Configurar firewall en Plesk: Protege tu servidor

Introducción: Protege tu servidor con el firewall de Plesk

La seguridad de tu servidor es una de las tareas más importantes que debes controlar, especialmente si gestionas sitios web con datos de clientes o tiendas online. Aunque Plesk ofrece muchas herramientas de seguridad integradas, el firewall es tu primera línea de defensa contra ataques externos, intentos de intrusión y tráfico malicioso.

En esta guía, pensada para usuarios sin experiencia técnica, te enseñaré paso a paso cómo configurar el firewall de Plesk para bloquear ataques, proteger puertos críticos y mantener tu servidor a salvo. Aprenderás a usar el módulo de firewall, crear reglas de bloqueo y entender qué hace cada opción. Al final, tendrás un servidor mucho más blindado.

¿Listo? Vamos a ello.

¿Qué es el firewall de Plesk y por qué necesitas configurarlo?

El firewall es un software que actúa como un filtro entre tu servidor e Internet. Su función principal es decidir qué tráfico puede entrar o salir de tu máquina, basándose en reglas que tú defines. Plesk incluye un firewall gráfico (basado en firewalld o iptables, según el sistema operativo) que te permite gestionar estas reglas sin necesidad de usar comandos complejos.

Configurar el firewall plesk no es un lujo, es una necesidad. Sin él, tu servidor está expuesto a:

Ataques de fuerza bruta: Intentos constantes de adivinar contraseñas de SSH, FTP o paneles de control.
Escaneo de puertos: Robots que buscan puertos abiertos para explotar vulnerabilidades.
Ataques DDoS: Saturación de tu ancho de banda con peticiones falsas.
Accesos no autorizados: Conexiones a servicios que no deberían estar expuestos al público.

Con un firewall bien configurado, puedes bloquear direcciones IP maliciosas, limitar el acceso a puertos específicos (como el 21 para FTP o el 3306 para MySQL) y permitir solo el tráfico necesario para que tus sitios web funcionen.

Primeros pasos: Accede al módulo de firewall en Plesk

Antes de empezar a crear reglas, necesitas saber dónde se encuentra el firewall dentro de Plesk. El proceso es muy sencillo:

Inicia sesión en tu panel de Plesk como administrador (o usuario con permisos de administración).
En el menú lateral izquierdo, busca la sección Herramientas y configuración.
Dentro de esa sección, localiza el grupo Seguridad y haz clic en Firewall.

Al entrar, verás una interfaz con varias pestañas: Reglas de filtrado, Protección contra intrusos, Restricciones de acceso y Tráfico de red. No te asustes; te explicaré cada una en detalle.

Configurar reglas de filtrado: La base del firewall plesk

La pestaña Reglas de filtrado es el corazón del firewall. Aquí es donde defines qué tráfico se permite o se bloquea. Plesk te ofrece una lista de reglas predefinidas para servicios comunes, pero es recomendable que las revises y ajustes.

Para añadir una nueva regla, haz clic en Añadir regla. Se abrirá un formulario con los siguientes campos:

Estado: Activa o inactiva. Te recomiendo dejar las reglas activas solo cuando estés seguro de que funcionan correctamente.
Nombre: Un nombre descriptivo, por ejemplo "Bloquear IP atacante".
Protocolo: Puedes elegir TCP, UDP, ICMP o cualquier otro. Para la mayoría de los casos, TCP es el más común.
Puerto: Especifica el puerto o rango de puertos (ej: 80 para HTTP, 443 para HTTPS, 22 para SSH).
Dirección IP: Puedes especificar una IP concreta (ej: 203.0.113.5), una subred (ej: 203.0.113.0/24) o dejarlo vacío para que aplique a todo el tráfico.
Acción: Permitir o Denegar. Esta es la parte más importante.
Dirección: Entrada (tráfico que llega al servidor) o Salida (tráfico que sale del servidor).

Ejemplo práctico: Bloquear una IP atacante

Imagina que en tus logs de acceso ves que una IP concreta está intentando acceder por SSH miles de veces por minuto. Para bloquearla:

Ve a Reglas de filtrado y haz clic en Añadir regla.
Nombre: "Bloqueo IP 203.0.113.5".
Protocolo: TCP.
Dirección IP: 203.0.113.5.
Acción: Denegar.
Dirección: Entrada.
Haz clic en Aceptar.

