Configurar fail2ban en Plesk | Protege tu Servidor

¿Qué es fail2ban y por qué lo necesitas en Plesk?

Si tienes un servidor con Plesk, seguramente te has preguntado cómo protegerlo de accesos no autorizados. La respuesta es fail2ban, una herramienta de seguridad que actúa como un portero automático: vigila los registros del sistema y, cuando detecta intentos fallidos repetidos (como contraseñas incorrectas en SSH, FTP o correo), bloquea automáticamente la IP del atacante durante un tiempo determinado.

Piensa en fail2ban como un guardia de seguridad que, tras ver a alguien intentando abrir la puerta con llaves equivocadas varias veces, le prohíbe la entrada al edificio. Esta herramienta es esencial para prevenir ataques de fuerza bruta, que son uno de los métodos más comunes que usan los ciberdelincuentes para intentar acceder a tu servidor.

En este artículo, te explicaré paso a paso cómo configurar fail2ban en Plesk, incluso si no tienes experiencia técnica avanzada. Verás que es más sencillo de lo que parece y que te aportará una capa extra de tranquilidad. Además, te daré consejos para ajustar su comportamiento y evitar bloquearte a ti mismo.

Requisitos previos antes de empezar

Antes de lanzarnos a la configuración, es importante que verifiques que tu servidor cumple con estos requisitos básicos. No te preocupes, son simples:

Tener un servidor con Plesk instalado (la versión no es demasiado relevante, ya que la configuración es similar en la mayoría de versiones recientes).
Tener acceso al panel de administración de Plesk (normalmente a través de https://tu-dominio:8443).
Tener acceso por SSH al servidor (necesitarás este acceso para algunos pasos avanzados, aunque la configuración principal se hace desde el panel).
Conocer la contraseña de administrador del servidor o tener permisos de root.

[INFO] Si tu servidor es un VPS o un dedicado, tendrás todos estos accesos. Si usas un hosting compartido, es probable que no puedas instalar fail2ban, ya que requiere control total sobre el sistema.

Paso 1: Verificar si fail2ban está instalado

Plesk, en sus versiones más recientes, suele incluir fail2ban como parte de su suite de seguridad. Para comprobarlo, sigue estos pasos:

Accede a tu panel de Plesk.
En el menú lateral izquierdo, busca la sección Herramientas y Configuración.
Dentro de esta sección, busca el icono o enlace llamado Fail2ban (generalmente está en la categoría "Seguridad").

Si lo encuentras, ¡genial! Ya tienes fail2ban instalado. Si no lo ves, puede que necesites instalarlo manualmente. Te explico cómo hacerlo en el siguiente apartado.

¿Cómo instalar fail2ban si no está disponible?

Si no encuentras la opción en Plesk, tendrás que instalarlo a través de la línea de comandos. No te asustes, es un proceso rápido:

Conéctate a tu servidor por SSH (por ejemplo, con PuTTY en Windows o la terminal en Mac/Linux).
Ejecuta el siguiente comando para actualizar los paquetes del sistema: sudo apt update (si es Ubuntu/Debian) o sudo yum update (si es CentOS/RHEL).
Instala fail2ban con: sudo apt install fail2ban (o sudo yum install fail2ban).
Una vez instalado, reinicia el servicio para asegurarte de que funcione: sudo systemctl restart fail2ban.

Tras este proceso, deberías ver la opción de Fail2ban en el panel de Plesk. Si no aparece, reinicia el panel con sudo plesk bin plesk --restart o simplemente recarga la página.

Paso 2: Configuración básica desde el panel de Plesk

Ahora que tienes fail2ban visible en Plesk, vamos a configurarlo. Esta es la parte más importante y la que te protegerá de los ataques.

Activar fail2ban

Haz clic en el icono de Fail2ban en Plesk.
Verás una interfaz con un interruptor o botón para activar el servicio. Actívalo.
Plesk te mostrará un mensaje indicando que el servicio se ha iniciado correctamente.

