Autenticación SSH en DirectAdmin: Acceso Seguro Paso a Paso

¿Por qué es importante asegurar el acceso SSH en tu servidor?

El protocolo SSH (Secure Shell) es la puerta de entrada principal a tu servidor. Si no lo configuras correctamente, cualquier persona con intenciones maliciosas podría intentar acceder a tu sistema mediante fuerza bruta o ataques de diccionario. Configurar la autenticación SSH en DirectAdmin no es solo una recomendación, es una necesidad básica de ciberseguridad.

Cuando hablamos de seguridad ssh, nos referimos a implementar capas de protección que dificulten al máximo el acceso no autorizado. La autenticación mediante claves SSH es considerablemente más segura que las contraseñas tradicionales, ya que utiliza criptografía asimétrica: una clave privada que solo tú conoces y una clave pública que se instala en el servidor.

En este artículo, te guiaré paso a paso para que configures la autenticación SSH en DirectAdmin de forma segura, incluso si nunca antes has trabajado con este panel de control. No necesitas ser un experto, solo seguir las instrucciones con calma.

¿Qué necesitas antes de empezar?

Antes de sumergirnos en la configuración, asegúrate de tener lo siguiente:

Acceso a tu panel de DirectAdmin como administrador o usuario con privilegios suficientes.
Acceso actual al servidor mediante SSH con contraseña (para poder configurar las claves).
Un ordenador local (Windows, macOS o Linux) desde el cual generarás tus claves.
Un editor de texto simple (como el Bloc de notas o TextEdit) por si necesitas copiar contenido.

Si ya tienes experiencia generando claves SSH, puedes saltar directamente a la sección de configuración en DirectAdmin. Si eres nuevo, no te preocupes, vamos paso a paso.

Paso 1: Generar tus claves SSH (pública y privada)

La autenticación SSH en DirectAdmin se basa en un par de claves: una pública que se aloja en el servidor y una privada que permanece en tu ordenador. Nunca debes compartir tu clave privada con nadie.

En Windows (usando PuTTY o terminal)

Si usas Windows, la forma más sencilla es descargar PuTTY y PuTTYgen. Sin embargo, Windows 10 y 11 ya incluyen OpenSSH en su terminal. Te explico ambas opciones:

Opción A: Con la terminal de Windows (recomendada)

Abre PowerShell o el Símbolo del sistema.
Escribe el siguiente comando y presiona Enter:

ssh-keygen -t rsa -b 4096

Te preguntará dónde guardar la clave. Presiona Enter para usar la ubicación predeterminada (C:\Users\TuUsuario\.ssh\id_rsa).
Te pedirá una frase de contraseña (passphrase). No la dejes vacía, es tu segunda capa de seguridad. Si alguien roba tu clave privada, sin la frase no podrá usarla.
Verás un mensaje de confirmación. Ya tienes tu par de claves.

Opción B: Con PuTTYgen

Descarga e instala PuTTY desde su sitio oficial.
Abre PuTTYgen y haz clic en Generate.
Mueve el ratón sobre la ventana para generar aleatoriedad.
Guarda la clave privada y copia la clave pública en un bloc de notas.

En macOS o Linux

Abre la terminal y ejecuta:

ssh-keygen -t rsa -b 4096

Sigue las mismas instrucciones que en Windows. La clave se guardará en ~/.ssh/id_rsa por defecto.

Paso 2: Acceder a DirectAdmin y localizar la sección de claves SSH

Una vez que tienes tu par de claves, el siguiente paso es configurar las claves ssh directadmin. Inicia sesión en tu panel de DirectAdmin con tu usuario y contraseña.

En el menú principal, busca la sección Gestión de Cuentas o Configuración Avanzada.
Dentro de esa sección, deberías ver una opción llamada Claves SSH o SSH Keys. Haz clic en ella.

Si no encuentras la opción exacta, no te preocupes. En algunos paneles de DirectAdmin, la ruta puede variar ligeramente según la versión. Busca también en Herramientas de Acceso o Seguridad.

[TIP] Si usas Syspanel (antes conocido como HestiaCP), el acceso a la configuración de claves SSH se realiza a través del puerto 2106. Sin embargo, este artículo se centra en DirectAdmin, que suele usar el puerto 2222 para el panel.

Paso 3: Importar tu clave pública en DirectAdmin

Ahora que estás en la sección de claves SSH, sigue estos pasos:

Haz clic en el botón Añadir Clave Pública o Importar Clave.
Se abrirá un formulario con varios campos. El más importante es Clave Pública.
Vuelve a tu ordenador y abre el archivo id_rsa.pub (o el que hayas generado). Cópialo completo, desde ssh-rsa hasta el final.
Pega el contenido en el campo correspondiente.
En el campo Nombre o Descripción, pon un identificador claro, como "Mi ordenador personal" o "Laptop trabajo".
Haz clic en Guardar o Añadir.

DirectAdmin almacenará la clave y la asociará a tu cuenta de usuario. Esto significa que cuando intentes conectarte por SSH, el servidor comprobará si tu clave privada coincide con la pública que acabas de subir.

Paso 4: Configurar SSH para usar solo autenticación por clave

Este es el paso más importante para garantizar la seguridad ssh de tu servidor. Una vez que has subido tu clave pública, debes modificar la configuración del demonio SSH para que no acepte contraseñas.

