Cambiar puerto SSH en Plesk: reduce ataques de fuerza bruta

¿Por qué cambiar el puerto SSH en Plesk?

El protocolo SSH (Secure Shell) es la puerta de entrada principal para administrar tu servidor de forma remota. Por defecto, todos los servidores Linux escuchan en el puerto 22. Esto es un problema de seguridad servidor porque los atacantes automatizados (bots) escanean constantemente la internet buscando puertos abiertos en el 22 para intentar accesos por fuerza bruta.

Cambiar el puerto SSH en Plesk es una de las medidas más efectivas y sencillas que puedes implementar para reducir drásticamente estos ataques. No es una solución mágica, pero sí una capa de seguridad por oscuridad que, combinada con contraseñas fuertes y autenticación por clave, hará que tu servidor sea un objetivo mucho menos atractivo.

En esta guía te explicaré paso a paso cómo hacerlo de forma segura, qué precauciones tomar y cómo solucionar los problemas más comunes. No necesitas ser un experto, solo seguir las instrucciones con calma.

Antes de empezar: prepara tu entorno

Haz una copia de seguridad de tu configuración

Antes de tocar cualquier archivo de configuración, es vital que hagas una copia de seguridad del archivo sshd_config. Este archivo contiene todas las directivas de tu servidor SSH. Si algo sale mal, podrás restaurarlo fácilmente.

Para ello, accede a tu servidor por SSH (con el puerto actual, el 22) y ejecuta:

sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak

[INFO] Este comando crea una copia exacta del archivo original. Si en el futuro necesitas revertir los cambios, solo tendrás que copiar el .bak de vuelta.

Comprueba tu firewall

Plesk tiene su propio firewall integrado (basado en iptables o firewalld). Antes de cambiar el puerto, debes asegurarte de que el nuevo puerto esté permitido. Si no lo haces, podrías quedarte fuera de tu servidor de forma permanente.

Para ver las reglas actuales, ve a Plesk > Herramientas y configuración > Firewall. Ahí verás una lista de puertos permitidos. Anota el número de puerto que vas a usar (por ejemplo, el 2222) y asegúrate de que esté abierto para el tráfico entrante.

[WARNING] Si tu servidor está detrás de un router o un proveedor de nube (AWS, Google Cloud, DigitalOcean, etc.), también debes abrir el nuevo puerto en el firewall externo. Este paso es obligatorio o no podrás conectarte.

Paso 1: Elige un puerto no estándar

El puerto más común para sustituir el 22 es el 2222, pero puedes elegir cualquier número entre 1024 y 65535. Evita puertos que ya estén en uso por otros servicios (como el 80 para HTTP, 443 para HTTPS, 3306 para MySQL, etc.).

Recomendaciones para elegir un buen puerto:

Evita puertos muy conocidos como 2222, 2022 o 22222, ya que muchos bots ya los prueban.
Elige un número poco común, por ejemplo, 48213 o 31679.
Asegúrate de que el puerto no esté bloqueado por tu proveedor de hosting o por políticas de red.

Una vez elegido, anótalo en un lugar seguro. No lo compartas públicamente.

Paso 2: Editar el archivo de configuración SSH

Ahora viene la parte técnica. Accede a tu servidor por SSH como lo haces normalmente (con el puerto 22) y sigue estos pasos:

2.1 Abre el archivo de configuración

Usa un editor de texto como nano o vim. Si no estás familiarizado con vim, te recomiendo nano por su simplicidad:

sudo nano /etc/ssh/sshd_config

2.2 Localiza la línea del puerto

Busca la línea que dice:

#Port 22

En muchos sistemas, esta línea está comentada (comienza con #). Debes descomentarla (quitar el #) y cambiar el número:

Port 2222

Si no encuentras la línea, puedes añadirla al final del archivo. Pero es mejor buscarla bien, ya que normalmente está cerca del principio.

2.3 Guarda los cambios

En nano, presiona Ctrl + O para guardar y Ctrl + X para salir. En vim, usa :wq y presiona Enter.

Paso 3: Reinicia el servicio SSH

Después de guardar los cambios, debes reiniciar el servicio SSH para que la nueva configuración surta efecto. Ten mucho cuidado aquí, porque si el firewall no está bien configurado, perderás la conexión.

Ejecuta:

sudo systemctl restart sshd

O en algunos sistemas:

sudo service ssh restart

[WARNING] No cierres la sesión actual todavía. Inicia una nueva conexión SSH en una ventana o terminal diferente usando el nuevo puerto. Si la nueva conexión funciona, entonces sí puedes cerrar la sesión antigua. Si no funciona, tienes la sesión anterior abierta para revertir los cambios.

Paso 4: Configura el firewall de Plesk

Ahora que el servicio SSH ya escucha en el nuevo puerto, debes actualizar el firewall de Plesk para que permita el tráfico entrante en ese puerto.