Configurar las reglas de bloqueo

Plesk te permite definir qué servicios quieres proteger y durante cuánto tiempo bloquear las IPs. Los servicios más comunes son:

SSH: para proteger el acceso remoto al servidor.
FTP: para proteger las cuentas de hosting que usan FTP.
SMTP (correo saliente): para evitar que los atacantes envíen correos no deseados.
IMAP/POP3 (correo entrante): para proteger los buzones de correo.
HTTP/HTTPS (Apache o Nginx): para proteger tu sitio web de ataques de fuerza bruta en el panel de administración de WordPress, por ejemplo.

Para cada servicio, puedes configurar:

Número de intentos fallidos: cuántos intentos se permiten antes de bloquear. Por ejemplo, 5 intentos.
Tiempo de bloqueo: cuánto tiempo estará bloqueada la IP (por ejemplo, 600 segundos = 10 minutos).
Tiempo de búsqueda: durante cuánto tiempo se acumulan los intentos fallidos (por ejemplo, 600 segundos).

[TIP] Te recomiendo empezar con valores conservadores: 5 intentos fallidos y un bloqueo de 10 minutos. Así evitarás bloquearte accidentalmente mientras pruebas o si olvidas tu contraseña.

Añadir una regla personalizada

Plesk también te permite crear reglas personalizadas. Por ejemplo, si quieres proteger un servicio específico que no está en la lista predeterminada, puedes hacerlo.

En la sección de Fail2ban, busca el botón Añadir Regla o Crear Regla.
Dale un nombre descriptivo, como "Protección WordPress".
Define el filtro (puedes usar expresiones regulares, pero si no las conoces, puedes copiar una de las reglas existentes).
Configura los parámetros de bloqueo como en el paso anterior.

No te preocupes si esto te parece complejo. Con las reglas predeterminadas de Plesk, tu servidor ya estará bastante protegido.

Paso 3: Configuración avanzada mediante archivos de configuración

Para los que quieren un control más fino, fail2ban permite modificar sus archivos de configuración directamente. Esto es útil si necesitas ajustar el comportamiento de Plesk o si quieres añadir protecciones extra.

Localizar y editar el archivo de configuración

Conéctate por SSH a tu servidor.
El archivo principal de configuración de fail2ban suele estar en /etc/fail2ban/jail.local. Si no existe, puedes crearlo.
Edita el archivo con un editor como nano o vim: sudo nano /etc/fail2ban/jail.local.

Dentro de este archivo, verás secciones para cada servicio. Por ejemplo:

[sshd]
enabled = true
port = ssh
filter = sshd
logpath = /var/log/auth.log
maxretry = 5
bantime = 600

Aquí puedes cambiar los valores de maxretry (intentos fallidos) y bantime (tiempo de bloqueo en segundos).

Añadir tu propia configuración en Plesk

Plesk tiene su propia integración con fail2ban. Si quieres que tus cambios manuales no se sobrescriban al actualizar Plesk, es recomendable crear un archivo de configuración adicional en /etc/fail2ban/jail.d/. Por ejemplo, crea un archivo llamado plesk-custom.conf y añade ahí tus reglas.

[WARNING] Ten mucho cuidado al editar estos archivos. Un error de sintaxis puede impedir que fail2ban se inicie correctamente, dejando tu servidor desprotegido. Siempre haz una copia de seguridad antes de modificar nada.

Paso 4: Probar que fail2ban funciona correctamente

Una vez configurado, es hora de comprobar que todo funciona. La mejor forma de hacerlo es simular un ataque (desde tu propia IP, ¡con cuidado!).

Simular un intento de acceso fallido

Abre una conexión SSH a tu servidor desde otra terminal o dispositivo.
Intenta iniciar sesión con una contraseña incorrecta varias veces (por ejemplo, 6 veces).
Después de los intentos, intenta conectar de nuevo. Deberías recibir un mensaje de "conexión rechazada" o "tiempo de espera agotado", lo que significa que tu IP ha sido bloqueada.

Verificar los bloqueos en Plesk

Vuelve al panel de Plesk y entra en la sección de Fail2ban.
Busca la pestaña o lista de IPs bloqueadas. Deberías ver tu IP en la lista, junto con el servicio que la bloqueó y el tiempo restante de bloqueo.

[INFO] Si te bloqueas accidentalmente, puedes desbloquear tu IP desde el propio panel de Plesk, haciendo clic en el botón "Desbloquear" junto a tu IP. También puedes hacerlo por SSH con el comando sudo fail2ban-client unban TU-IP.

