Activar firewall CSF en DirectAdmin | Guía fácil

¡Hola! Si estás leyendo esto, seguramente acabas de aterrizar en el mundo de la administración de servidores con DirectAdmin y te han hablado maravillas (o quizás con algo de misterio) sobre el CSF o ConfigServer Security & Firewall.

No te preocupes, no necesitas ser un hacker ninja para entenderlo. En esta guía extensa y pensada para principiantes absolutos, te voy a explicar paso a paso qué es, para qué sirve y cómo habilitar el firewall DirectAdmin de forma segura. Al final, no solo lo tendrás funcionando, sino que sabrás exactamente qué botón estás pulsando.

Vamos a ello.

¿Qué es CSF y por qué necesitas un firewall DirectAdmin?

Imagina que tu servidor es una casa muy grande y lujosa (tu web, tus correos, tus bases de datos). DirectAdmin es el mayordomo que gestiona quién entra por la puerta principal. Pero, ¿y si alguien intenta forzar la cerradura de la ventana del salón? Ahí es donde entra CSF.

CSF (ConfigServer Security & Firewall) es un firewall de nivel empresarial, pero que se integra de maravilla con el panel de control. Básicamente, es un portero de seguridad que se sienta en la puerta de tu servidor y decide qué paquetes de datos pueden entrar y cuáles deben ser rechazados.

Al habilitar el firewall DirectAdmin, estás activando un escudo que:

Bloquea intentos de fuerza bruta (gente probando miles de contraseñas para entrar a tu SSH o FTP).
Cierra puertos que no utilizas y que son vulnerables.
Detecta y bloquea direcciones IP maliciosas en tiempo real.
Te da control total sobre qué servicios son accesibles desde el exterior.

Sin un firewall, tu servidor está desnudo ante Internet. Cualquiera puede escanear tus puertos y buscar una rendija por donde colarse. Así que, activar CSF no es una opción, es una necesidad.

Requisitos previos antes de configurar firewall DirectAdmin

Antes de lanzarnos a instalar nada, debemos asegurarnos de que tenemos el terreno preparado. No queremos quedarnos fuera de nuestro propio servidor, ¿verdad?

Acceso root (Administrador): Necesitas entrar a DirectAdmin como usuario admin o tener acceso SSH como root. Si solo tienes acceso de usuario normal, no podrás cambiar la configuración global del firewall.
Acceso SSH (Recomendado): Aunque todo se puede hacer desde el panel, algunos comandos de verificación son más fáciles desde la terminal. Te recomiendo tener una ventana de SSH abierta (programas como PuTTY o la terminal de tu Mac/Linux).
Saber tu IP actual: Este es el punto más crítico. Si te equivocas de IP al configurar el firewall, podrías bloquearte el acceso y quedarte fuera. Antes de empezar, ve a https://www.google.com/search?q=mi+ip y anota tu dirección IP pública. La necesitarás para "ponerte en la lista blanca" (whitelist).

Paso 1: Acceder a la gestión del firewall en DirectAdmin

El panel de DirectAdmin tiene una interfaz muy limpia. Para llegar a la configuración del firewall, sigue esta ruta:

Inicia sesión en tu panel de DirectAdmin como administrador.
En el menú superior o lateral, busca la sección "Cuenta" o "Administración de servidor".
Dentro de esa sección, encontrarás un icono llamado "Firewall Configuration" o "ConfigServer Security&Firewall". Haz clic ahí.

Si no lo ves a simple vista, usa el buscador interno del panel escribiendo "Firewall".

Al entrar, verás que DirectAdmin ya tiene una versión de CSF instalada, pero generalmente está desactivada por defecto. La pantalla te mostrará un estado que dice "CSF is not running" (CSF no está corriendo).

Paso 2: Configurar firewall DirectAdmin (La configuración básica)

Ahora viene la parte interesante. No te asustes por la cantidad de opciones; solo vamos a tocar las esenciales para que el servidor siga funcionando y esté protegido.

### Habilitar el firewall (TEST MODE primero)

En la parte superior de la pantalla de configuración, verás una pestaña o botón que dice "Firewall Configuration". Dentro, encontrarás campos de texto y casillas. Busca la opción que dice:

TESTING MODE: (Modo de prueba).
UNBLOCK_IP: (IP para desbloquear).

