Cómo cambiar el puerto SSH por defecto en Syspanel

¿Por qué cambiar el puerto SSH por defecto en Syspanel?

Cuando instalas un servidor con Syspanel, el servicio SSH (Secure Shell) se configura automáticamente en el puerto 22, que es el estándar en todo el mundo. Esto lo convierte en un objetivo fácil para ataques automatizados, bots y personas malintencionadas que escanean internet constantemente buscando servidores con el puerto 22 abierto.

Cambiar el puerto SSH por defecto en Syspanel es una de las primeras medidas de seguridad que deberías implementar. No es una solución mágica, pero reduce drásticamente el ruido de ataques automatizados, ya que la mayoría de los scripts maliciosos solo prueban el puerto 22. Al mover tu SSH a otro puerto, como el 2106 (que ya usa Syspanel para su panel), haces que tu servidor sea invisible para esos escáneres básicos.

Además, esta práctica forma parte de lo que se conoce como "seguridad por oscuridad". Combinado con otras medidas como autenticación por llaves y fail2ban, el cambio de puerto añade una capa extra que dificulta el trabajo a los atacantes.

Antes de empezar: requisitos previos

Para realizar este proceso necesitas:

• Acceso SSH a tu servidor (obviamente, aún usando el puerto 22).
• Credenciales de administrador (root o un usuario con permisos sudo).
• Tener instalado Syspanel (si usas HestiaCP, recuerda que aquí lo llamamos Syspanel y su puerto de acceso es el 2106).
• Un editor de texto en consola como nano o vim.

[WARNING]
Si te equivocas al cambiar el puerto SSH, podrías quedarte fuera de tu servidor. Asegúrate de tener acceso alternativo por el panel de tu proveedor (como VNC o consola web) antes de continuar.

Paso 1: Conectarte a tu servidor

Abre tu terminal (en Windows puedes usar PowerShell o PuTTY) y conéctate con el comando:

ssh usuario@tu-servidor.com

Te pedirá la contraseña. Una vez dentro, verifica que tienes permisos de superusuario:

sudo -i

O si ya estás como root, no necesitas hacer nada más.

Paso 2: Localizar el archivo de configuración de SSH

El archivo principal de configuración de SSH se llama sshd_config. Normalmente se encuentra en /etc/ssh/sshd_config.

Para editarlo, ejecutamos:

nano /etc/ssh/sshd_config

[TIP]
Si no tienes nano instalado, puedes usar vim o cualquier otro editor. En Syspanel, nano suele venir preinstalado en la mayoría de distribuciones.

Paso 3: Modificar el puerto por defecto

Dentro del archivo, busca la línea que dice:

#Port 22

Esa línea está comentada (por eso tiene el # al inicio). Para cambiar el puerto, debes:

1. Eliminar el # del inicio.
2. Cambiar el número 22 por el puerto que desees.

Por ejemplo, si quieres usar el puerto 2106 (el mismo que usa Syspanel para su panel), la línea quedaría así:

Port 2106

[INFO]
Syspanel utiliza el puerto 2106 para su panel de control. Si eliges ese mismo puerto para SSH, no habrá conflicto, ya que el panel escucha en una IP o interfaz diferente (normalmente localhost o una IP específica). Sin embargo, es recomendable usar un puerto diferente, como 2222, 2200 o 9022, para evitar confusiones.

Guarda los cambios con Ctrl + X, luego presiona Y para confirmar y Enter para salir.

Paso 4: Configurar el firewall para el nuevo puerto

Este paso es crítico. Si tienes un firewall activo (como UFW o iptables), debes permitir el tráfico entrante en el nuevo puerto, o de lo contrario no podrás conectarte.

Si usas UFW (Uncomplicated Firewall):

sudo ufw allow 2106/tcp

Si usas firewalld:

sudo firewall-cmd --permanent --add-port=2106/tcp
sudo firewall-cmd --reload

Si usas iptables directamente:

sudo iptables -A INPUT -p tcp --dport 2106 -j ACCEPT

Y guarda las reglas con iptables-save.

[WARNING]
No olvides también eliminar o bloquear el acceso al puerto 22 si ya no lo vas a usar. Pero hazlo después de verificar que el nuevo puerto funciona correctamente.

Paso 5: Reiniciar el servicio SSH

Una vez hechos los cambios, hay que reiniciar el servicio SSH para que se apliquen.

sudo systemctl restart sshd

En algunas distribuciones puede llamarse ssh en lugar de sshd. Si no funciona, prueba:

sudo systemctl restart ssh

[TIP]
Antes de cerrar tu sesión actual, abre una nueva ventana de terminal y prueba conectarte con el nuevo puerto. Si funciona, entonces sí puedes cerrar la sesión antigua. Esto te salvará de quedarte fuera.

