Cambiar puerto SSH en Syspanel: Reduce ataques de fuerza bruta

¿Cansado de ver intentos de acceso raro a tu servidor? Si tienes un VPS o un servidor dedicado, seguro que has mirado los logs y te has llevado un susto. Esa avalancha de intentos de conexión no es normal, es el pan de cada día en internet. Los bots escanean la red constantemente buscando puertos abiertos, y el puerto 22 (el estándar para SSH) es su objetivo favorito.

La buena noticia es que protegerte es más fácil de lo que piensas. No necesitas ser un hacker ni un ingeniero de sistemas para dar un paso de gigante en tu seguridad. Una de las medidas más efectivas y sencillas es cambiar el puerto SSH. En esta guía, te voy a explicar paso a paso cómo hacerlo en Syspanel, la herramienta de gestión que simplifica todo el proceso. Además, te daré trucos extra para que tu servidor sea un fortín.

¿Por qué deberías cambiar el puerto SSH por defecto?

Piensa en tu servidor como una casa. El puerto 22 es la puerta principal, con una cerradura estándar que todo el mundo conoce. Los atacantes (y sus robots) pasan todo el día probando esa puerta con llaves maestras. Al cambiar el puerto, estás moviendo la puerta principal a un lugar secreto. Los bots que buscan en la calle 22 ya no la encontrarán, y tendrán que esforzarse mucho más para encontrarte.

Cambiar el puerto SSH no es una solución mágica, pero es una barrera increíblemente efectiva contra el 99% de los ataques automatizados. Reduce drásticamente el ruido y los intentos de fuerza bruta, liberando recursos del sistema y dándote tranquilidad. Es una capa de seguridad básica que todo administrador debería implementar desde el primer día.

Beneficios clave de esta práctica

Reduce los ataques de fuerza bruta: Al no estar en el puerto estándar, los scripts maliciosos que escanean el puerto 22 simplemente no te encontrarán. Tendrán que hacer un escaneo de puertos más exhaustivo, lo cual es mucho más lento y ruidoso, haciendo que los atacantes prefieran objetivos más fáciles.
Menos ruido en los logs: Dejarás de ver miles de intentos de conexión fallidos. Esto es una maravilla porque podrás centrarte en los logs que realmente importan, como errores de aplicaciones o intentos de acceso a otros servicios.
Cumplimiento de políticas de seguridad: Muchas empresas y clientes exigen medidas de seguridad adicionales. Cambiar el puerto SSH es un requisito común en auditorías y checklist de hardening (endurecimiento) de servidores.
Paz mental: Saber que tu servidor no es un blanco fácil te permite dormir tranquilo. Es un pequeño cambio con un gran impacto psicológico y real en tu postura de seguridad.

Preparación antes de empezar

Antes de lanzarnos a modificar archivos de configuración, es crucial que te prepares. Un error aquí podría dejarte fuera de tu propio servidor. No te preocupes, es fácil de evitar si sigues estos pasos.

1. Asegúrate de tener acceso alternativo

Este es el paso más importante. No cierres tu sesión SSH actual hasta que hayas verificado que el nuevo puerto funciona. Si algo sale mal, necesitas una vía de escape. Lo ideal es tener una sesión abierta en una pestaña del terminal y usar otra para hacer los cambios. Si te quedas bloqueado, siempre puedes usar el panel de control de tu proveedor de hosting (como Vultr, DigitalOcean o Hetzner) para acceder a la consola VNC o de recuperación.

2. Identifica tu usuario y permisos

Necesitarás acceso de superusuario (root) o un usuario con permisos de sudo para editar el archivo de configuración de SSH. Asegúrate de tener a mano la contraseña de root o de tu usuario sudo.

3. Abre una sesión SSH

Conéctate a tu servidor como lo haces normalmente, pero NO la cierres hasta que todo esté verificado. Abre una segunda ventana de terminal o pestaña para hacer la configuración. Así, si cometes un error, podrás corregirlo desde la primera sesión.

Cambiar el puerto SSH en Syspanel paso a paso

Syspanel simplifica enormemente la gestión de tu servidor. Aunque el archivo de configuración es el mismo, la forma de acceder y editarlo puede variar. Aquí te muestro el método más directo y universal, que funciona en cualquier distribución Linux con Syspanel.