¡Listo! Esa IP ya no podrá conectarse a tu servidor. Si quieres ser más restrictivo y bloquear todos los puertos para esa IP, simplemente deja el campo Puerto vacío.

[TIP]
No bloquees tu propia IP por error. Si te equivocas, podrías quedarte fuera de tu servidor. Siempre verifica tu IP pública antes de aplicar reglas restrictivas. Puedes usar servicios como whatismyip.com para saberla.

Protección contra intrusos: La defensa proactiva

La pestaña Protección contra intrusos (a menudo llamada Fail2ban) es una herramienta que Plesk integra para detectar y bloquear automáticamente direcciones IP que muestren un comportamiento sospechoso. Por ejemplo, si alguien falla la contraseña de SSH 5 veces en 10 minutos, Fail2ban lo bloquea automáticamente durante un tiempo determinado.

Para configurarlo:

Ve a Protección contra intrusos.
Verás una lista de servicios (SSH, FTP, SMTP, etc.) con sus respectivas configuraciones.
Haz clic en el icono de ajustes (engranaje) junto al servicio que quieres proteger.
Configura los siguientes parámetros:
- Tiempo de prohibición: Cuánto tiempo estará bloqueada la IP (en segundos). Por defecto suele estar en 600 (10 minutos).
- Número de intentos fallidos: Cuántos fallos se permiten antes de activar el bloqueo.
- Ventana de tiempo: El período en el que se cuentan los intentos (ej: 600 segundos).

[INFO]
No configures un tiempo de prohibición demasiado corto ni un número de intentos demasiado alto. Podrías pasar por alto ataques reales. Un valor recomendado es bloquear después de 5 intentos fallidos en 10 minutos, con una prohibición de 1 hora.

Restricciones de acceso: Controla quién puede entrar

La pestaña Restricciones de acceso te permite crear listas blancas y negras de direcciones IP. Es una forma rápida de permitir el acceso solo a ciertas IPs para servicios específicos.

Lista negra: IPs que siempre serán bloqueadas, sin importar las reglas de filtrado.
Lista blanca: IPs que siempre tendrán permitido el acceso, incluso si hay una regla de denegación que las afecte.

Para añadir una IP a la lista negra:

Ve a Restricciones de acceso.
En la sección Lista negra, haz clic en Añadir.
Introduce la dirección IP o subred.
Selecciona el servicio al que aplicará (puedes elegir "Todos").
Guarda los cambios.

[WARNING]
Ten mucho cuidado con la lista blanca. Si añades una IP incorrecta, podrías bloquear accidentalmente a un usuario legítimo o, peor aún, abrir el acceso a un atacante si la IP es la suya.

Tráfico de red: Monitoriza y analiza

La pestaña Tráfico de red te muestra estadísticas en tiempo real sobre el tráfico que entra y sale de tu servidor. Aunque no es una herramienta de configuración directa, es muy útil para detectar picos anómalos de tráfico que podrían indicar un ataque DDoS o una infección de malware.

Aquí puedes ver:

Velocidad de entrada y salida: En Mbps o Kbps.
Conexiones activas: Número de conexiones actuales a tu servidor.
Puertos más utilizados: Para identificar qué servicios están siendo más demandados.

Si ves un puerto que no reconoces con un tráfico inusualmente alto, es una señal de alarma. Puedes usar el firewall para bloquear ese puerto específico.

Pasos avanzados: Crear reglas personalizadas para servicios críticos

Ahora que conoces lo básico, vamos a profundizar en cómo configurar reglas personalizadas para proteger los servicios más importantes de tu servidor.

Bloquear el acceso a MySQL (puerto 3306)

MySQL es la base de datos de muchos sitios web. Si tu aplicación no necesita acceso externo a MySQL (solo desde el propio servidor), lo más seguro es bloquear el puerto 3306 para todo el tráfico externo.

Ve a Reglas de filtrado.
Añade una regla con los siguientes datos:
- Nombre: "Bloquear MySQL externo".
- Protocolo: TCP.
- Puerto: 3306.
- Dirección IP: Deja vacío (aplica a todas).
- Acción: Denegar.
- Dirección: Entrada.
Guarda la regla.