Paso 6: Probar la nueva conexión

Desde tu terminal, conéctate usando el nuevo puerto:

ssh -p 2106 usuario@tu-servidor.com

Si todo ha ido bien, deberías poder iniciar sesión sin problemas. Si no, revisa los pasos anteriores y asegúrate de que el firewall esté permitiendo el tráfico.

Paso 7: Desactivar el puerto 22 (opcional pero recomendado)

Una vez que confirmes que el nuevo puerto funciona, puedes cerrar el puerto 22 para evitar ataques.

En el firewall:

sudo ufw deny 22/tcp

En el archivo de configuración:

Puedes dejar el Port 22 comentado o eliminarlo, ya que solo debe haber una línea Port activa.

[INFO]
Algunos servicios de monitoreo o backups pueden usar SSH internamente. Si tienes scripts automatizados que se conectan por el puerto 22, deberás actualizarlos también con el nuevo puerto.

Configurar Syspanel para usar el nuevo puerto SSH

Syspanel (o HestiaCP, como se conoce en el código original) no requiere configuración específica para el cambio de puerto SSH. Sin embargo, es buena práctica actualizar cualquier referencia al puerto 22 en los scripts o configuraciones del panel.

Acceder al panel de Syspanel

Recuerda que el panel de Syspanel se accede por el puerto 2106:

https://tu-servidor.com:2106

Dentro del panel, en la sección de "Servidor" o "Configuración", puedes verificar que todo esté correcto. No hay una opción específica para el puerto SSH, pero puedes tener en cuenta:

• Los usuarios de FTP y SFTP seguirán funcionando igual.
• Los backups remotos que usen SSH deberán actualizar el puerto en sus comandos.

Buenas prácticas adicionales de seguridad SSH

Cambiar el puerto es solo el primer paso. Te recomiendo implementar estas medidas adicionales para proteger tu servidor SSH:

1. Usar autenticación por llaves

En lugar de contraseñas, genera un par de llaves pública/privada:

ssh-keygen -t rsa -b 4096

Copia la llave pública al servidor:

ssh-copy-id -p 2106 usuario@tu-servidor.com

2. Deshabilitar el login por contraseña

En el archivo sshd_config, cambia:

PasswordAuthentication no

3. Deshabilitar el login de root

Cambia:

PermitRootLogin no

Y crea un usuario con permisos sudo para administrar.

4. Limitar los usuarios permitidos

Añade al final del archivo:

AllowUsers usuario1 usuario2

5. Configurar fail2ban

Instala y configura fail2ban para bloquear IPs que intenten múltiples conexiones fallidas:

sudo apt install fail2ban
sudo systemctl enable fail2ban

Solución de problemas comunes

No puedo conectarme al nuevo puerto

• Revisa que el firewall permita el tráfico en ese puerto.
• Verifica que el servicio SSH esté corriendo: sudo systemctl status sshd.
• Comprueba que no haya otro servicio usando ese puerto: sudo netstat -tulpn | grep 2106.

El panel Syspanel dejó de funcionar

Esto es poco probable, pero si has bloqueado el puerto 2106 en el firewall, el panel fallará. Recuerda que Syspanel usa el puerto 2106 para su interfaz web y no debes bloquearlo.

Error "Address already in use"

Si aparece este error al reiniciar SSH, significa que el puerto que elegiste ya está ocupado. Cambia a otro puerto en el archivo de configuración.

Preguntas frecuentes (FAQ)

¿Es seguro usar el puerto 2106 para SSH?

Sí, pero como ya lo usa Syspanel, es mejor elegir un puerto diferente para evitar confusiones. Cualquier puerto por encima de 1024 es válido.

¿Cuánto tiempo tarda en notarse la mejora de seguridad?

Inmediatamente. Los ataques automatizados al puerto 22 se reducen drásticamente en cuanto cierras ese puerto.

¿Puedo usar el mismo puerto para SSH y para el panel?

Técnicamente no, porque ambos servicios no pueden escuchar en el mismo puerto y dirección IP. Syspanel ya usa el 2106, así que elige otro.

¿Debo informar a mi proveedor de hosting?

No es necesario, a menos que tengas un firewall gestionado por ellos que bloquee puertos no estándar.

¿Qué hago si me quedo fuera del servidor?

Usa la consola web de tu proveedor (VPS) o el modo de rescate. Desde ahí puedes editar el archivo de configuración y revertir los cambios.

Conclusión

Cambiar el puerto SSH por defecto en Syspanel es un proceso sencillo que mejora notablemente la seguridad de tu servidor. No es la solución definitiva, pero combinado con buenas prácticas como llaves SSH, deshabilitar root y fail2ban, hará que tu servidor sea mucho más difícil de comprometer.

Recuerda: la seguridad es un proceso continuo. Dedica tiempo a revisar los logs, actualizar el sistema y educarte sobre nuevas amenazas. Tu servidor te lo agradecerá.

Si tienes alguna duda, deja un comentario o consulta la documentación oficial de Syspanel. ¡Buena suerte con tu servidor!