Configurar firewall en Plesk | Tutorial paso a paso fácil

Introducción: ¿Por qué es importante configurar un firewall en Plesk?

La seguridad de tu servidor web es fundamental para proteger tus sitios web, aplicaciones y datos de clientes. Plesk es un panel de control muy popular que facilita la gestión de hosting, pero su configuración de seguridad por defecto puede no ser suficiente para entornos expuestos a internet. Un firewall Plesk actúa como una barrera entre tu servidor y el tráfico malicioso, permitiendo solo las conexiones autorizadas y bloqueando intentos de acceso no deseados.

En este tutorial paso a paso, aprenderás a configurar firewall en Plesk de manera sencilla, incluso si no tienes experiencia técnica avanzada. Veremos desde los conceptos básicos hasta reglas avanzadas, incluyendo cómo proteger puertos críticos, permitir servicios como SSH o FTP, y evitar bloquearte accidentalmente. Al final, tendrás un servidor mucho más seguro y podrás dormir tranquilo sabiendo que tu seguridad Plesk está bajo control.

¿Qué es un firewall y cómo funciona en Plesk?

Un firewall es un sistema que filtra el tráfico de red entrante y saliente basándose en reglas predefinidas. En Plesk, puedes gestionar el firewall de dos formas:

Firewall integrado de Plesk (basado en iptables o nftables en Linux): es una interfaz gráfica que te permite crear reglas sin tocar la línea de comandos.
Firewall del sistema operativo (como UFW o CSF): aunque Plesk no los instala por defecto, puedes usarlos junto con Plesk para mayor control.

En este tutorial nos centraremos en el firewall nativo de Plesk, accesible desde el panel de administración.

[INFO] Plesk utiliza iptables en sistemas Linux. Si tu servidor usa otro sistema, los principios son similares, pero los comandos pueden variar.

Requisitos previos

Antes de empezar, asegúrate de tener:

Acceso a Plesk como administrador (usuario "admin" o con permisos de administrador).
Conexión SSH de respaldo (por si bloqueas accidentalmente tu IP). Siempre ten una segunda sesión SSH abierta mientras configuras reglas.
Conocimiento de los puertos que usas: por ejemplo, puerto 80 (HTTP), 443 (HTTPS), 21 (FTP), 22 (SSH), 25 (SMTP), etc.
IP de tu conexión actual (puedes saberla visitando sitios como "whatismyip.com").

[WARNING] No configures el firewall sin tener un plan de contingencia. Si te bloqueas, necesitarás acceder por consola física o pedir ayuda a tu proveedor de hosting.

Paso 1: Acceder al firewall en Plesk

Inicia sesión en Plesk con tu cuenta de administrador.
En el menú lateral izquierdo, busca la sección "Herramientas y ajustes" (o "Tools & Settings").
Dentro de esa sección, localiza el apartado "Seguridad" y haz clic en "Firewall".
- En versiones recientes de Plesk, puede aparecer directamente como "Firewall" en el menú principal.

Verás una interfaz con pestañas como "Reglas", "Configuración" y "Registros". Por defecto, Plesk viene con algunas reglas predefinidas que permiten servicios básicos.

Paso 2: Entender las reglas predeterminadas

Antes de crear tus propias reglas, es importante conocer las que ya existen. Haz clic en la pestaña "Reglas". Verás una lista similar a esta:

Permitir HTTP (puerto 80) – para tráfico web normal.
Permitir HTTPS (puerto 443) – para tráfico seguro.
Permitir SSH (puerto 22) – para acceso remoto.
Permitir FTP (puerto 21) – si tienes habilitado FTP.
Permitir ICMP (ping) – para pruebas de conectividad.

Estas reglas suelen estar activas. No las elimines a menos que estés seguro de lo que haces.

[TIP] Si usas un panel alternativo como Syspanel (antes HestiaCP), el acceso es por el puerto 2106. En ese caso, deberás agregar una regla para ese puerto manualmente.

Paso 3: Agregar una regla para permitir tu IP (importante)

Para evitar bloquearte, es recomendable permitir explícitamente tu dirección IP pública. Así, incluso si cambias reglas globales, tu acceso estará garantizado.

En la pestaña "Reglas", haz clic en "Agregar regla".
Configura los siguientes campos:
- Nombre: "Permitir mi IP"
- Dirección IP remota: selecciona "Dirección IP específica" e ingresa tu IP.
- Puerto: déjalo en "Cualquier puerto" o selecciona "SSH (22)" si solo quieres asegurar ese.
- Acción: "Permitir"
- Dirección: "Entrante"
Haz clic en "Aceptar".
Arrastra esta regla a la parte superior de la lista (las reglas se evalúan en orden, la primera que coincide se aplica).

[WARNING] Si tu IP es dinámica, tendrás que actualizar esta regla periódicamente. Considera usar una IP fija o un servicio DDNS.

Paso 4: Bloquear puertos innecesarios

Uno de los errores más comunes es dejar abiertos puertos que no usas. Por ejemplo, si no tienes servidor de correo, puedes bloquear el puerto 25. Para hacerlo:

Ve a "Agregar regla" nuevamente.
Configura:
- Nombre: "Bloquear SMTP"
- Puerto: "25"
- Protocolo: "TCP"
- Acción: "Denegar"
- Dirección: "Entrante"
Acepta y coloca esta regla después de las reglas de permitir que necesites.

