Cómo cambiar el puerto SSH por defecto en servidores con Syspanel

¿Por qué deberías cambiar el puerto SSH por defecto?

El puerto 22 es la puerta de entrada estándar para SSH en prácticamente todos los servidores del mundo. Esto lo convierte en el objetivo favorito de bots y atacantes automáticos que escanean internet constantemente buscando servidores con este puerto abierto.

Cada minuto, millones de intentos de conexión automatizados golpean servidores en el puerto 22. Aunque la mayoría son inofensivos, representan un riesgo innecesario. Cambiar el puerto SSH por defecto es una de las primeras medidas de seguridad que cualquier administrador debería implementar, especialmente si trabajas con Syspanel como panel de control.

Al mover SSH a un puerto no estándar, reduces drásticamente el ruido de escaneos automáticos. Los bots suelen buscar puertos comunes y, al no encontrarlos, pasan de largo. Esto no hace tu servidor invulnerable, pero sí mucho menos visible y, por tanto, menos atacado.

Beneficios principales de cambiar el puerto SSH:

• Reduce los intentos de acceso no autorizado automatizados
• Disminuye la carga innecesaria en el sistema por conexiones fallidas
• Evita ataques de fuerza bruta masivos dirigidos al puerto 22
• Añade una capa extra de oscuridad (seguridad por oscuridad) a tu infraestructura
• Mejora el cumplimiento de políticas de seguridad internas

Qué es Syspanel y cómo se relaciona con SSH

Syspanel es el panel de control que utilizamos en nuestros servidores para gestionar sitios web, bases de datos, correos electrónicos y usuarios FTP. Antes conocido como HestiaCP, Syspanel es una herramienta potente y ligera que facilita enormemente la administración del servidor.

El acceso a Syspanel se realiza a través del puerto 2106 (https://tu-servidor:2106). Este puerto es exclusivo para el panel web y no debe confundirse con el puerto SSH que vamos a modificar.

Es importante entender que Syspanel no gestiona directamente el servicio SSH. El panel controla servicios web, DNS y correo, pero SSH es un servicio independiente del sistema. Por tanto, para cambiar el puerto SSH, trabajaremos directamente sobre la configuración del servidor, no desde el panel.

[INFO] Syspanel no se ve afectado por el cambio de puerto SSH. El panel seguirá accesible en el puerto 2106 después de realizar esta modificación.

Preparación antes de cambiar el puerto SSH

Antes de lanzarte a modificar configuraciones, es fundamental que tomes ciertas precauciones. Un error al cambiar el puerto SSH podría dejarte sin acceso a tu servidor, y eso sería un problema serio.

1. Abre una sesión SSH de respaldo

Nunca trabajes con una única conexión SSH abierta. Siempre abre una segunda sesión en otra terminal. De esta forma, si algo sale mal durante la modificación, podrás revertir los cambios desde la segunda sesión.

2. Verifica tu proveedor de hosting

Algunos proveedores de hosting gestionan el firewall a nivel de red y bloquean puertos no estándar. Consulta con tu proveedor si hay restricciones de puertos salientes o entrantes.

3. Anota tu configuración actual

Ejecuta el siguiente comando para ver la configuración actual de SSH:

sudo grep -E "^Port|^PermitRootLogin|^PasswordAuthentication" /etc/ssh/sshd_config

Anota estos valores, te servirán como referencia y para revertir cambios si fuera necesario.

[WARNING] Realiza siempre una copia de seguridad del archivo de configuración SSH: sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak

Cómo cambiar el puerto SSH paso a paso

Ahora vamos a lo importante. Sigue estos pasos con calma y verifica cada acción antes de continuar. El proceso completo te llevará menos de cinco minutos.

Paso 1: Accede a tu servidor

Conéctate por SSH usando tu usuario habitual:

ssh usuario@tu-servidor.com

Paso 2: Edita el archivo de configuración SSH

El archivo de configuración del servidor SSH se encuentra en /etc/ssh/sshd_config. Usaremos nano como editor, ya que es sencillo e intuitivo:

sudo nano /etc/ssh/sshd_config

Paso 3: Localiza la línea Port

Dentro del archivo, busca la línea que dice #Port 22 o simplemente Port 22. En la mayoría de las instalaciones, esta línea está comentada (empieza por #).

