Configurar firewall en Plesk: Bloquear IPs maliciosas fácilmente

¿Tu servidor Plesk está recibiendo intentos de acceso extraños o ataques de fuerza bruta? No te preocupes, es algo más común de lo que piensas, y la buena noticia es que tienes una herramienta muy poderosa a tu disposición: el firewall Plesk. En esta guía extensa y paso a paso, te voy a enseñar cómo configurar un firewall básico para bloquear IP Plesk maliciosas, proteger tu panel y, en definitiva, proteger servidor Plesk de miradas indiscretas y bots dañinos. No necesitas ser un experto en redes; solo sigue las instrucciones y verás cómo tu tranquilidad aumenta.

Vamos a empezar desde cero, explicando qué es exactamente el firewall que incluye Plesk, cómo acceder a él, y cómo crear reglas efectivas para blindar tu sitio web. Al final, tendrás un servidor mucho más seguro y sabrás cómo reaccionar ante cualquier intento de intrusión. Además, al final del artículo, responderé a las preguntas más frecuentes que nos suelen hacer los clientes sobre este tema.

¿Por qué necesitas un Firewall en Plesk?

Imagina que tu servidor es una casa y el firewall es la puerta principal con un portero muy estricto. Sin el portero (firewall), cualquiera podría intentar entrar, forzar la cerradura o simplemente merodear por el jardín (el puerto de red). Con un firewall Plesk activado, tú decides quién puede llamar al timbre y quién no. Es tu primera línea de defensa contra:

Ataques de fuerza bruta: Bots que prueban miles de contraseñas por minuto para intentar entrar a tu panel de administración (Plesk, WordPress, etc.).
Escaneo de puertos: Intrusos que buscan puertos abiertos y vulnerables para explotar.
Tráfico malicioso: Direcciones IP conocidas por distribuir malware o realizar ataques DDoS.
Accesos no autorizados: Evitas que personas concretas (o bots) se conecten a servicios que no deberían.

La buena noticia es que Plesk integra un firewall basado en las potentes herramientas de Linux (iptables o firewalld), pero con una interfaz gráfica amigable que lo hace muy fácil de usar, incluso si es tu primera vez.

Accediendo al Firewall de Plesk

Lo primero es lo primero. Para empezar a configurar, necesitas entrar a tu panel de control. Abre tu navegador y escribe la URL de tu servidor (por ejemplo, https://tu-dominio.com:8443 o la IP pública de tu servidor con el puerto 8443). Una vez dentro, sigue esta ruta:

En el menú lateral izquierdo, busca la sección "Herramientas y Configuración" (o "Tools & Settings").
Dentro de esa sección, busca el grupo "Seguridad".
Haz clic en "Firewall" (o "Firewall" a secas).

Se abrirá una nueva ventana que te mostrará el estado actual del firewall (Activo/Inactivo) y el tráfico de red. Verás que hay dos pestañas principales: "Reglas de firewall" y "Tráfico de red". Nos centraremos en la primera.

[INFO] Si el firewall está desactivado, verás un aviso en rojo. Es muy recomendable activarlo lo antes posible. Haz clic en el botón "Activar" o "Habilitar" para encenderlo. No te preocupes, al activarlo se aplican reglas por defecto que permiten el tráfico normal (HTTP, HTTPS, SSH, etc.) y bloquean todo lo demás por defecto.

Creando tu Primera Regla para Bloquear una IP Maliciosa

Esta es la parte más importante. Para bloquear IP Plesk maliciosas, la lógica es simple: creamos una regla que rechace todo el tráfico proveniente de esa dirección IP o rango de IPs. El firewall de Plesk funciona como una lista de prioridades; las reglas se evalúan de arriba a abajo, y la primera que coincida con el tráfico es la que se aplica.

