Configurar cortafuegos en Syspanel | Guía para principiantes

¿Por qué necesitas un cortafuegos en Syspanel?

Si estás empezando a gestionar tu propio servidor web, una de las primeras lecciones de ciberseguridad es que no debes confiar en la configuración por defecto. El mundo digital está lleno de escáneres automáticos que buscan puertos abiertos para intentar acceder a tu web. Un cortafuegos (o firewall) actúa como un portero digital: solo deja pasar el tráfico que tú autorizas y bloquea el resto.

En Syspanel (el panel de control basado en HestiaCP), la seguridad está integrada. Sin embargo, muchos principiantes pasan por alto configurar el Syspanel cortafuegos de forma personalizada, dejando su sitio web expuesto a ataques simples como fuerza bruta o escaneo de puertos. Con una configuración básica, puedes reducir drásticamente el riesgo.

Este artículo está pensado para Syspanel principiantes. No necesitas ser un experto en redes. Solo necesitas seguir pasos claros y entender qué estás protegiendo. Al final, tendrás un firewall Syspanel funcional que protegerá tu web sin complicaciones.

¿Qué es un cortafuegos y cómo funciona en Syspanel?

Un cortafuegos es un sistema que controla el tráfico de red entrante y saliente basándose en reglas predefinidas. En Syspanel, el cortafuegos se gestiona a través de iptables (en Linux) y el panel te ofrece una interfaz gráfica para añadir reglas sin tocar comandos complejos.

Componentes clave del firewall de Syspanel

Reglas de entrada (INPUT): Controlan el tráfico que llega a tu servidor. Por ejemplo, permitir conexiones HTTP (puerto 80) y HTTPS (puerto 443) para que tu web sea accesible.
Reglas de salida (OUTPUT): Controlan el tráfico que sale de tu servidor. Por defecto, suele estar todo permitido, pero puedes restringirlo si quieres mayor control.
Reglas de reenvío (FORWARD): Se usan si tu servidor actúa como router. No suelen ser necesarias para un hosting básico.

En Syspanel, el acceso al panel se realiza por el puerto 2106. Es importante que este puerto esté protegido y solo accesible desde tus IPs de confianza.

[WARNING] No abras el puerto 2106 al mundo entero. Si lo haces, cualquiera podría intentar acceder a tu panel de administración. Es una de las puertas más atacadas.

Requisitos previos antes de empezar

Antes de configurar Syspanel seguridad, asegúrate de tener:

Acceso a Syspanel: Ingresa a https://tudominio.com:2106 (o la IP de tu servidor). Usa tu usuario administrador y contraseña.
Conocimiento de tu IP pública: Para no bloquearte a ti mismo. Puedes saberla visitando sitios como whatismyip.com.
Lista de servicios que usas: Por ejemplo, si solo tienes una web, necesitas los puertos 80 (HTTP) y 443 (HTTPS). Si usas FTP, necesitas el 21, etc.

[TIP] Si no sabes qué puertos tienes abiertos, en Syspanel ve a Seguridad > Cortafuegos y verás las reglas actuales. Las reglas por defecto suelen ser muy permisivas.

Paso a paso: Cómo configurar un cortafuegos básico en Syspanel

Vamos a crear una configuración segura paso a paso. Sigue el orden para evitar bloquearte.

Paso 1: Accede a la sección de cortafuegos

Inicia sesión en Syspanel con tu usuario administrador.
En el menú lateral, busca "Seguridad" o "Firewall" (depende de la versión, pero suele estar en la sección de herramientas del servidor).
Haz clic en "Cortafuegos" o "Firewall". Verás una lista de reglas existentes.

Paso 2: Identifica las reglas por defecto

Syspanel suele incluir reglas básicas como:

Permitir SSH (puerto 22) desde cualquier IP.
Permitir HTTP (80) y HTTPS (443) desde cualquier IP.
Permitir el acceso al panel (puerto 2106) desde cualquier IP.

Esto último es un riesgo. Vamos a cambiarlo.

Paso 3: Añade una regla para tu IP de confianza

Antes de modificar nada, asegura tu acceso:

Haz clic en "Añadir regla" o el botón similar.
Configura:
- Puerto: 2106 (el de Syspanel).
- Protocolo: TCP.
- IP de origen: Tu IP pública (ejemplo: 123.123.123.123).
- Acción: Permitir.
Guarda la regla.

[INFO] Si tu IP es dinámica (cambia cada cierto tiempo), puedes permitir un rango pequeño o usar una IP fija si trabajas desde casa. Si te conectas desde diferentes lugares, considera usar una VPN.

Paso 4: Bloquea el acceso público al puerto 2106

Ahora que tienes una regla que permite tu IP, puedes eliminar la regla que permite el puerto 2106 desde cualquier IP (0.0.0.0/0).

Busca la regla que tenga el puerto 2106 y origen 0.0.0.0/0.
Haz clic en "Eliminar" o "Desactivar".
Confirma la acción.

[WARNING] Si olvidaste añadir tu IP en el paso anterior, te quedarás fuera del panel. Para recuperar el acceso, deberías conectarte por SSH al servidor y desactivar el firewall manualmente. Por eso es crítico hacer primero la regla de permiso.

Paso 5: Configura reglas para servicios web

Ahora asegura que tu web sea accesible para todos:

Puerto 80 (HTTP): Permite desde 0.0.0.0/0 (cualquier IP).
Puerto 443 (HTTPS): Permite desde 0.0.0.0/0 (cualquier IP).

Si usas otros servicios como FTP (puerto 21) o bases de datos (puerto 3306), nunca los dejes abiertos a todo el mundo. Solo permite IPs específicas o usa una VPN.

