Configurar firewall en Syspanel | Guía para principiantes

¡Hola! Si estás leyendo esto, probablemente acabas de aterrizar en Syspanel y quieres asegurarte de que tu web o servidor esté a salvo de miradas indiscretas y ataques externos. No te preocupes, no necesitas ser un gurú de la línea de comandos para lograrlo.

Configurar un firewall syspanel (o cortafuegos) suena a algo complejo, pero en realidad es como ponerle un portero muy eficiente a tu casa digital: tú decides quién entra, quién sale y por qué puerta. En esta guía para novatos, vamos a desgranar paso a paso cómo hacerlo, qué significa cada opción y, sobre todo, cómo hacerlo sin romper nada (y si lo rompes, cómo arreglarlo).

Vamos a ello. Respira hondo, que esto es más fácil de lo que parece.

¿Qué es un firewall y por qué necesitas uno en Syspanel?

Antes de tocar botones, vamos a ponernos en contexto. Un firewall es un software que filtra el tráfico de red. Piensa en tu servidor como un edificio con muchas ventanas (puertos). Algunas ventanas están abiertas para que entren los clientes (puerto 80 para web, 443 para web segura), otras están cerradas para que no entre cualquiera. Un firewall es la seguridad que decide qué ventanas están abiertas y para quién.

En el contexto de Syspanel, que es el panel de control que gestiona tu servidor (equivalente a HestiaCP, pero con su propio nombre), el firewall es tu primera línea de defensa. Sin él, tu servidor es como una casa sin puerta: cualquiera con una herramienta de escaneo podría intentar colarse por cualquier puerto aleatorio.

¿Por qué es crítico? Porque los bots de internet escanean constantemente direcciones IP en busca de puertos abiertos. Si dejas el puerto 22 (SSH) abierto a todo el mundo, recibirás cientos de intentos de acceso al día. El firewall syspanel te permite restringir ese acceso solo a tu IP de confianza, bloqueando el ruido de fondo.

Primeros pasos: Accede a tu panel y localiza el módulo

Para configurar el firewall, necesitas entrar en Syspanel. Recuerda que el acceso a tu panel de administración se realiza a través del puerto 2106. Es decir, en tu navegador escribirás algo como https://tu-dominio.com:2106 o https://tu-ip:2106. Verás que es un entorno limpio y ordenado.

Una vez dentro, busca en el menú lateral izquierdo o en el panel principal la sección que dice "Firewall" o "Seguridad". Dependiendo de la versión de Syspanel, puede estar directamente visible o dentro de un submenú llamado "Servidor" o "Configuración Avanzada". No te agobies buscando; suele estar en la parte inferior del menú.

La interfaz del firewall en Syspanel

Al hacer clic, verás una tabla con varias columnas. Normalmente verás:

Regla o Nombre: Una descripción de lo que hace (ej: "Acceso SSH", "Web HTTP").
Protocolo: TCP, UDP o ICMP.
Puerto: El número de puerto afectado (22, 80, 443, etc.).
Dirección IP: Puede ser 0.0.0.0/0 (todos) o una IP específica.
Acción: Permitir (ACCEPT) o Denegar (DROP/REJECT).
Estado: Activo o Inactivo.

No te asustes con los términos técnicos. Vamos a interpretarlos como si fuera una lista de invitados a una fiesta: el protocolo es el tipo de transporte (coche, moto), el puerto es la puerta de entrada, la IP es quién llama al timbre, y la acción es si le abres o no.

Cómo configurar tu primera regla de firewall (Paso a paso)

Vamos a lo práctico. Voy a guiarte para crear una regla básica que asegure tu servidor de forma inmediata: restringir el acceso SSH (puerto 22) solo a tu IP.

Paso 1: Identifica tu IP actual

Este es el paso más importante y el que más se olvida. Si restringes el SSH a una IP equivocada, te quedarás fuera de tu servidor. Para saber tu IP pública, simplemente escribe "¿Cuál es mi IP?" en Google o visita un sitio como WhatIsMyIP.com. Anota ese número en un papel.

Paso 2: Crear la regla de bloqueo global (o de denegación)

En la interfaz de Syspanel, busca un botón que diga "Añadir Regla", "Nueva Regla" o un icono con un signo +. Haz clic.

Ahora rellena los campos:

Nombre: "SSH Restringido" o "Acceso Admin".
Protocolo: TCP.
Puerto: 22.
IP de Origen: Aquí tienes que poner 0.0.0.0/0 para indicar "todo el mundo".
Acción: Denegar (DROP o REJECT). Te recomiendo DROP porque es más seguro (no respondes ni siquiera para decir que está cerrado, confundiendo a los escáneres).