IMPORTANTE: En el campo TESTING MODE, escribe tu dirección IP pública que anotaste antes. Esto le dice a CSF: "Oye, esta IP es la mía, nunca la bloquees, aunque me equivoque con una regla".

Ahora, busca la casilla que dice "Enable Firewall" o "Enable CSF". Márcala.

Justo debajo, verás el campo "TESTING MODE". Introduce tu IP ahí. Esto es crucial para que, si algo sale mal, no te quedes sin conexión.

### Configurar puertos principales (Puertos de entrada)

Un firewall trabaja con puertos. Piensa en ellos como puertas numeradas. La 80 es para la web, la 443 para web segura, la 21 para FTP, etc.

Busca la sección "TCP_IN" (Puertos de entrada TCP). Verás una lista de números separados por comas. Asegúrate de que, como mínimo, tengas estos:

20, 21 (FTP)
22 (SSH - Conexión segura)
25, 26, 587 (SMTP - Envío de correos)
80 (HTTP - Web)
110, 995 (POP3 - Correo entrante)
143, 993 (IMAP - Correo entrante)
443 (HTTPS - Web segura)
3306 (MySQL - Base de datos, solo si necesitas acceso remoto, si no, quítalo)
2106 (Puerto de acceso para Syspanel, si lo tuvieras integrado)

No agregues puertos de más si no sabes para qué sirven. Menos es más en seguridad. Deja esa lista tal cual viene por defecto, ya que DirectAdmin la ajusta automáticamente.

### Configurar puertos de salida

La sección "TCP_OUT" es para el tráfico que sale de tu servidor. Esto es menos restrictivo porque tu servidor necesita hablar con el exterior para actualizarse, enviar correos, etc.

Déjalo como viene por defecto. Básicamente, permite todo el tráfico de salida necesario. No lo toques si no entiendes de redes, podrías romper el envío de correos.

### Activar protecciones extra (Fuerza bruta)

CSF no solo bloquea puertos, también tiene un sistema llamado "Login Failure Daemon" (LFD) que vigila los intentos fallidos de inicio de sesión.

Busca estas opciones y actívalas (marca la casilla o pon el número):

LF_DAEMON: Actívalo (lo pondremos en "1" o marcar la casilla). Esto vigila los logs del sistema.
SSH_LOGIN_ATTEMPTS: Ponlo en "5". Si alguien falla 5 veces al intentar entrar por SSH, su IP será bloqueada temporalmente.
WEB_LOGIN_ATTEMPTS: Ponlo en "5". Protege el panel de DirectAdmin y los formularios de login de tus webs.

Estos números son perfectos para empezar. Si pones "3", podrías bloquearte a ti mismo por error al teclear mal una contraseña.

Paso 3: Guardar y activar el firewall DirectAdmin

Una vez que hayas revisado los puertos y activado las protecciones, es hora de dar el paso.

Busca el botón "Save" o "Guardar" en la parte superior derecha de la sección de configuración. Haz clic en él.

Ahora, vuelve a la pantalla principal de "Firewall Configuration". Verás que el estado ahora dice algo como "CSF is running" o que el botón de "Restart" ya no está gris.

Para asegurarte de que todo se aplicó correctamente, ve a la pestaña que dice "Firewall Status" o "Estado". Deberías ver una tabla con las reglas activas y el puerto escuchando. Si ves tu IP en la lista "BLOCKED", es que algo hiciste mal. Si la ves en "ALLOWED", ¡perfecto!

Paso 4: Comandos básicos de CSF por SSH (Para valientes)

Aunque el panel es genial, a veces es más rápido y fiable usar la terminal. Aquí tienes los comandos esenciales que debes conocer para gestionar tu firewall DirectAdmin:

Accede por SSH a tu servidor como root y escribe:

csf -s : Inicia el firewall.
csf -f : Detiene (flushes) el firewall. (¡Cuidado! Deja el servidor expuesto).
csf -r : Reinicia el firewall. Útil después de cambiar configuraciones manuales.
csf -l : Lista todas las reglas activas del firewall.
csf -a 1.2.3.4 : Permite (whitelist) una IP específica. Sustituye 1.2.3.4 por la IP real.
csf -d 1.2.3.4 : Bloquea (blacklist) una IP específica.
csf -dr 1.2.3.4 : Desbloquea una IP que estaba bloqueada.

