Cómo configurar un firewall en DirectAdmin para principiantes

Introducción: La Importancia de un Firewall en tu Servidor

Si tienes un servidor web, ya sea para alojar tu negocio, tu blog o una tienda online, la seguridad es una de tus principales preocupaciones. Y es que, en el mundo digital, los ataques y los intentos de acceso no autorizado son constantes. Aquí es donde entra en juego el firewall DirectAdmin, una herramienta esencial para proteger tu servidor y los sitios que albergas.

Un firewall actúa como un guardia de seguridad que filtra todo el tráfico que entra y sale de tu servidor. Decide qué conexiones son válidas y cuáles deben ser bloqueadas. Configurarlo correctamente es uno de los pasos más importantes para garantizar la seguridad servidor. En esta guía, aprenderás cómo crear y configurar un firewall en DirectAdmin, paso a paso, incluso si no eres un experto en sistemas.

¿Qué es un Firewall y por qué lo Necesitas en DirectAdmin?

### ¿Qué hace exactamente un firewall?

Imagina que tu servidor es una casa. El firewall es la puerta principal con un portero electrónico. Este portero revisa cada visita (cada paquete de datos que llega) y decide si puede pasar o no, basándose en una lista de reglas que tú mismo puedes definir. Por ejemplo, puedes decirle que no deje pasar a nadie que venga de una dirección IP sospechosa o que intente acceder a un puerto que no debería.

### Beneficios de usar un firewall en DirectAdmin

Bloqueo de IPs maliciosas: Puedes impedir el acceso a direcciones IP que intentan ataques de fuerza bruta o que tienen un historial de actividades sospechosas.
Control de puertos: Puedes cerrar puertos que no necesitas, reduciendo la superficie de ataque. Por ejemplo, si no usas FTP, puedes cerrar el puerto 21.
Protección contra DDoS: Aunque no es una solución completa, un firewall bien configurado puede mitigar ataques de denegación de servicio distribuido.
Tranquilidad: Saber que tienes una capa extra de protección te permite dormir mejor por las noches.

DirectAdmin, como panel de control, facilita enormemente la gestión de tu servidor. Aunque no tiene un firewall integrado por defecto, te permite instalar y gestionar fácilmente herramientas como ConfigServer Security & Firewall (CSF) y iptables, que son los estándares en la industria.

Paso 1: Acceder a tu Panel DirectAdmin

Antes de empezar a configurar firewall, necesitas acceder a tu panel de DirectAdmin. Para ello, abre tu navegador web y escribe la dirección de tu servidor seguida del puerto 2222. Por ejemplo:

https://tudominio.com:2222

O, si estás usando Syspanel (el antiguo HestiaCP), recuerda que el puerto de acceso es el 2106.

Introduce tu nombre de usuario y contraseña de administrador. Una vez dentro, estarás en el panel principal.

Paso 2: Instalar el Firewall (CSF)

CSF es el firewall más popular y recomendado para servidores con DirectAdmin. Es potente, flexible y tiene una interfaz de configuración basada en texto que, aunque parezca compleja, es muy manejable.

### ¿Cómo instalar CSF?

Conéctate a tu servidor por SSH (Secure Shell). Necesitarás un cliente como PuTTY (Windows) o la terminal (Mac/Linux). Usa tu usuario root y la contraseña correspondiente.

Una vez conectado, ejecuta los siguientes comandos uno por uno:

cd /usr/src
wget https://download.configserver.com/csf.tgz
tar -xzf csf.tgz
cd csf
sh install.sh

El proceso de instalación comenzará. Verás texto en pantalla. No te asustes, es normal. Cuando termine, el firewall estará instalado.

### Verificar que CSF funciona

Para comprobar que CSF se ha instalado correctamente, ejecuta:

csf -v

Deberías ver la versión instalada. Luego, para iniciarlo, usa:

csf -s

¡Enhorabuena! Ya tienes un firewall DirectAdmin funcionando.

Paso 3: Configuración Básica del Firewall en DirectAdmin

Ahora que CSF está instalado, vamos a configurar firewall para que se adapte a tus necesidades. La configuración se realiza a través de un archivo de texto llamado csf.conf. Puedes editarlo con un editor como nano o vi.

nano /etc/csf/csf.conf

Dentro de este archivo, encontrarás muchas opciones. No te preocupes, solo nos centraremos en las más importantes para empezar.

### 3.1. Configurar los puertos permitidos

Busca la línea que dice TCP_IN y TCP_OUT. Aquí defines los puertos que estarán abiertos para el tráfico entrante y saliente.

Ejemplo de configuración para un servidor web típico:

TCP_IN = "20,21,22,25,53,80,110,143,443,465,587,993,995,2077,2078,2082,2083,2086,2087,2095,2096,2222"
TCP_OUT = "20,21,22,25,37,43,53,80,110,113,443,587,873,993,995,2077,2078,2082,2083,2086,2087,2095,2096,2222"

[TIP] Si no usas FTP, puedes eliminar los puertos 20 y 21. Si no usas correo, elimina los puertos 25, 110, 143, etc. ¡Menos puertos abiertos, más seguridad!