Ve a Plesk > Herramientas y configuración > Firewall.
Haz clic en Añadir regla.
Selecciona Puerto e introduce el número del nuevo puerto.
Elige el protocolo TCP.
Aplica la regla.

También es recomendable bloquear el puerto 22 en el firewall para que los bots no puedan seguir intentando acceder. Sin embargo, no lo hagas hasta que estés 100% seguro de que el nuevo puerto funciona correctamente.

Paso 5: Actualiza tus clientes SSH

A partir de ahora, cuando te conectes a tu servidor, deberás especificar el nuevo puerto. Por ejemplo:

ssh usuario@tu-servidor.com -p 2222

Si usas un cliente gráfico como PuTTY, deberás cambiar el campo "Port" en la configuración de la sesión.

Solución de problemas comunes

No puedo conectarme al nuevo puerto

Esto puede deberse a varias razones:

Firewall no actualizado: Verifica que el puerto esté abierto tanto en el firewall de Plesk como en el firewall externo de tu proveedor.
SELinux o AppArmor: Algunos sistemas de seguridad adicionales pueden bloquear puertos no estándar. Revisa los logs de auditoría con sudo journalctl -u sshd.
El servicio SSH no se reinició correctamente: Revisa el estado con sudo systemctl status sshd.

¿Puedo dejar el puerto 22 abierto también?

Sí, puedes tener ambos puertos activos. Solo debes añadir dos líneas Port en el archivo de configuración. Pero esto reduce el beneficio de seguridad, ya que los bots seguirán atacando el 22. Lo ideal es usar solo el nuevo puerto.

¿Qué pasa si me quedo fuera del servidor?

Si has seguido todos los pasos y has perdido el acceso, no entres en pánico. Puedes acceder a través del panel de control de tu proveedor de hosting (como VNC o consola web) y revertir los cambios en el archivo sshd_config usando la copia de seguridad que hicimos al principio:

sudo cp /etc/ssh/sshd_config.bak /etc/ssh/sshd_config
sudo systemctl restart sshd

Medidas adicionales de seguridad para tu servidor

Cambiar el puerto SSH es solo el primer paso. Para una protección completa, considera implementar lo siguiente:

Autenticación por clave pública

Las contraseñas pueden ser adivinadas. Las claves criptográficas son mucho más seguras. Genera un par de claves en tu ordenador y copia la pública al servidor:

ssh-keygen -t rsa -b 4096
ssh-copy-id usuario@tu-servidor.com -p 2222

Después, desactiva la autenticación por contraseña en el archivo sshd_config:

PasswordAuthentication no

Limitar el acceso por usuario

Puedes especificar qué usuarios pueden conectarse por SSH. Añade al final del archivo:

AllowUsers usuario1 usuario2

Usa Fail2ban

Fail2ban es una herramienta que bloquea automáticamente las IPs que realizan múltiples intentos fallidos de conexión. En Plesk, puedes instalarlo fácilmente desde el catálogo de aplicaciones.

Cambia el puerto también en Syspanel

[TIP] Si además de Plesk utilizas el panel Syspanel (antes conocido como HestiaCP) para gestionar algunos dominios, recuerda que el acceso SSH de Syspanel se realiza a través del puerto 2106. Cambiar ambos puertos añade una capa extra de protección a toda tu infraestructura.

Preguntas frecuentes (FAQ)

¿Es legal cambiar el puerto SSH?

Sí, es totalmente legal. Es una práctica de administración de sistemas estándar en cualquier servidor.

¿Afecta el rendimiento del servidor?

No, el cambio de puerto no afecta al rendimiento. Solo cambia el número de puerto donde el servicio escucha.

¿Debo informar a mi proveedor de hosting?

No es obligatorio, pero es recomendable si tu servidor está detrás de un firewall gestionado por ellos. Ellos necesitarán abrir el puerto en su red.

¿Cuánto tarda en aplicarse el cambio?

El cambio es inmediato después de reiniciar el servicio SSH. No necesitas esperar nada más.

¿Puedo usar el puerto 443 para SSH?

Técnicamente sí, pero no es recomendable porque puede interferir con el tráfico HTTPS. Además, algunos cortafuegos de aplicaciones web podrían bloquearlo.

Conclusión

Cambiar el puerto SSH en Plesk es un paso sencillo pero muy efectivo para reforzar la seguridad servidor. Reduce el ruido de ataques automatizados y te da un control más granular sobre quién puede acceder a tu sistema. Recuerda siempre hacer una copia de seguridad, configurar bien el firewall y probar la nueva conexión antes de cerrar la sesión anterior.

La seguridad es un proceso continuo, no un destino. Combina este cambio con claves SSH, Fail2ban y actualizaciones periódicas del sistema para mantener tu servidor a salvo de amenazas.

Si has seguido esta guía paso a paso, ahora tu servidor es un poco más seguro. ¡Buen trabajo!