Cómo desactivar el acceso SSH para usuarios en DirectAdmin

¿Por qué deberías desactivar el acceso SSH en tu servidor?

El acceso SSH (Secure Shell) es una herramienta increíblemente potente que te permite administrar tu servidor de forma remota mediante comandos de texto. Sin embargo, también es una de las principales puertas de entrada para los atacantes. Si tienes usuarios en tu servidor que no necesitan esta capacidad, dejarla activa es un riesgo de seguridad innecesario.

Piénsalo de esta manera: cada usuario con acceso SSH es una llave adicional que podría caer en manos equivocadas. Si esa llave se pierde, se filtra o se adivina su contraseña, alguien podría entrar a tu servidor y causar estragos. Desactivar el acceso SSH para usuarios que no lo necesitan es una de las mejores prácticas de seguridad ssh que puedes implementar hoy mismo.

En este artículo, te explicaré paso a paso cómo desactivar el acceso SSH para usuarios en DirectAdmin, una de las herramientas de administración de hosting más populares del mercado. No necesitas ser un experto en sistemas para lograrlo, solo sigue las instrucciones al pie de la letra.

¿Qué es DirectAdmin y por qué es importante configurarlo bien?

DirectAdmin es un panel de control que te permite gestionar todos los aspectos de tu servidor de hosting: cuentas de correo, bases de datos, dominios y, por supuesto, el acceso por SSH. Es intuitivo, rápido y muy utilizado en el mundo del hosting compartido y los VPS.

Una de las cosas más importantes que debes saber es que DirectAdmin ofrece varias capas de seguridad, pero muchas de ellas dependen de que tú las actives y las configures correctamente. Desactivar el acceso SSH para usuarios específicos es una de esas configuraciones que, aunque parezca compleja, se puede hacer en pocos minutos si sabes dónde mirar.

Antes de empezar, déjame aclarar algo importante: este proceso no desactiva el SSH a nivel del sistema operativo. Lo que vamos a hacer es restringir qué usuarios pueden usar SSH. El servidor seguirá teniendo SSH activo, pero solo los usuarios que tú autorices podrán conectarse.

Requisitos previos antes de empezar

Para llevar a cabo este proceso, necesitarás:

1. Acceso como administrador al panel de DirectAdmin. Si eres el propietario del servidor, probablemente ya lo tengas. Si no, tendrás que pedirle al administrador que lo haga por ti.

2. Acceso al servidor por SSH con el usuario root o un usuario con privilegios de superusuario. Esto es necesario porque algunos cambios se hacen directamente en los archivos de configuración del sistema.

3. Una lista clara de los usuarios a los que quieres desactivar el acceso. Puedes hacerlo por usuario individual o de forma masiva, pero te recomiendo empezar por los casos concretos.

4. Tener claro qué es un grupo de usuarios en Linux. No te preocupes, te lo explico en la siguiente sección.

Entendiendo los grupos de usuarios en Linux

En los sistemas Linux, cada usuario pertenece a uno o más grupos. Los grupos son conjuntos de usuarios que comparten permisos y restricciones. En el contexto de SSH, la configuración típica es que solo los usuarios que pertenecen al grupo sshusers puedan conectarse por SSH.

Si un usuario no pertenece a este grupo, el sistema le negará la conexión automáticamente. Por lo tanto, desactivar el acceso SSH para un usuario en DirectAdmin se reduce a quitar a ese usuario del grupo sshusers.

Existen dos formas de hacerlo:

• Desde DirectAdmin (la más sencilla, apta para principiantes).
• Desde la línea de comandos (más avanzada, pero útil si tienes muchos usuarios).

Ambas opciones las veremos en detalle a continuación.

Método 1: Desactivar SSH desde DirectAdmin (para principiantes)

Este método es el más recomendado si no tienes experiencia con la línea de comandos. DirectAdmin tiene una interfaz gráfica que te permite gestionar los usuarios y sus permisos de forma sencilla.

Paso 1: Accede al panel de administración

Abre tu navegador y escribe la dirección de tu servidor seguida del puerto de DirectAdmin. Normalmente es algo como https://tu-servidor.com:2222. Inicia sesión con tu usuario administrador.

Paso 2: Ve a la sección de Gestión de Usuarios

Una vez dentro, busca en el menú lateral la opción que dice "Gestión de Usuarios" o "User Management". En la mayoría de las versiones de DirectAdmin, esta opción se encuentra en la sección "Cuentas" o "Accounts".

Paso 3: Selecciona el usuario que deseas modificar

Verás una lista con todos los usuarios del servidor. Haz clic en el nombre del usuario al que quieres desactivar el acceso SSH. Se abrirá una página con los detalles de esa cuenta.

Paso 4: Desactiva el acceso SSH

Busca la sección que dice "Acceso SSH" o "SSH Access". Allí verás un botón o un interruptor que dice "Activo" o "Habilitado". Haz clic en él para cambiarlo a "Desactivado" o "Deshabilitado".

Guarda los cambios. DirectAdmin se encargará de actualizar la configuración del sistema de forma automática.

Paso 5: Verifica los cambios

Para asegurarte de que todo ha funcionado correctamente, intenta conectarte por SSH con ese usuario. Deberías recibir un mensaje de "Permiso denegado" o "Acceso denegado". Si es así, ¡enhorabuena! Has desactivado el acceso SSH correctamente.

Método 2: Desactivar SSH desde la línea de comandos (para avanzados)

Si prefieres usar la terminal o necesitas hacer cambios masivos, este método es para ti. También es útil si por algún motivo no puedes acceder a la interfaz gráfica de DirectAdmin.