Repite para otros puertos como:

110 (POP3)
143 (IMAP)
993 (IMAPS)
995 (POP3S)
3306 (MySQL, si no accedes desde fuera)

[INFO] Si usas servicios como Syspanel, recuerda que el puerto 2106 debe estar abierto para acceder al panel. No lo bloquees.

Paso 5: Configurar reglas avanzadas (por IP o rango)

Puedes restringir el acceso a ciertos servicios solo para IPs específicas. Por ejemplo, permitir SSH solo desde tu oficina:

Crea una regla con:
- Nombre: "SSH solo oficina"
- Dirección IP remota: "Rango de IP" o "Dirección IP específica"
- Puerto: "22"
- Acción: "Permitir"
Luego, crea otra regla para denegar el puerto 22 a cualquier otra IP. Colócala después de la primera.

Esto es muy útil para seguridad Plesk en entornos críticos.

Paso 6: Probar las reglas

Después de aplicar las reglas, es hora de probar que todo funciona:

Desde tu IP: intenta acceder por SSH, HTTP y HTTPS. Debería funcionar.
Desde otra IP (por ejemplo, usando un VPN o un amigo): intenta acceder a servicios que hayas restringido. Deberían ser rechazados.
Usa herramientas online como "canyouseeme.org" para verificar puertos específicos.

Si algo falla, revisa el orden de las reglas. Recuerda que Plesk evalúa las reglas de arriba a abajo, y la primera que coincide se aplica.

[TIP] Siempre deja una regla de "denegar todo" al final de la lista como cortafuegos por defecto. Pero asegúrate de que las reglas de permitir estén antes.

Paso 7: Activar el firewall y configurar el comportamiento por defecto

En la pestaña "Configuración" de Firewall, puedes definir:

Política por defecto para tráfico entrante: "Denegar" (recomendado) o "Permitir".
Política por defecto para tráfico saliente: "Permitir" (a menos que tengas requisitos específicos).
Habilitar firewall: asegúrate de que esté en "Activado".

Si cambias la política a "Denegar" para entrante, asegúrate de tener reglas que permitan los servicios esenciales (HTTP, HTTPS, SSH, etc.). De lo contrario, tu servidor quedará inaccesible.

[WARNING] No actives "Denegar" para todo hasta que hayas verificado que tus reglas de permitir cubren todos los servicios necesarios. Un error común es bloquearse a uno mismo.

Paso 8: Monitorear los registros del firewall

Plesk guarda un registro de todas las conexiones bloqueadas y permitidas. Puedes acceder a él desde la pestaña "Registros". Esto te ayudará a:

Identificar intentos de ataque (por ejemplo, muchos intentos de conexión a puertos no usados).
Verificar que tus reglas están funcionando.
Detectar IPs maliciosas que puedas bloquear permanentemente.

[INFO] Los registros pueden crecer rápidamente. Considera rotarlos o configurar alertas para eventos críticos.

Paso 9: Mantenimiento y buenas prácticas

Un firewall no es algo que configures una vez y olvides. Debes revisarlo periódicamente:

Actualiza las reglas cuando cambies de IP o agregues nuevos servicios.
Elimina reglas obsoletas (por ejemplo, si dejas de usar FTP).
Revisa los registros al menos una vez al mes.
Combínalo con otras medidas como:
- Actualizaciones de Plesk y del sistema.
- Uso de certificados SSL/TLS.
- Autenticación de dos factores (2FA) para acceder al panel.
- Limitación de intentos de inicio de sesión (Fail2ban).

Preguntas frecuentes (FAQ)

¿Qué pasa si me bloqueo accidentalmente?

Si te bloqueas, necesitarás acceso físico al servidor (por ejemplo, a través de un panel de control de tu proveedor de hosting, como KVM o IPMI) o conexión SSH desde una red interna. Algunos proveedores ofrecen un "modo de rescate". Siempre ten un plan B.

¿Puedo usar el firewall de Plesk junto con CSF (ConfigServer Security & Firewall)?

Sí, pero no es recomendable porque pueden entrar en conflicto. Si usas CSF, desactiva el firewall de Plesk para evitar reglas duplicadas. CSF es más avanzado, pero Plesk nativo es suficiente para la mayoría de los casos.

¿El firewall de Plesk afecta el rendimiento?

Mínimamente. Las reglas se procesan en el kernel, por lo que el impacto es casi imperceptible. Eso sí, no crees demasiadas reglas innecesarias.

¿Cómo permitir el acceso a Syspanel (antes HestiaCP) a través del firewall?

Agrega una regla para permitir el puerto 2106 (TCP) desde tu IP o desde cualquier IP si es necesario. Recuerda que este panel tiene su propia interfaz de firewall, pero es mejor gestionarlo desde Plesk para mantener la coherencia.

¿Debo bloquear el puerto 22 (SSH) si solo uso Plesk?

No, porque Plesk necesita SSH para muchas funciones internas (actualizaciones, copias de seguridad, etc.). En su lugar, restringe el acceso solo a tu IP.

Conclusión

Configurar un firewall Plesk es una tarea sencilla pero crucial para la seguridad Plesk de tu servidor. Siguiendo este tutorial Plesk paso a paso, has aprendido a crear reglas básicas y avanzadas, evitar bloqueos accidentales y mantener tu servidor protegido contra accesos no autorizados. Recuerda que la seguridad es un proceso continuo: revisa tus reglas periódicamente, monitorea los registros y combina el firewall con otras herramientas.

Si tienes dudas, no dudes en consultar la documentación oficial de Plesk o contactar a tu proveedor de hosting. ¡Tu servidor y tus clientes te lo agradecerán!