Paso 4: Modifica el puerto

Cambia esa línea por el puerto que desees. Te recomendamos elegir un puerto entre 1024 y 65535 que no esté en uso. Algunas opciones populares son 2222, 2200, 9022 o cualquier número que recuerdes fácilmente.

Descomenta la línea (quita el #) y escribe:

Port 2222

[TIP] Elige un puerto que no uses para otros servicios y que sea fácil de recordar. Por ejemplo, 2222 o 2200 son opciones comunes. Evita puertos inferiores a 1024, ya que requieren privilegios especiales.

Paso 5: Guarda y cierra el archivo

En nano, presiona Ctrl + O para guardar, luego Enter para confirmar, y Ctrl + X para salir.

Paso 6: Verifica la sintaxis de la configuración

Antes de reiniciar el servicio, comprueba que no hay errores:

sudo sshd -t

Si no muestra ningún mensaje, la configuración es correcta. Si ves errores, revisa el archivo y corrige antes de continuar.

Paso 7: Reinicia el servicio SSH

Ahora aplica los cambios:

sudo systemctl restart sshd

O si tu sistema usa el servicio ssh:

sudo systemctl restart ssh

Paso 8: Prueba la nueva conexión

Desde la segunda sesión que abriste al principio, prueba conectar usando el nuevo puerto:

ssh -p 2222 usuario@tu-servidor.com

Si la conexión es exitosa, ¡felicidades! Has cambiado correctamente el puerto SSH.

[WARNING] No cierres tu sesión original hasta confirmar que puedes conectar con el nuevo puerto. Si algo falla, tendrás tiempo de revertir los cambios desde la sesión activa.

Configurar el firewall para el nuevo puerto SSH

El cambio de puerto no sirve de nada si el firewall no permite el tráfico entrante. Si usas UFW (Uncomplicated Firewall), que es el más común en sistemas Ubuntu o Debian, sigue estos pasos:

Si tienes UFW activado

sudo ufw allow 2222/tcp
sudo ufw delete allow 22/tcp
sudo ufw reload

Si usas firewalld

sudo firewall-cmd --permanent --add-port=2222/tcp
sudo firewall-cmd --reload

Si tu servidor usa iptables

sudo iptables -A INPUT -p tcp --dport 2222 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 22 -j DROP

Importante: Aplica los cambios de firewall después de verificar que el nuevo puerto funciona correctamente. Así evitas quedarte fuera del servidor.

[INFO] Syspanel no requiere ninguna configuración adicional en el firewall para seguir funcionando. El puerto 2106 permanece sin cambios.

Actualizar las reglas de acceso en Syspanel

Syspanel gestiona los usuarios del sistema y puede tener sus propias reglas de acceso. Aunque el panel no controla SSH directamente, es buena práctica revisar la configuración del firewall del panel para asegurarse de que no bloquea el nuevo puerto.

Desde Syspanel, accede a la sección de Firewall o Seguridad y verifica que el nuevo puerto SSH está permitido. En caso contrario, añade una regla para permitirlo.

Pasos en Syspanel:

1. Inicia sesión en Syspanel (https://tu-servidor:2106)
2. Ve a la sección de Firewall
3. Añade una regla para permitir el puerto 2222/tcp
4. Guarda los cambios

Cómo evitar ataques de fuerza bruta adicionales

Cambiar el puerto SSH es solo una capa de protección. Para una seguridad más completa, implementa estas medidas adicionales:

1. Desactiva el acceso root por SSH

En el archivo sshd_config, busca la línea PermitRootLogin y cámbiala a no. Esto obliga a usar un usuario normal y luego escalar privilegios con sudo.

