Configurar firewall en cPanel y DirectAdmin | Protege tu servidor

Proteger tu servidor web es una de las tareas más importantes para garantizar la continuidad de tu negocio online. Un firewall bien configurado actúa como la primera línea de defensa contra accesos no autorizados, ataques de fuerza bruta y tráfico malicioso. En esta guía extensa, aprenderás a configurar firewall cPanel y firewall DirectAdmin, además de conocer herramientas adicionales para reforzar la seguridad servidor y bloquear ataques.

¿Qué es un firewall y por qué es crucial para tu servidor?

Imagina que tu servidor es una casa. El firewall es la puerta principal con una cerradura inteligente: solo deja entrar a quienes tienen la llave correcta. Sin él, cualquier persona podría intentar abrir la puerta, forzarla o incluso derribarla. Un firewall filtra el tráfico entrante y saliente basándose en reglas predefinidas, permitiendo solo conexiones legítimas y bloqueando intentos sospechosos.

Para un servidor web, esto significa:

Protección contra ataques DDoS: Limita el número de conexiones simultáneas desde una misma IP.
Bloqueo de puertos no utilizados: Reduce la superficie de ataque.
Prevención de fuerza bruta: Detecta y bloquea IPs que intentan adivinar contraseñas.
Control de acceso por país o región: Permite o deniega tráfico desde ubicaciones específicas.

Configurar firewall en cPanel

cPanel incluye varias herramientas integradas para gestionar el firewall. La más común es ConfigServer Security & Firewall (CSF), aunque también puedes usar APF (Advanced Policy Firewall). Aquí te explico el proceso paso a paso.

1. Acceder a la interfaz de firewall en cPanel

Inicia sesión en tu panel de control cPanel. Busca la sección Seguridad y haz clic en ConfigServer Security & Firewall (si está instalado). Si no aparece, contacta a tu proveedor de hosting para que lo instale.

2. Activar y configurar CSF

Una vez dentro, verás una interfaz con varias pestañas. Lo primero es activar el firewall:

Ve a la pestaña Firewall Configuration.
Busca la línea TESTING = "1" y cámbiala a TESTING = "0". Esto desactiva el modo de prueba.
Haz clic en Change para guardar los cambios.

[WARNING] No cambies otras configuraciones sin entenderlas. Un error puede bloquear tu acceso al servidor.

3. Configurar reglas básicas de bloqueo

En la misma pestaña, encontrarás opciones como:

TCP_IN y TCP_OUT: Puertos permitidos para tráfico entrante y saliente. Por defecto, ya están configurados puertos comunes (HTTP, HTTPS, SSH, etc.). No los modifiques a menos que sepas lo que haces.
DENY_IP_LIMIT: Número máximo de intentos de conexión desde una IP antes de ser bloqueada. Por defecto es 5, pero puedes subirlo a 10 o 15 si tienes muchos usuarios legítimos.
LF_SSH_PERMITTLE: Tiempo en segundos entre intentos de SSH. Ajusta a 60 para reducir ataques de fuerza bruta.

4. Bloquear IPs manualmente

Si detectas una IP sospechosa (por ejemplo, en los logs de acceso), puedes bloquearla:

Ve a la pestaña IP Block / Allow.
En IP to Block, escribe la dirección IP.
Haz clic en Block IP.

5. Activar el firewall en modo producción

Una vez configurado, vuelve a la pestaña principal y haz clic en Restart csf+lfd para aplicar los cambios. El firewall comenzará a funcionar de inmediato.

[TIP] Monitorea los logs de CSF en Firewall Log para detectar patrones de ataque. Si ves muchas IPs bloqueadas, revisa si alguna es legítima.

Configurar firewall en DirectAdmin

DirectAdmin también ofrece soporte para firewalls, siendo CSF la opción más popular. Sin embargo, algunos proveedores usan iptables directamente o herramientas como APF. Aquí te guío en la configuración básica con CSF en DirectAdmin.

1. Instalar CSF en DirectAdmin

Si tu servidor no tiene CSF instalado, puedes hacerlo desde SSH (necesitas acceso root). Conéctate por SSH y ejecuta:

cd /usr/src
wget https://download.configserver.com/csf.tgz
tar -xzf csf.tgz
cd csf
sh install.sh

Una vez instalado, accede a DirectAdmin, ve a Admin Level > Plugin Manager y activa CSF si no aparece automáticamente.