Aquí te explico cómo hacerlo paso a paso:

En la pestaña "Reglas de firewall", haz clic en el botón "Agregar regla" (o "Add Rule").
Se abrirá un formulario. En el campo "Dirección IP" o "Red", introduce la IP maliciosa que quieres bloquear. Por ejemplo, 203.0.113.55.
En el campo "Puerto", puedes dejarlo vacío o poner any, ya que queremos bloquear todo el tráfico de esa IP, sin importar el puerto.
En el campo "Protocolo", selecciona all (todos).
En el campo "Acción" o "Regla", selecciona "Denegar" (o "Deny"). Es crucial elegir "Deny" y no "Drop". La diferencia es que "Deny" envía una respuesta de "conexión rechazada" al atacante, mientras que "Drop" simplemente ignora los paquetes, haciendo que el atacante espere más tiempo. Para un bloqueo básico, "Deny" está bien.
Opcional: En el campo "Descripción", escribe algo como "IP maliciosa de ataque de fuerza bruta" para que recuerdes por qué pusiste esa regla.
Haz clic en "Aceptar" o "OK".

¡Ya has creado tu primera regla! Verás que aparece en la lista. Para que los cambios surtan efecto, es posible que necesites hacer clic en el botón "Aplicar cambios" o "Guardar" en la parte superior de la página. Plesk a veces aplica los cambios automáticamente, pero es mejor verificar.

[TIP] ¿No sabes qué IP bloquear? Revisa la pestaña "Tráfico de red". Ahí podrás ver los últimos intentos de conexión fallidos y las IPs que han intentado acceder a puertos no estándar. Es un buen punto de partida para identificar a los malos actores.

Reglas Avanzadas: Bloquear Rangos de IPs y Puertos Específicos

A veces, un solo atacante no viene de una sola IP, sino de un rango completo (por ejemplo, un proveedor de servicios en la nube desde donde se lanzan ataques). Para ello, puedes bloquear un rango de IPs usando la notación CIDR.

Bloqueando un Rango de IPs

En lugar de poner una IP individual, puedes poner algo como 203.0.113.0/24. Esto bloqueará todas las IPs desde 203.0.113.0 hasta 203.0.113.255. Es muy útil para bloquear subredes enteras.

Bloqueando por Puertos

Otra técnica es bloquear el acceso a un puerto específico desde una IP o para todos. Por ejemplo, si ves en los logs que una IP está intentando conectarse al puerto 21 (FTP) sin éxito y de forma insistente, puedes bloquear esa IP solo para ese puerto.

Al crear una regla, en el campo "Puerto", pon 21.
En "Acción", selecciona "Denegar".
En "Dirección IP", pon la IP del atacante.

De esta manera, no bloqueas todo el acceso a tu servidor desde esa IP (por si acaso es un cliente legítimo con una configuración extraña), solo el acceso al puerto de FTP.

Protegiendo el Panel de Plesk y el SSH

Además de bloquear IPs, es fundamental proteger los puertos de administración. El firewall panel de Plesk te permite hacer esto fácilmente.

Regla para el Panel de Plesk (Puerto 8443)

Por defecto, el panel de Plesk está en el puerto 8443. Para una seguridad máxima, puedes restringir el acceso a este puerto solo a tu IP de casa u oficina.

Agrega una nueva regla.
En "Dirección IP", pon la IP pública desde la que te conectas (puedes buscarla en Google escribiendo "cuál es mi IP").
En "Puerto", pon 8443.
En "Acción", selecciona "Permitir" (Allow).
Asegúrate de que esta regla esté por encima de cualquier regla que deniegue el acceso al puerto 8443. El firewall de Plesk evalúa las reglas de arriba a abajo, por lo que la primera coincidencia gana.

Regla para SSH (Puerto 22)

El acceso SSH es vital para la administración del servidor, pero también es un objetivo principal de ataques. Te recomiendo cambiar el puerto SSH por defecto (aunque eso es más avanzado) y, al menos, restringirlo con una regla similar a la del panel.

Agrega una regla para Permitir el puerto 22 (o el puerto que uses) solo desde tu IP.
Luego, añade otra regla para Denegar el puerto 22 para todas las demás IPs (con dirección IP any o 0.0.0.0/0).

[WARNING] ¡MUCHO CUIDADO! Si configuras una regla para "Denegar" el puerto 22 o 8443 para todo el mundo y no has puesto tu IP correctamente, te quedarás fuera de tu servidor. Asegúrate de tener acceso por consola (por ejemplo, el panel de tu proveedor de hosting) antes de aplicar cambios drásticos en el firewall.