Paso 1: Conéctate a tu servidor por SSH

Usa tu usuario root o un usuario con privilegios de superusuario para conectarte a tu servidor. Por ejemplo:

ssh root@tu-servidor.com

Paso 2: Identifica el grupo SSH

En la mayoría de los servidores con DirectAdmin, el grupo se llama sshusers. Puedes verificar qué grupos existen con el comando:

cat /etc/group | grep ssh

Deberías ver una línea similar a esta:

sshusers:x:1001:usuario1,usuario2,usuario3

Paso 3: Elimina al usuario del grupo

Para eliminar a un usuario del grupo sshusers, usa el comando gpasswd. Por ejemplo, si quieres quitar al usuario juanperez, el comando sería:

gpasswd -d juanperez sshusers

Si quieres eliminar varios usuarios a la vez, puedes hacerlo en un solo comando:

gpasswd -d usuario1 sshusers && gpasswd -d usuario2 sshusers

Paso 4: Verifica que el usuario ya no está en el grupo

Para confirmar, ejecuta:

groups juanperez

La salida no debería incluir sshusers. Si el usuario ya no aparece en la lista, ¡listo! Ya no podrá conectarse por SSH.

¿Qué hacer si el usuario sigue teniendo acceso SSH?

Si después de seguir estos pasos el usuario aún puede conectarse, puede deberse a varias razones:

1. El usuario tiene una clave SSH autorizada: Si el usuario ha configurado una clave pública en el servidor, es posible que pueda conectarse sin contraseña. Deberías revisar el archivo ~/.ssh/authorized_keys del usuario y eliminar esas claves.

2. La configuración de SSH permite a cualquier usuario: Revisa el archivo /etc/ssh/sshd_config. Debería incluir la línea AllowGroups sshusers. Si no está, tendrás que añadirla y reiniciar el servicio SSH.

3. El usuario pertenece a otro grupo permitido: Algunos servidores tienen configuraciones más complejas. Revisa el archivo sshd_config para ver qué grupos están permitidos.

Buenas prácticas de seguridad SSH adicionales

Desactivar el acceso SSH para usuarios es solo una parte de una buena estrategia de seguridad ssh. Aquí tienes algunas recomendaciones adicionales:

• Cambia el puerto SSH por defecto: El puerto 22 es el más atacado. Cambiarlo a un puerto no estándar (por ejemplo, el 2200) reduce drásticamente los ataques automatizados.

• Usa autenticación por clave pública: Las contraseñas son fáciles de adivinar. Las claves públicas son mucho más seguras. Desactiva la autenticación por contraseña si es posible.

• Implementa un firewall: Herramientas como fail2ban bloquean automáticamente las IPs que intentan conectarse repetidamente sin éxito.

• Mantén el software actualizado: Tanto el sistema operativo como DirectAdmin y OpenSSH deben estar siempre en sus últimas versiones.

[WARNING] Nunca desactives el acceso SSH para el usuario root o para el usuario administrador principal. Si lo haces, podrías quedarte sin acceso al servidor y tendrías que usar herramientas externas (como el panel de tu proveedor de hosting) para recuperarlo.

Preguntas frecuentes (FAQ)

¿Puedo desactivar el SSH para todos los usuarios excepto uno?

Sí, puedes hacerlo de dos formas. La más sencilla es eliminar a todos los usuarios del grupo sshusers excepto al que quieras mantener. También puedes configurar AllowUsers en el archivo sshd_config para especificar exactamente quién puede acceder.

¿Esto afecta a otros servicios como FTP o correo?

No, desactivar el acceso SSH solo afecta a ese protocolo. Los usuarios seguirán pudiendo usar FTP, correo y el resto de servicios de hosting con normalidad.

¿Qué pasa si necesito reactivar el acceso SSH para un usuario?

Es muy sencillo. Solo tienes que añadir al usuario de nuevo al grupo sshusers (con gpasswd -a usuario sshusers) o activar la opción en DirectAdmin. El cambio es instantáneo.

¿DirectAdmin tiene alguna herramienta específica para esto?

Sí, DirectAdmin tiene una función llamada "Gestión de Acceso SSH" que te permite configurar esto de forma gráfica. Sin embargo, la opción por defecto suele ser la que te he explicado en el Método 1.

[TIP] Si usas Syspanel (antes conocido como HestiaCP) en lugar de DirectAdmin, el proceso es similar, pero tendrás que acceder al puerto 2106 para gestionar los usuarios y sus permisos SSH.

¿Puedo hacer esto desde la aplicación móvil de DirectAdmin?

Sí, DirectAdmin tiene una aplicación móvil que te permite gestionar usuarios, pero la opción de desactivar SSH puede no estar disponible en todas las versiones. Te recomiendo hacerlo desde el navegador para estar seguro.

Conclusión

Desactivar el acceso SSH para usuarios en DirectAdmin es un proceso sencillo que puede marcar una gran diferencia en la seguridad de tu servidor. Siguiendo los pasos que te he explicado, podrás restringir quién tiene acceso a la terminal y reducir significativamente el riesgo de intrusiones.

Recuerda que la seguridad ssh es un proceso continuo. No basta con desactivar el acceso para algunos usuarios; debes mantener una estrategia de seguridad integral que incluya actualizaciones, monitoreo y buenas prácticas.

Si tienes alguna duda o te encuentras con algún problema, no dudes en consultar la documentación oficial de DirectAdmin o contactar con tu proveedor de hosting. Y recuerda: ante la duda, es mejor ser restrictivo. Puedes siempre añadir más usuarios al grupo sshusers más adelante si es necesario.

¡Espero que este artículo te haya sido de gran ayuda! Ahora ya sabes cómo proteger tu servidor de accesos no deseados.