2. Configurar CSF desde DirectAdmin

En DirectAdmin, busca el plugin ConfigServer Security & Firewall. La interfaz es similar a la de cPanel:

Firewall Configuration: Aquí puedes ajustar puertos permitidos, límites de conexión y reglas de bloqueo.
IP Management: Bloquea o permite IPs específicas.
Firewall Log: Revisa los intentos de acceso bloqueados.

3. Reglas recomendadas para DirectAdmin

Puertos esenciales: Asegúrate de que los puertos 80 (HTTP), 443 (HTTPS), 21 (FTP), 22 (SSH) y 25 (SMTP) estén en TCP_IN. Si usas DirectAdmin, también incluye el puerto 2222.
Bloqueo de países: Si tu sitio solo atiende a un país, puedes bloquear el resto. En Country Block, selecciona los países permitidos y bloquea los demás.

4. Activar y verificar

Haz clic en Restart csf+lfd para activar el firewall. Luego, verifica que todo funcione correctamente ingresando a tu sitio web y probando el acceso SSH.

[INFO] Si usas Syspanel (HestiaCP), el firewall se configura desde su panel en el puerto 2106. Busca la sección Firewall dentro de la configuración del servidor.

Herramientas adicionales para reforzar la seguridad del servidor

Además del firewall, existen otras medidas que puedes implementar para bloquear ataques y mejorar la seguridad servidor:

1. Fail2ban

Fail2ban es un sistema de prevención de intrusiones que monitorea logs y bloquea IPs después de varios intentos fallidos. Se integra perfectamente con CSF y puede instalarse desde SSH:

apt-get install fail2ban   # En Debian/Ubuntu
yum install fail2ban       # En CentOS

Configúralo para monitorear SSH, FTP y correo electrónico.

2. ModSecurity

Es un firewall de aplicaciones web (WAF) que protege contra ataques como inyección SQL o XSS. cPanel y DirectAdmin ofrecen integración con ModSecurity. Actívalo desde:

cPanel: Ve a Security > ModSecurity y elige una política (por ejemplo, OWASP CRS).
DirectAdmin: En Admin Level > CustomBuild, instala ModSecurity y configúralo.

3. Bloqueo de IPs por geolocalización

Si tu sitio es local, bloquear tráfico de otros países reduce drásticamente los ataques. CSF permite hacerlo fácilmente:

En Country Block, selecciona los países que deseas bloquear (por ejemplo, Rusia, China, etc.).
Guarda los cambios y reinicia el firewall.

4. Actualizaciones periódicas

Mantén tu sistema operativo, panel de control y software actualizados. Las vulnerabilidades conocidas son explotadas rápidamente. Programa actualizaciones automáticas si es posible.

Preguntas frecuentes (FAQ)

¿Puedo configurar el firewall sin acceso root?

Sí, tanto cPanel como DirectAdmin ofrecen interfaces gráficas para usuarios no root. Sin embargo, algunas configuraciones avanzadas (como instalación de CSF) requieren acceso root.

¿Qué hago si bloqueo mi propia IP?

Si te bloqueas accidentalmente, accede al servidor mediante VNC o consola virtual (ofrecida por tu proveedor). Luego, desde SSH, ejecuta csf -a TU_IP para desbloquearla.

¿El firewall afecta el rendimiento del servidor?

Un firewall bien configurado tiene un impacto mínimo en el rendimiento. CSF, por ejemplo, es ligero y está optimizado para servidores web.

¿Debo usar CSF o APF?

CSF es más moderno, tiene más funciones y una interfaz más amigable. APF es más antiguo pero aún funcional. Recomiendo CSF para la mayoría de los casos.

¿Cómo sé si mi firewall está funcionando?

Revisa los logs de CSF (/etc/csf/csf.log) o intenta acceder a un puerto bloqueado (por ejemplo, el 3306 de MySQL desde una IP externa). Deberías recibir un error de conexión.

Conclusión

Configurar un firewall en tu servidor con cPanel o DirectAdmin es un paso fundamental para proteger tus datos y los de tus usuarios. Herramientas como CSF te permiten bloquear ataques de forma efectiva sin necesidad de ser un experto en redes. Recuerda complementar el firewall con otras medidas como Fail2ban, ModSecurity y actualizaciones periódicas.

Si sigues esta guía, tendrás un servidor más seguro y resistente. No olvides monitorear los logs regularmente y ajustar las reglas según las necesidades de tu sitio. ¡Tu tranquilidad y la de tus visitantes lo agradecerán!