Acceso al archivo de configuración

Conéctate a tu servidor mediante SSH usando tu contraseña actual (todavía no podemos desactivarla).
Ejecuta el siguiente comando para editar el archivo de configuración:

sudo nano /etc/ssh/sshd_config

Si no tienes permisos de superusuario, usa su o sudo según tu configuración.

Modificaciones necesarias

Dentro del archivo, busca (o añade si no existen) las siguientes líneas:

PasswordAuthentication no
PubkeyAuthentication yes
ChallengeResponseAuthentication no

PasswordAuthentication no: Desactiva el acceso por contraseña.
PubkeyAuthentication yes: Activa la autenticación por clave pública.
ChallengeResponseAuthentication no: Desactiva otros métodos de autenticación interactivos.

Guarda los cambios con Ctrl + O, presiona Enter y sal con Ctrl + X.

Reiniciar el servicio SSH

Para aplicar los cambios, reinicia el servicio SSH:

sudo systemctl restart sshd

O si usas un sistema con SysVinit:

sudo service ssh restart

[WARNING] Antes de cerrar tu sesión actual, abre una nueva ventana de terminal y prueba conectarte con tu clave privada. Nunca cierres la sesión activa hasta confirmar que puedes acceder con la clave. Si algo sale mal, podrás revertir los cambios desde la sesión abierta.

Paso 5: Probar la conexión con tu nueva configuración

Ahora viene la parte emocionante: comprobar que todo funciona correctamente.

Conectarse desde Windows (PowerShell)

ssh -i C:\Users\TuUsuario\.ssh\id_rsa tuusuario@tuservidor.com

Conectarse desde macOS o Linux

ssh -i ~/.ssh/id_rsa tuusuario@tuservidor.com

Si configuraste una frase de contraseña al generar la clave, te la pedirá. Si todo va bien, entrarás directamente al servidor sin necesidad de escribir la contraseña del usuario.

[TIP] Si usas Syspanel (HestiaCP), el puerto de acceso SSH suele ser el 2106. Recuerda especificarlo con -p 2106 en tu comando SSH.

Paso 6: Medidas adicionales para reforzar la seguridad

Configurar la autenticación SSH en DirectAdmin con claves es un gran avance, pero puedes ir más allá. Aquí tienes algunas recomendaciones extra:

Cambiar el puerto SSH por defecto

El puerto 22 es el más atacado por bots. Cambiarlo a un puerto no estándar (por ejemplo, 2222 o 2200) reduce drásticamente los intentos de acceso no autorizado.

En el archivo /etc/ssh/sshd_config, busca la línea #Port 22 y cámbiala a:

Port 2222

Luego reinicia SSH. Recuerda que, a partir de ahora, tendrás que especificar el puerto en tus conexiones.

Desactivar el acceso SSH para el usuario root

Es una buena práctica desactivar el acceso directo como root. En su lugar, usa un usuario normal y luego ejecuta su - o sudo.

En el archivo de configuración SSH, asegúrate de tener:

PermitRootLogin no

Usar Fail2Ban

Fail2Ban es una herramienta que bloquea automáticamente las IPs que hacen demasiados intentos fallidos de conexión. Puedes instalarlo en la mayoría de distribuciones Linux:

sudo apt install fail2ban

Y configurarlo para que supervise los logs de SSH.

Preguntas frecuentes (FAQ) sobre autenticación SSH en DirectAdmin

¿Qué pasa si pierdo mi clave privada?

Si pierdes tu clave privada, no podrás acceder al servidor. Por eso es fundamental hacer una copia de seguridad en un lugar seguro (como un gestor de contraseñas o un USB cifrado). Si la pierdes, tendrás que contactar con tu proveedor de hosting para que desactive la autenticación por clave temporalmente y puedas acceder con contraseña.

¿Puedo tener varias claves públicas para diferentes dispositivos?

Sí, DirectAdmin te permite importar varias claves públicas. Así puedes acceder desde tu ordenador de casa, tu portátil del trabajo o tu teléfono móvil, cada uno con su propia clave.

¿Es seguro desactivar completamente la contraseña SSH?

Sí, es seguro siempre que tengas tu clave privada bien protegida. De hecho, es la práctica recomendada por expertos en ciberseguridad. Sin embargo, asegúrate de tener una contraseña de usuario fuerte para el panel de DirectAdmin.

¿Qué diferencia hay entre DirectAdmin y Syspanel?

DirectAdmin es un panel de control propietario muy popular, mientras que Syspanel (antes HestiaCP) es una alternativa de código abierto. Ambos permiten gestionar claves SSH, pero la interfaz y los puertos de acceso difieren. En Syspanel, el acceso al panel se realiza por el puerto 2106.

¿Cuánto tiempo tarda en aplicarse la configuración?

Los cambios en el archivo de configuración SSH se aplican en cuanto reinicias el servicio. La importación de claves en DirectAdmin es instantánea.

Conclusión final

Configurar la autenticación SSH en DirectAdmin con claves es una de las mejores inversiones de tiempo que puedes hacer para proteger tu servidor. No solo eliminas el riesgo de ataques por fuerza bruta, sino que también ganas comodidad al no tener que escribir contraseñas cada vez.

Recuerda que la seguridad ssh es un proceso continuo. Mantén tus claves actualizadas, usa frases de contraseña robustas y revisa periódicamente los logs de acceso de tu servidor. Con estos pasos, tu acceso seguro servidor estará garantizado.

Si tienes alguna duda o encuentras algún problema durante el proceso, no dudes en consultar la documentación oficial de DirectAdmin o contactar con tu proveedor de hosting. ¡Buena suerte con tu configuración!