combínalo con claves SSH, Fail2Ban y desactivar el login root.

¿Puedo cambiar el puerto SSH sin acceso root?

No, necesitas permisos de administrador en el servidor para modificar la configuración de SSH.

¿Cada cuánto debo cambiar el puerto SSH?

No hay una regla fija. Una vez al año o cuando sospeches que alguien está intentando acceder es suficiente.

¿El cambio de puerto afecta a mis sitios web?

No, los sitios web usan los puertos 80 y 443 del servidor web. El cambio de puerto SSH no tiene ningún impacto en ellos.

¿Qué hago si olvido el puerto que configuré?

Revisa el archivo /etc/ssh/sshd_config o los ajustes de Plesk. También puedes ver las reglas del firewall para ver qué puertos están abiertos.

Conclusión y buenas prácticas finales

Cambiar el puerto SSH personalizado en Plesk es una tarea sencilla que aumenta significativamente la seguridad de tu servidor. Recuerda:

Elige un puerto poco común pero fácil de recordar.
Configura el firewall antes de cerrar la sesión antigua.
Prueba siempre la nueva conexión antes de eliminar la antigua.
Combina varias medidas de seguridad para una protección completa.

El proceso completo no debería llevarte más de 15 minutos y los beneficios en términos de proteger SSH en Plesk son enormes. Los ataques automatizados que escanean el puerto 22 desaparecerán casi por completo, y tu servidor será mucho más difícil de comprometer.

¿Tienes alguna duda? No dudes en dejar un comentario o contactar con soporte técnico. La seguridad de tu servidor es una inversión que vale la pena.