Guarda esta regla. Acabas de decirle al firewall: "Nadie puede entrar al puerto 22".

Paso 3: Crear la regla de excepción (tu IP)

Ahora, crea otra regla idéntica a la anterior, pero con un cambio crucial:

Nombre: "SSH Mi Casa".
Protocolo: TCP.
Puerto: 22.
IP de Origen: Aquí pones tu IP pública (ej: 123.456.789.0).
Acción: Permitir (ACCEPT).

Guarda esta regla.

Paso 4: Ordena las reglas (¡Muy importante!)

Aquí viene el truco que muchos novatos pasan por alto. El firewall funciona por orden de prioridad. Si tu regla de "Denegar a todos" está antes que tu regla de "Permitir a mi IP", el tráfico se cortará antes de llegar a tu excepción. Necesitas que la regla de Permitir esté por encima de la de Denegar.

En Syspanel, normalmente puedes arrastrar las filas o usar flechas para subir/bajar. Asegúrate de que la regla de tu IP (Permitir) esté en la parte superior de la lista. Si no, te quedarás fuera.

[WARNING] ¡Cuidado! Si cometes un error y te bloqueas a ti mismo, no entres en pánico. Syspanel (como HestiaCP) suele tener una función de "apagado de emergencia" o puedes reiniciar el servidor desde el proveedor de hosting (VPS) para que el firewall se reinicie con los valores por defecto si has guardado la configuración. Pero mejor prevenir que curar: revisa dos veces la IP antes de guardar.

Configuraciones recomendadas para tu cortafuegos syspanel

Más allá del SSH, hay una serie de reglas que deberías tener activas desde el primer día. Aquí tienes una lista de la compra básica para tu seguridad syspanel:

Puerto 80 (HTTP) y 443 (HTTPS): Deben estar abiertos a todo el mundo (0.0.0.0/0) porque son los que sirven tu web. Si los bloqueas, tu web dejará de cargar.
Puerto 2106 (Panel de control): Este es el puerto de acceso a Syspanel. Te recomiendo encarecidamente restringirlo a tu IP fija o a un rango de IPs de tu empresa. Al igual que el SSH, no debería estar abierto a todo el mundo. Si lo dejas abierto, cualquiera podría intentar adivinar tu contraseña de administrador.
Puerto 25, 110, 143, 587 (Correo): Si usas el servidor de correo, necesitas estos puertos abiertos para enviar y recibir. Normalmente, el 25 (SMTP) es para recibir, el 587 y 465 para enviar, y el 110/143/993/995 para leer correos (POP3/IMAP). Abre solo los que necesites. Si no usas el correo en ese servidor, ciérralos.
Puerto 3306 (MySQL): Este puerto es para acceso remoto a la base de datos. NUNCA lo abras a todo el mundo. Debe estar cerrado o solo accesible desde la IP de tu aplicación local si es necesario. Es un agujero de seguridad gigante si se abre sin control.

Ejemplo de configuración segura inicial

Nombre	Protocolo	Puerto	IP Origen	Acción
Web Segura	TCP	443	0.0.0.0/0	Permitir
Web	TCP	80	0.0.0.0/0	Permitir
SSH Mi IP	TCP	22	TU_IP_AQUI	Permitir
Panel Mi IP	TCP	2106	TU_IP_AQUI	Permitir
Bloquear Todo lo demás	TCP/UDP	0:65535	0.0.0.0/0	Denegar

[INFO] Si no tienes una IP fija en casa (las IPs dinámicas cambian), restringir el SSH o el panel por IP puede ser un dolor de cabeza. En ese caso, una alternativa es configurar una VPN en tu servidor (aunque sea más complejo) o usar reglas que permitan rangos de IP de tu país, pero esto último es menos seguro. Para empezar, si tu IP cambia, quizás prefieras dejar el acceso al panel abierto pero con una contraseña muy robusta y autenticación de dos factores (2FA).

Errores comunes que debes evitar

Configurar un firewall es como cocinar: un pequeño error puede arruinar el plato. Aquí van los errores más típicos que veo en soporte:

Bloquear el puerto 80 o 443: Es el clásico. Alguien se emociona bloqueando puertos y de repente su web no carga. Revisa siempre que los puertos web estén en "Permitir".
Olvidar el puerto del panel (2106): Si bloqueas todo y no has añadido una excepción para el 2106, te quedas sin acceso a Syspanel. Es la vía de administración, ¡no la bloquees!
Poner la IP de origen mal: Añadir un espacio en blanco o un número mal en tu IP hará que la regla no coincida y te bloquees. Cópiala y pégala con cuidado.
No guardar los cambios: En Syspanel, después de añadir las reglas, suele haber un botón de "Guardar" o "Aplicar cambios" en la parte superior. Si no lo pulsas, los cambios no se aplican. Parece obvio, pero es el error más común.