Buenas Prácticas y Consejos de Seguridad

Configurar el firewall es un gran paso, pero no es la única medida que debes tomar para proteger servidor Plesk. Aquí tienes algunos consejos adicionales:

Activa el Fail2Ban: Plesk incluye Fail2Ban, una herramienta que detecta intentos de acceso fallidos y banea automáticamente las IPs responsables. Es un complemento perfecto para tu firewall. Puedes encontrarlo en la sección de "Herramientas y Configuración" > "Fail2Ban".
Mantén todo actualizado: Asegúrate de que Plesk, tus extensiones, componentes del sistema y aplicaciones (como WordPress) estén siempre actualizados. Las actualizaciones corrigen vulnerabilidades de seguridad.
Usa contraseñas fuertes: Parece obvio, pero es la primera barrera. Utiliza contraseñas largas, con combinaciones de letras, números y símbolos, tanto para el panel de Plesk como para los usuarios de FTP y bases de datos.
Revisa los logs regularmente: La pestaña "Tráfico de red" y los logs del sistema te darán pistas sobre comportamientos anómalos. Acostúmbrate a echarles un vistazo de vez en cuando.
Cambia los puertos por defecto: Si te sientes cómodo, cambiar el puerto SSH y el de Plesk (8443) a otros no estándar puede reducir significativamente el ruido de los bots que escanean la red.
No bloquees tu propia IP: Es un error común. Siempre verifica que tu IP actual esté permitida en las reglas que afectan a los puertos de administración.

Preguntas Frecuentes (FAQ)

Para terminar, aquí tienes las respuestas a las dudas más comunes que nos llegan al soporte:

¿Qué hago si me bloqueo accidentalmente?
Si te bloqueas a ti mismo, no entres en pánico. La mayoría de los proveedores de hosting ofrecen un acceso por consola (KVM o VNC) a través de su panel de control. Desde ahí, puedes desactivar el firewall o eliminar la regla problemática. Si no tienes acceso, contacta con el soporte de tu proveedor.

¿Puedo bloquear un país entero?
El firewall básico de Plesk no tiene una opción directa para bloquear países. Necesitas usar listas de IPs por país (que se actualizan constantemente) o módulos de terceros. Es una tarea más avanzada, pero se puede hacer.

¿Cuál es la diferencia entre "Denegar" y "Descartar"?
Como mencioné antes, "Denegar" (Deny) envía una respuesta al atacante indicando que no se puede conectar, mientras que "Descartar" (Drop) simplemente ignora el tráfico. "Descartar" es más lento para el atacante y consume menos recursos, pero puede dar la impresión de que el servidor está caído. Para un bloqueo simple, "Denegar" es suficiente.

¿Las reglas se aplican al instante?
Generalmente sí. Al hacer clic en "Aplicar cambios", el firewall se actualiza al momento. Si no es así, espera unos segundos o reinicia el servicio de firewall desde la misma interfaz.

¿Y si tengo Syspanel (antes HestiaCP) en lugar de Plesk?
Si estás usando Syspanel, la interfaz es diferente, pero el concepto es el mismo. En Syspanel, el acceso a la configuración de red y firewall se hace a través de su panel, que normalmente está en el puerto 2106. La lógica de las reglas (permitir/denegar por IP y puerto) es idéntica, aunque los nombres de las secciones pueden variar. Te recomiendo buscar "Firewall" o "Seguridad" en el menú de Syspanel.

Configurar un firewall Plesk para bloquear IP Plesk maliciosas no tiene por qué ser complicado. Con las reglas que has aprendido hoy, ya puedes tomar el control de quién accede a tu servidor y aumentar exponencialmente tu seguridad Plesk. Recuerda que la seguridad es un proceso continuo, no un destino. Revisa tus logs, mantén tus sistemas actualizados y no dudes en usar las herramientas que Plesk pone a tu disposición.

Espero que esta guía te haya sido de gran ayuda. Si tienes cualquier otra duda, nuestro equipo de soporte está aquí para ayudarte. ¡A proteger tu servidor se ha dicho!