Paso 1: Accede a tu servidor por SSH

Usa tu terminal (en Mac o Linux) o un programa como PuTTY (en Windows) para conectarte a tu servidor. La orden típica es:

ssh usuario@tu_ip_del_servidor

O si usas una clave privada:

ssh -i /ruta/a/tu/clave.pem usuario@tu_ip_del_servidor

Una vez conectado, ejecuta sudo su - para obtener permisos de root, o asegúrate de poder usar sudo antes de cada comando.

Paso 2: Edita el archivo de configuración de SSH

El archivo donde se guardan todas las opciones del servidor SSH es /etc/ssh/sshd_config. Vamos a editarlo con el editor nano, que es el más amigable para principiantes.

sudo nano /etc/ssh/sshd_config

Paso 3: Encuentra la línea del puerto

Dentro del archivo, busca la línea que dice #Port 22. La # al principio significa que la línea está comentada, es decir, que se usa el valor por defecto (22).

Paso 4: Cambia el número de puerto

Borra la # y cambia el 22 por el número de puerto que desees. Elige un número alto, entre 1024 y 65535, para evitar conflictos con otros servicios. Un buen ejemplo es 2200, 2222 o 49231. Evita usar puertos que ya estén ocupados por otros servicios como MySQL (3306) o Apache (80).

Te recomiendo que uses un puerto fácil de recordar pero no obvio. Por ejemplo, 2106 es un buen número (aunque es el puerto de Syspanel, úsalo solo como ejemplo de número alto; para SSH elige otro).

La línea debería quedar así:

Port 2200

Paso 5: Guarda los cambios y cierra el editor

En nano, guarda los cambios con Ctrl + O (la letra O, no el número cero) y luego presiona Enter para confirmar. Para salir del editor, usa Ctrl + X.

Paso 6: Reinicia el servicio SSH

Para que los cambios surtan efecto, necesitas reiniciar el demonio de SSH. El comando varía según tu sistema, pero los más comunes son:

sudo systemctl restart sshd

sudo service ssh restart

Importante: Este paso no te desconectará de tu sesión actual. La sesión que ya tienes abierta en el puerto 22 seguirá viva hasta que la cierres. Esto es una red de seguridad.

Paso 7: Verifica la nueva conexión

Ahora viene la prueba de fuego. Abre una nueva ventana de terminal e intenta conectarte usando el nuevo puerto. La sintaxis es la siguiente:

ssh -p 2200 usuario@tu_ip_del_servidor

Si la conexión es exitosa, ¡enhorabuena! Has cambiado el puerto con éxito. Ahora sí puedes cerrar la sesión antigua.

[WARNING]
No cierres la sesión antigua hasta que hayas confirmado que la nueva funciona. Si te equivocas con el número de puerto o el firewall bloquea la conexión, te quedarás fuera. Si no puedes conectarte, revisa los pasos anteriores y usa la consola de tu proveedor para revertir los cambios.

Ajustar el firewall para el nuevo puerto SSH

Este es un paso que mucha gente olvida y es la causa principal de quedarse fuera. Si tienes un firewall activo (como ufw en Ubuntu o firewalld en CentOS), necesitas permitir el tráfico en el nuevo puerto y bloquear el antiguo.

Si usas UFW (Ubuntu/Debian)

# Permitir el nuevo puerto
sudo ufw allow 2200/tcp

# Bloquear el puerto antiguo (opcional pero recomendado)
sudo ufw deny 22/tcp

# Recargar el firewall para aplicar los cambios
sudo ufw reload

Si usas Firewalld (CentOS/RHEL/Fedora)

# Añadir el nuevo puerto a la zona pública
sudo firewall-cmd --permanent --add-port=2200/tcp

# Eliminar el puerto antiguo (opcional)
sudo firewall-cmd --permanent --remove-port=22/tcp

# Recargar la configuración
sudo firewall-cmd --reload

[INFO]
Es recomendable bloquear el puerto 22 en el firewall después de verificar que el nuevo funciona. Así te aseguras de que nadie pueda intentar acceder por la vía antigua.