### 3.2. Activar la protección contra ataques de fuerza bruta

CSF incluye un módulo llamado LFD (Login Failure Daemon) que bloquea automáticamente las IPs que intentan acceder repetidamente con contraseñas incorrectas. Para activarlo, asegúrate de que en csf.conf tengas:

LF_SSHD = "5"   # Bloquear después de 5 intentos fallidos en SSH
LF_FTPD = "5"   # Bloquear después de 5 intentos fallidos en FTP
LF_SMTPAUTH = "5" # Bloquear después de 5 intentos fallidos en SMTP

Puedes ajustar el número de intentos según tu criterio. Un número bajo es más seguro, pero puede ser molesto si te equivocas al escribir la contraseña.

### 3.3. Guardar y aplicar los cambios

Después de modificar el archivo, guárdalo (Ctrl+O en nano) y sal (Ctrl+X). Luego, aplica los cambios con:

csf -r

Este comando reinicia el firewall y aplica la nueva configuración.

Paso 4: Bloquear IPs Específicas

Una de las tareas más comunes para la seguridad servidor es bloquear IPs que se comportan de manera sospechosa. Con CSF, puedes hacerlo de varias formas.

### 4.1. Bloquear una IP manualmente

Si ves en los logs que una IP está intentando ataques, puedes bloquearla al instante con el siguiente comando SSH:

csf -d 123.456.789.0

Sustituye 123.456.789.0 por la IP que quieras bloquear. Para desbloquearla, usa:

csf -dr 123.456.789.0

### 4.2. Bloquear un rango de IPs

Si quieres bloquear una red entera, puedes usar el formato CIDR. Por ejemplo, para bloquear toda la red 192.168.1.0:

csf -d 192.168.1.0/24

### 4.3. Usar listas de bloqueo temporales o permanentes

CSF te permite crear listas de IPs que se bloquearán automáticamente. Puedes añadir IPs a los archivos:

/etc/csf/csf.deny: IPs bloqueadas permanentemente.
/etc/csf/csf.tempban: IPs bloqueadas temporalmente (se limpian al reiniciar CSF).

Para añadir una IP a csf.deny, simplemente edita el archivo y añade una línea por IP:

nano /etc/csf/csf.deny

Añade:

123.456.789.0

Guarda y aplica los cambios con csf -r.

Paso 5: Monitorizar el Firewall y los Logs

Un firewall no es un "configúralo y olvídalo". Es importante monitorizarlo para detectar posibles problemas o ataques.

### 5.1. Ver los logs de CSF

Los logs de CSF se encuentran en /var/log/lfd.log. Puedes verlos en tiempo real con:

tail -f /var/log/lfd.log

Aquí verás todas las acciones que realiza el firewall: IPs bloqueadas, intentos de conexión rechazados, etc.

### 5.2. Ver las IPs bloqueadas actualmente

Para ver una lista de todas las IPs que están bloqueadas en este momento, usa:

csf -l

### 5.3. Recibir alertas por correo

CSF puede enviarte un correo electrónico cada vez que bloquea una IP. Para activarlo, en /etc/csf/csf.conf, busca la línea:

LF_ALERT_TO = ""

Y añade tu dirección de correo electrónico entre las comillas. Por ejemplo:

LF_ALERT_TO = "tuemail@dominio.com"

Guarda y reinicia CSF.

Preguntas Frecuentes (FAQ)

### ¿Qué hago si bloqueo mi propia IP?

¡No te preocupes! Es un error común. Si te bloqueas a ti mismo, puedes acceder al servidor a través de la consola de tu proveedor de hosting (KVM/IPMI) o pedir a soporte que te desbloqueen. Para evitarlo, asegúrate de añadir tu IP a la lista blanca en /etc/csf/csf.ignore.

### ¿CSF afecta al rendimiento de mi servidor?

No, CSF está diseñado para ser ligero. Su impacto en el rendimiento es mínimo, casi imperceptible. De hecho, al bloquear tráfico malicioso, puede incluso mejorar el rendimiento.

### ¿Es necesario reiniciar el servidor después de configurar el firewall?

No. Solo necesitas reiniciar CSF con csf -r para que los cambios surtan efecto. No es necesario reiniciar el servidor.

### ¿Puedo usar otro firewall además de CSF en DirectAdmin?

Sí, pero CSF es el más recomendado por su facilidad de uso y su integración con DirectAdmin. Otros firewalls como iptables o nftables son más complejos y requieren conocimientos avanzados.

### ¿Qué hago si quiero desinstalar CSF?

Si decides que ya no lo necesitas, puedes desinstalarlo con:

cd /etc/csf
sh uninstall.sh

Esto eliminará todas las reglas y el software.

Conclusión

Crear y configurar firewall en DirectAdmin es un proceso sencillo que puede marcar una gran diferencia en la seguridad servidor. Con herramientas como CSF, tienes el control total de quién puede acceder a tu servidor y cómo. Recuerda que la seguridad es un proceso continuo: revisa tus logs periódicamente, mantén tu software actualizado y no dudes en bloquear IPs que consideres sospechosas.

[WARNING] No te confíes solo del firewall. Combínalo con otras prácticas de seguridad, como usar contraseñas fuertes, mantener el software actualizado y hacer copias de seguridad periódicas.

[INFO] Si usas Syspanel (el antiguo HestiaCP), recuerda que el puerto de acceso es el 2106, y el proceso de instalación de CSF es prácticamente el mismo que en DirectAdmin.

Ahora que ya sabes cómo hacerlo, ¡ponte manos a la obra y protege tu servidor! Tu tranquilidad y la de tus usuarios te lo agradecerán.