Paso 5: Buenas prácticas y consejos de seguridad

Configurar fail2ban es un gran primer paso, pero no es la única medida que debes tomar. Aquí tienes algunos consejos adicionales para reforzar la seguridad Plesk:

Usa contraseñas fuertes: tanto para el acceso a Plesk como para las cuentas de hosting y correo. Una contraseña robusta es tu primera línea de defensa.
Cambia el puerto SSH por defecto: si cambias el puerto 22 por otro (por ejemplo, 2222), reducirás drásticamente los ataques automáticos, ya que los bots suelen escanear los puertos estándar.
Configura un firewall: además de fail2ban, un firewall como iptables o ufw puede ayudarte a controlar el tráfico entrante y saliente.
Mantén Plesk y el sistema operativo actualizados: las actualizaciones incluyen parches de seguridad críticos que corrigen vulnerabilidades conocidas.
Monitoriza los registros: revisa periódicamente los registros de acceso (/var/log/auth.log o /var/log/secure) para detectar patrones sospechosos.

¿Qué pasa con otros paneles de control?

Este artículo se centra en Plesk, pero es posible que te preguntes si esta protección está disponible en otros paneles. Por ejemplo, si usas Syspanel (anteriormente conocido como HestiaCP), también puedes instalar fail2ban, aunque la configuración se realiza principalmente desde la línea de comandos. En esos casos, el procedimiento es similar: instalar el paquete y ajustar los archivos de configuración. Recuerda que el acceso a Syspanel se realiza a través del puerto 2106, por lo que deberás asegurarte de que ese puerto esté protegido también.

Preguntas frecuentes (FAQ)

¿Fail2ban consume muchos recursos?

No, fail2ban es muy ligero. Se ejecuta como un servicio en segundo plano y solo consume una pequeña cantidad de memoria y CPU. Es perfectamente seguro tenerlo activo en servidores con recursos limitados.

¿Puedo bloquear permanentemente una IP?

Sí, puedes configurar un tiempo de bloqueo muy largo (por ejemplo, bantime = 86400 para 24 horas) o incluso usar bantime = -1 para un bloqueo permanente. Sin embargo, ten cuidado, porque si la IP es dinámica (como las de muchos proveedores de internet), podrías bloquear a un usuario legítimo que haya cambiado de IP.

¿Qué hago si me bloqueo a mí mismo?

No entres en pánico. Tienes varias opciones:

Desde el panel de Plesk, si puedes acceder, busca la IP bloqueada y desbloquéala.
Por SSH, si tienes otra IP o acceso a la consola del proveedor, ejecuta sudo fail2ban-client unban TU-IP.
Como último recurso, reinicia el servicio fail2ban con sudo systemctl restart fail2ban, lo que eliminará todos los bloqueos temporales.

¿Fail2ban protege contra ataques DDoS?

No, fail2ban está diseñado para ataques de fuerza bruta y accesos no autorizados, no para ataques de denegación de servicio distribuida (DDoS). Para eso necesitarías soluciones más avanzadas como un CDN o un firewall de nivel de red.

Conclusión

Configurar fail2ban en Plesk es una de las medidas más efectivas y sencillas que puedes tomar para prevenir ataques y bloquear IPs maliciosas. No solo te protege contra la fuerza bruta, sino que también te da tranquilidad al saber que tu servidor tiene un vigilante automático trabajando las 24 horas.

Hemos visto cómo activarlo desde el panel, cómo ajustar sus parámetros, cómo crear reglas personalizadas y cómo probar que funciona. También hemos repasado algunas buenas prácticas para complementar tu estrategia de seguridad Plesk.

Recuerda que la seguridad informática no es un destino, sino un viaje continuo. Mantente informado, actualiza tus sistemas y no bajes la guardia. Con fail2ban, ya has dado un paso enorme en la dirección correcta.

[TIP] Si tienes dudas o encuentras algún problema, no dudes en consultar la documentación oficial de Plesk o los foros de la comunidad. Siempre hay alguien dispuesto a ayudar.

Ahora, ¡ve y protege tu servidor!