2. Usa autenticación por claves SSH

Las contraseñas son vulnerables a ataques de fuerza bruta. Las claves SSH son mucho más seguras. Genera un par de claves y desactiva la autenticación por contraseña:

PasswordAuthentication no

3. Implementa fail2ban

Fail2ban es una herramienta que bloquea automáticamente IPs que realizan múltiples intentos fallidos de conexión. Instálalo y configúralo para SSH:

sudo apt install fail2ban
sudo systemctl enable fail2ban

4. Limita los usuarios que pueden acceder por SSH

Añade al final de sshd_config:

AllowUsers usuario1 usuario2

De esta forma, solo los usuarios listados podrán conectarse por SSH.

5. Cambia el puerto también en tus clientes

No olvides actualizar tus clientes SSH (como PuTTY, Terminal, o herramientas de conexión) con el nuevo puerto. También actualiza los scripts de backup o sincronización que uses.

[TIP] Combina el cambio de puerto con fail2ban y autenticación por claves. Esta combinación reduce drásticamente el riesgo de ataques de fuerza bruta exitosos.

Qué hacer si pierdes el acceso al servidor

Si después de los cambios no puedes conectar por SSH, no entres en pánico. Tienes varias opciones para recuperar el acceso:

Opción 1: Usa Syspanel

Syspanel incluye una función de terminal web. Accede a https://tu-servidor:2106, inicia sesión y busca la opción de terminal o consola. Desde ahí puedes revertir los cambios en sshd_config.

Opción 2: Contacta con tu proveedor

La mayoría de proveedores de hosting ofrecen un panel de control externo con acceso por consola (VNC o similar). Utiliza esa consola para corregir la configuración.

Opción 3: Reinicia en modo de rescate

Algunos proveedores permiten reiniciar el servidor en un modo de rescate que monta el sistema sin iniciar SSH. Desde ahí puedes editar los archivos y corregir el problema.

Preguntas frecuentes sobre el cambio de puerto SSH

¿Es seguro usar el puerto 2222?

Sí, es una opción común y segura. Sin embargo, al ser tan popular, algunos bots ya lo escanean. Te recomendamos usar un puerto menos común, como 9022, 22022 o incluso uno aleatorio entre 20000 y 50000.

¿Afecta el cambio de puerto a mis sitios web?

No. SSH es un servicio independiente. Tus sitios web, bases de datos y correos funcionarán exactamente igual.

¿Necesito cambiar algo en Syspanel?

No. Syspanel sigue accesible en el puerto 2106 sin ninguna modificación. El panel no depende del servicio SSH.

¿Puedo tener SSH en varios puertos a la vez?

Sí, puedes especificar múltiples líneas Port en sshd_config para permitir conexiones en varios puertos. Esto puede ser útil durante la transición.

¿Qué hago si olvido el nuevo puerto?

Puedes consultar el archivo de configuración desde Syspanel (terminal web) o desde la consola de tu proveedor. El archivo /etc/ssh/sshd_config contiene la línea Port con el número configurado.

Resumen final y buenas prácticas

Cambiar el puerto SSH por defecto es una medida sencilla pero efectiva para mejorar la seguridad de tu servidor. No es la solución definitiva, pero combinada con otras prácticas reduce significativamente la superficie de ataque.

Recuerda estos puntos clave:

• El puerto 22 es el objetivo principal de ataques automatizados
• Syspanel no se ve afectado por el cambio de puerto SSH
• Siempre mantén una sesión de respaldo durante los cambios
• Actualiza tu firewall para permitir el nuevo puerto
• Combina el cambio con autenticación por claves y fail2ban
• Guarda una copia de seguridad de la configuración original

Con estos pasos, tu servidor será mucho menos atractivo para los atacantes. Recuerda que la seguridad es un proceso continuo, no una acción puntual. Revisa periódicamente los logs de acceso y mantén tu sistema actualizado.

[INFO] Si tienes dudas durante el proceso, no dudes en contactar con nuestro equipo de soporte. Estamos disponibles 24/7 para ayudarte con la configuración de tu servidor y Syspanel.