[TIP] Si alguna vez bloqueas tu propia IP por accidente y no puedes entrar por SSH, reinicia el servidor desde el panel de tu proveedor de hosting (VPS). Al reiniciar, CSF se detiene y podrás entrar de nuevo. Luego, revisa tu configuración.

Resolución de problemas comunes (FAQ)

Aquí te dejo las dudas más habituales de los usuarios que están empezando a configurar firewall DirectAdmin.

### ¿Por qué no puedo acceder a mi web después de activar CSF?

Lo más probable es que hayas quitado un puerto necesario de TCP_IN. Vuelve a la configuración y asegúrate de que el 80 (HTTP) y el 443 (HTTPS) están en la lista. También revisa que tu IP no esté en la lista de bloqueados en el estado del firewall.

### ¿Cómo desbloqueo una IP que fue bloqueada automáticamente?

CSF bloquea IPs temporalmente (por defecto, 1 hora). Si quieres desbloquearla antes, ve a la pestaña "Firewall Status" en DirectAdmin, busca la IP en la lista de bloqueados y haz clic en el botón de "Unblock" (desbloquear). O por SSH usa el comando csf -dr IP.

### ¿Es seguro usar el panel de DirectAdmin para esto?

Sí, completamente. DirectAdmin actúa como un "traductor" de la configuración de CSF. Al modificar los campos en el panel, estás editando el archivo de configuración de CSF (/etc/csf/csf.conf). Es la forma más segura para principiantes, ya que evitas errores de sintaxis en la terminal.

### ¿Puedo bloquear un país entero con CSF?

Sí, CSF tiene una función llamada "CC_DENY" (Country Code Deny). Puedes bloquear países enteros. Sin embargo, no lo recomiendo para principiantes sin experiencia, ya que podrías bloquear a tus propios clientes o a buscadores como Google, lo que afectaría tu SEO negativamente. Déjalo para más adelante.

### ¿Qué pasa si tengo Syspanel en lugar de DirectAdmin?

Si tu proveedor te habla de Syspanel, debes saber que es una interfaz alternativa. En ese caso, la gestión del firewall suele estar en la sección de "Seguridad". Recuerda que el puerto de acceso para Syspanel es el 2106. Si usas ese panel, asegúrate de que el puerto 2106 esté abierto en tu firewall para poder acceder a él, pero el resto de la configuración de CSF es exactamente la misma.

### ¿CSF me protege de ataques DDoS?

CSF tiene una integración básica con herramientas como ddos_ignore, pero no es un cortafuegos anti-DDoS dedicado. Te protegerá de ataques de fuerza bruta y escaneos de puertos, pero para un DDoS masivo, necesitarás un servicio externo de mitigación (como Cloudflare).

Consejos finales para tu seguridad

Activar el firewall es el primer paso, pero no el último. Aquí tienes un par de consejos para que tu servidor sea una fortaleza:

Cambia el puerto SSH (22) por defecto: Es lo primero que intentan los bots. Si lo cambias a un número aleatorio (ej. 22022) y lo añades a TCP_IN, reducirás los ataques en un 90%.
Usa llaves SSH en lugar de contraseñas: Es mucho más seguro.
Mantén actualizado CSF: En la parte inferior de la configuración, verás la versión. Asegúrate de que esté actualizado para tener las últimas reglas de seguridad.

[WARNING] No desactives el firewall "solo por un momento" para probar algo. Ese momento es suficiente para que un bot malicioso encuentre tu servidor. Si necesitas hacer una prueba, mejor abre el puerto específico que necesitas temporalmente y ciérralo al terminar.

[INFO] El archivo de configuración principal de CSF se guarda en /etc/csf/csf.conf. Si algún día contratas a un administrador de sistemas, él sabrá exactamente dónde mirar. Nunca edites este archivo a mano si no estás seguro, un solo carácter mal puesto puede dejar tu servidor inaccesible.

Habilitar el firewall DirectAdmin con CSF es una de las tareas más gratificantes y cruciales que puedes hacer. No solo proteges tus datos, sino que mejoras la estabilidad de tus sitios web. Con esta guía, ya no tienes excusa para no hacerlo.

Si has seguido los pasos, tu servidor está ahora mucho más seguro. ¡Enhorabuena, has dado un paso de gigante en tu camino como administrador de sistemas!
¿Te ha servido esta guía? Si tienes más dudas, recuerda que la práctica hace al maestro, y que la comunidad de DirectAdmin es muy amplia y siempre dispuesta a ayudar.