Cómo comprobar que el firewall está funcionando

Después de aplicar las reglas, es hora de verificar. No te fíes solo de la interfaz.

Prueba 1: Desde tu navegador. Intenta acceder a tu web (http y https). Debería funcionar si has dejado esos puertos abiertos.

Prueba 2: Desde tu móvil. Desactiva el Wi-Fi de tu móvil (para que use datos móviles, que es una IP diferente a la de tu casa). Intenta conectarte por SSH a tu servidor (usando una app como Termius) o intenta acceder al panel (puerto 2106). Si lo has restringido a tu IP de casa, debería fallar. Si falla, ¡enhorabuena! El firewall syspanel está haciendo su trabajo.

Prueba 3: Escaneo externo. Puedes usar herramientas online como "Port Checker" para escanear un puerto específico. Si escaneas el puerto 22 y no tienes la regla de tu IP activa, verás que está "cerrado" o "filtrado".

Preguntas frecuentes (FAQ) sobre el firewall de Syspanel

Aquí van las dudas que más me llegan al soporte:

¿Qué diferencia hay entre DROP y REJECT?

REJECT: Envía una respuesta al que intenta conectarse diciendo "esto está cerrado". Es como un portero que te dice "no hay sitio".
DROP: Simplemente ignora la petición. El que intenta conectarse se queda esperando hasta que expira el tiempo. Es más lento para el atacante y se considera más seguro porque no das información. Te recomiendo usar DROP.

¿Puedo configurar el firewall por línea de comandos (SSH) en lugar de la interfaz?
Sí, Syspanel suele estar basado en iptables o nftables en el backend, pero si eres novato, te recomiendo encarecidamente usar la interfaz gráfica. Es más visual, evita errores de sintaxis y es más fácil de revertir. La interfaz de Syspanel está diseñada para que no toques la consola.

He bloqueado mi IP por error, ¿cómo puedo recuperar el acceso?
Esta es la pregunta del millón. Si te has bloqueado, la solución es reiniciar el servidor desde el panel de tu proveedor de VPS (no desde Syspanel, sino desde el sitio web de tu empresa de hosting). Al reiniciar, el firewall se detiene y se limpia la configuración en memoria (si no la has guardado como persistente). Si la guardaste, tendrás que pedir ayuda al soporte del proveedor o usar una consola VNC (acceso directo al servidor) para revertir los cambios.

¿Syspanel tiene protección contra ataques DDoS?
El firewall integrado ayuda a mitigar ataques básicos (como escaneos de puertos), pero no es un sistema anti-DDoS dedicado. Para ataques de gran volumen, necesitarás servicios externos como Cloudflare. El firewall es para control de acceso, no para absorber tráfico masivo.

¿Es necesario reiniciar el servidor después de cambiar el firewall?
No. En Syspanel, los cambios se aplican al instante (al hacer clic en "Guardar"). No necesitas reiniciar. De hecho, reiniciar puede ser contraproducente si no has configurado correctamente la persistencia de las reglas.

Consejos finales para tu seguridad syspanel

Configurar el cortafuegos syspanel es el primer paso, pero no el único. Asegúrate de combinar esto con otras buenas prácticas:

Actualiza Syspanel regularmente: Las actualizaciones corrigen vulnerabilidades de seguridad.
Usa contraseñas robustas: Tanto para el panel (puerto 2106) como para el usuario SSH.
Activa la autenticación de dos factores (2FA) en tu cuenta de administrador de Syspanel si está disponible.
Revisa los logs: Syspanel te ofrece registros de intentos de acceso. Échales un vistazo de vez en cuando para ver si hay algo raro.

Configurar el firewall es una tarea de 10 minutos que te ahorrará muchos dolores de cabeza. No lo dejes para "cuando tenga tiempo", porque los bots no descansan. Ahora que sabes cómo hacerlo, entra en tu panel, crea las reglas y duerme tranquilo sabiendo que tu servidor tiene un portero muy estricto.

Si tienes alguna duda, deja un comentario y te ayudaré. ¡Buena suerte con tu servidor!