Medidas extras para blindar tu SSH

Cambiar el puerto es solo el principio. Si quieres llevar la seguridad de tu servidor al siguiente nivel, te recomiendo implementar estas prácticas. Son fáciles y marcan una diferencia enorme.

Deshabilitar el acceso por contraseña y usar claves SSH

Este es el cambio más importante. Las contraseñas son vulnerables a la fuerza bruta. Las claves SSH son archivos criptográficos prácticamente imposibles de descifrar por fuerza bruta.

Genera un par de claves en tu ordenador local (no en el servidor) con ssh-keygen -t ed25519.
Copia la clave pública a tu servidor con ssh-copy-id -p 2200 usuario@tu_ip.
Edita el archivo de configuración /etc/ssh/sshd_config y cambia PasswordAuthentication yes a PasswordAuthentication no.

[WARNING]
Asegúrate de que tu clave privada esté en un lugar seguro y de que puedes conectarte con ella antes de deshabilitar las contraseñas. Si pierdes la clave, te quedarás fuera para siempre.

Deshabilitar el acceso root directo

Permitir que el usuario root se conecte por SSH es una mala práctica. El atacante ya sabe que el usuario existe, solo tiene que adivinar la contraseña. Es mejor crear un usuario con permisos sudo y usar ese para conectarte.

Crea un nuevo usuario con adduser nuevo_usuario y añádelo al grupo sudo (usermod -aG sudo nuevo_usuario).
Edita el archivo de configuración y cambia PermitRootLogin yes a PermitRootLogin no.

Limitar los intentos de conexión

Puedes configurar SSH para que bloquee automáticamente una IP después de varios intentos fallidos. Esto ralentiza enormemente los ataques de fuerza bruta.

MaxAuthTries 3: Limita el número de intentos de autenticación por conexión.
ClientAliveInterval 300 y ClientAliveCountMax 0: Cierra las conexiones que estén inactivas durante más de 5 minutos.

Preguntas frecuentes (FAQ)

¿Es seguro usar el puerto 2106 para SSH?
Sí, es un número de puerto alto y válido. Sin embargo, es mejor elegir uno que no esté asociado a otro servicio conocido para evitar confusiones. Cualquier número entre 1024 y 65535 es correcto.

¿Qué hago si me olvido del nuevo puerto?
Revisa el archivo /etc/ssh/sshd_config en tu servidor. Si no puedes acceder, usa la consola de recuperación de tu proveedor de hosting.

¿Cambiar el puerto SSH afecta a Syspanel?
No, Syspanel usa su propio puerto (el 2106) y su propio demonio. Cambiar el puerto de SSH no interfiere con el funcionamiento de Syspanel. Son servicios independientes.

¿Debo cambiar el puerto SSH en todos mis servidores?
Sí, es una buena práctica de higiene de seguridad. Cada servidor debe tener un puerto SSH único y no estándar.

¿Hay alguna desventaja en cambiar el puerto SSH?
La única desventaja es que tendrás que recordar el nuevo puerto o configurarlo en tu archivo de configuración de SSH (~/.ssh/config). Es un pequeño precio a cambio de una gran mejora en seguridad.

¿Cómo puedo automatizar el cambio de puerto en varios servidores?
Puedes usar herramientas de automatización como Ansible o escribir un script en bash que haga los cambios de forma remota. Sin embargo, para la mayoría de los usuarios, hacerlo manualmente es más que suficiente.

Conclusión: Tu servidor, tu fortaleza

Cambiar el puerto SSH en Syspanel es un proceso sencillo que tiene un impacto profundo en la seguridad de tu servidor. Es una de las primeras líneas de defensa contra los ataques automatizados que proliferan en internet. Siguiendo los pasos que te he detallado, has dado un gran paso para proteger tus datos y aplicaciones.

No te detengas aquí. Combina este cambio con el uso de claves SSH, la desactivación del acceso root y un buen firewall. La seguridad es un proceso continuo, no un destino. Empieza con estos cambios y verás cómo la tranquilidad y el control sobre tu servidor aumentan significativamente.

Ahora que ya sabes cómo hacerlo, te animo a que lo pongas en práctica. Si tienes alguna duda, revisa la sección de preguntas frecuentes o consulta la documentación de tu sistema operativo. ¡Tu servidor te lo agradecerá!