Paso 6: Bloquea puertos innecesarios

Por defecto, Syspanel puede tener abiertos puertos como:

8080 (alternativa HTTP)
8443 (alternativa HTTPS)
3306 (MySQL/MariaDB)

Si no los usas, elimínalos o bloquéalos. Para ello, añade una regla que deniegue todo el tráfico a esos puertos desde cualquier IP.

Ejemplo:

Puerto: 3306
Protocolo: TCP
IP de origen: 0.0.0.0/0
Acción: Denegar

Paso 7: Ordena las reglas (prioridad)

En los cortafuegos, el orden importa. Las reglas se evalúan de arriba abajo. Coloca:

Reglas de permiso para IPs de confianza (como tu IP para el puerto 2106).
Reglas de denegado para puertos sensibles.
Reglas de permiso para servicios públicos (80, 443).

[TIP] Si tienes una regla que deniega todo al final, asegúrate de que las reglas de permiso estén antes. Syspanel suele tener una regla implícita que deniega todo al final, pero es mejor verificarlo.

Paso 8: Guarda y aplica los cambios

Una vez que hayas añadido y ordenado tus reglas, busca el botón "Guardar" o "Aplicar". El firewall se actualizará en segundos.

[INFO] No temas equivocarte. Si pierdes el acceso, puedes reiniciar el servidor desde el panel de tu proveedor de hosting o usar una consola de rescate. Siempre ten un plan B.

Reglas recomendadas para una protección básica

Aquí tienes un ejemplo de configuración mínima que puedes copiar:

Puerto	Protocolo	Origen	Acción	Descripción
22	TCP	Tu IP	Permitir	SSH seguro
2106	TCP	Tu IP	Permitir	Acceso a Syspanel
80	TCP	0.0.0.0/0	Permitir	HTTP público
443	TCP	0.0.0.0/0	Permitir	HTTPS público
3306	TCP	0.0.0.0/0	Denegar	Bloquear MySQL
21	TCP	0.0.0.0/0	Denegar	Bloquear FTP (si no usas)
Todos	Todos	0.0.0.0/0	Denegar	Regla final (por defecto)

[WARNING] La regla final de denegar todo puede bloquear servicios como DNS (puerto 53) si tu servidor los usa. Si no estás seguro, no la añadas. Syspanel ya tiene una regla implícita de denegado.

Errores comunes al configurar el firewall en Syspanel

Error 1: Bloquearse a uno mismo

Es el error más frecuente. Siempre verifica tu IP antes de eliminar reglas de acceso. Usa un servicio como ifconfig.me o whatismyip.com.

Error 2: Abrir demasiados puertos

Cada puerto abierto es una posible vulnerabilidad. Solo abre los estrictamente necesarios. Si no estás seguro de si un puerto es necesario, mejor ciérralo y pruébalo.

Error 3: No actualizar las reglas tras cambiar de IP

Si tu IP cambia (por ejemplo, al trabajar desde casa con IP dinámica), perderás el acceso. Soluciones:

Usa una IP fija (contrata un plan de internet que la ofrezca).
Configura una VPN que te dé una IP fija.
Usa un servicio DDNS (DNS dinámico) y permite el acceso por nombre de dominio.

Error 4: Olvidar el puerto 2106

Muchos usuarios protegen el SSH pero dejan abierto el puerto 2106. Recuerda: el panel de Syspanel es igual de crítico que el acceso SSH.

Preguntas frecuentes (FAQ)

¿Puedo configurar el firewall desde la línea de comandos?

Sí, pero para Syspanel principiantes recomendamos usar la interfaz gráfica. Si te sientes cómodo con SSH, puedes usar comandos como iptables o ufw, pero la interfaz de Syspanel es más visual y menos propensa a errores.

¿Qué hago si me bloqueo?

Si pierdes el acceso al panel:

Conéctate por SSH a tu servidor (si tienes otro acceso).
Ejecuta sudo ufw disable (si usas UFW) o sudo iptables -F (para limpiar reglas).
Vuelve a iniciar sesión en Syspanel y corrige las reglas.

Si no tienes SSH, contacta a tu proveedor de hosting para un reinicio de red.

¿Es necesario bloquear el puerto 22 (SSH)?

Sí, si es posible. Permite solo tu IP. Si necesitas acceso desde varios lugares, considera usar una VPN o configurar autenticación por llaves SSH en lugar de contraseña.

¿El firewall afecta el rendimiento de mi web?

No, el impacto es mínimo. Las reglas se evalúan en milisegundos. De hecho, un firewall bien configurado mejora la seguridad sin sacrificar velocidad.

¿Puedo usar un firewall externo (como Cloudflare) junto con el de Syspanel?

Sí. Es una buena práctica. Cloudflare protege contra ataques DDoS y filtra tráfico malicioso antes de que llegue a tu servidor. Luego, el firewall de Syspanel actúa como segunda capa.

Conclusión: Tu web más segura con poco esfuerzo

Configurar un Syspanel cortafuegos básico no es complicado, pero marca una gran diferencia en la seguridad de tu web. Siguiendo estos pasos, has aprendido a:

Identificar puertos críticos.
Crear reglas de permiso y denegado.
Proteger el acceso al panel (puerto 2106).
Evitar errores comunes.

Recuerda que la seguridad es un proceso continuo. Revisa tus reglas periódicamente y mantén tu Syspanel actualizado. Con esta base, ya estás un paso adelante de muchos ataques automatizados.

Ahora, ve a tu panel y aplica lo aprendido. ¡Tu web te lo agradecerá!

[TIP] Si te sientes más avanzado, explora opciones como listas negras de IPs, limitación de conexiones por segundo (rate limiting) o integración con herramientas como Fail2ban. Pero eso ya es tema para otro artículo.