Con esto, nadie desde fuera podrá conectarse a tu base de datos, pero tu sitio web seguirá funcionando porque se conecta de forma local.

Limitar el acceso a SSH (puerto 22)

El puerto 22 es uno de los más atacados. Para protegerlo, puedes limitar el acceso solo a tu IP de trabajo:

Añade una regla para Permitir el tráfico TCP en el puerto 22 desde tu dirección IP específica.
Añade otra regla para Denegar el tráfico TCP en el puerto 22 para todas las demás IPs.

[INFO]
Si no sabes tu IP pública, búscala en Google escribiendo "mi ip". Anótala antes de crear la regla para no quedarte fuera.

Proteger el panel de control (puerto 8443)

El puerto 8443 es el acceso a Plesk. No deberías exponerlo a todo el mundo. Limítalo a tu IP o a un rango de IPs de confianza.

Errores comunes al configurar el firewall plesk y cómo evitarlos

Muchos usuarios cometen errores que dejan el servidor vulnerable o, por el contrario, inaccesible. Aquí tienes los más frecuentes:

Bloquear tu propia IP: Siempre verifica tu IP antes de aplicar reglas de denegación.
Olvidar el puerto 8443: Si bloqueas todos los puertos sin excepción, te quedarás sin acceso a Plesk.
No activar Fail2ban: La protección contra intrusos es tu mejor aliada contra la fuerza bruta. No la desactives.
No probar las reglas: Después de aplicar una regla, intenta conectarte desde fuera para asegurarte de que funciona como esperas.

Preguntas frecuentes (FAQ) sobre el firewall de Plesk

¿Puedo usar el firewall de Plesk junto con un CDN como Cloudflare?

Sí, es totalmente compatible. De hecho, es una buena práctica. Cloudflare protege tu sitio a nivel de DNS y HTTP, mientras que el firewall de Plesk protege el servidor a nivel de red. Solo asegúrate de que las IPs de Cloudflare estén en tu lista blanca si usas reglas restrictivas.

¿Qué hago si me quedo fuera de mi servidor por una regla incorrecta?

Si tienes acceso físico al servidor (o a través de un panel de control como KVM), puedes desactivar el firewall desde la línea de comandos. Si no, ponte en contacto con tu proveedor de hosting. Es por eso que siempre recomiendo probar las reglas con calma.

¿El firewall de Plesk es suficiente para proteger mi servidor?

El firewall es una capa de seguridad, pero no la única. Debes complementarlo con otras medidas como: mantener el sistema operativo y Plesk actualizados, usar contraseñas fuertes, desactivar servicios innecesarios y hacer copias de seguridad periódicas.

¿Puedo usar el firewall para bloquear ataques DDoS?

El firewall de Plesk puede ayudar a mitigar ataques DDoS de baja intensidad bloqueando IPs específicas, pero no es una solución completa para DDoS masivos. Para eso necesitarás servicios especializados de mitigación o un CDN.

Conclusión: La seguridad es un proceso continuo

Configurar el firewall en Plesk es una de las medidas más efectivas que puedes tomar para proteger tu servidor de ataques. No es un proceso único; debes revisar tus reglas periódicamente, analizar los logs y ajustarte a las nuevas amenazas.

Recuerda: la seguridad no es un producto, es un proceso. Empieza con las reglas básicas que te he enseñado, añade protección contra intrusos y monitoriza el tráfico de red. Con el tiempo, ganarás confianza y podrás crear reglas más avanzadas.

Si en algún momento te sientes abrumado, no dudes en contactar con tu proveedor de hosting o con un especialista en seguridad. Un servidor bien protegido es la base para el éxito de cualquier proyecto online.

[TIP FINAL]
Programa una revisión mensual de tus reglas de firewall. El mundo de la ciberseguridad cambia muy rápido, y lo que era seguro hace un mes puede no serlo hoy. Mantente alerta y tu servidor te lo agradecerá.

Espero que esta guía te haya sido de utilidad. Si tienes alguna duda, déjala en los comentarios y estaré encantado de ayudarte.