Limitar Accesos por IP en DirectAdmin | Restricciones de Seguridad

¿Por qué deberías limitar los accesos por IP en tu servidor?

Cuando tienes un sitio web o un servicio alojado en un servidor con DirectAdmin, una de las mejores prácticas de seguridad es controlar quién puede acceder a ciertos paneles, directorios o servicios. Limitar el acceso por IP significa que solo las direcciones IP que tú autorices podrán entrar a determinadas áreas, mientras que el resto del mundo recibirá un rechazo automático.

Esto es especialmente útil si tienes un equipo pequeño, trabajas desde una oficina con una IP fija o quieres proteger zonas sensibles como el propio panel de control, el acceso por FTP o la gestión de bases de datos. Además, es una barrera eficaz contra ataques de fuerza bruta y accesos no autorizados.

En este artículo te explicamos paso a paso cómo configurar listas blancas y listas negras en DirectAdmin, cubriendo desde el firewall integrado hasta las reglas a nivel de Apache o Nginx. No necesitas ser un experto en sistemas, solo seguir las instrucciones y entender algunos conceptos básicos.

¿Qué es una lista blanca y una lista negra en DirectAdmin?

Antes de entrar en materia, es fundamental que entiendas dos términos que usarás constantemente: lista blanca y lista negra.

Una lista blanca (whitelist) es un listado de direcciones IP que tienen permiso explícito para acceder a un recurso. Todo lo que no esté en esa lista queda bloqueado. Es la opción más restrictiva y segura, pero requiere que sepas exactamente qué IPs necesitan acceso.

Por otro lado, una lista negra (blacklist) es un listado de IPs que tienen prohibido el acceso. Todo el mundo puede entrar, excepto las IPs que tú decidas bloquear. Es más flexible, pero menos segura, ya que un atacante puede cambiar de IP fácilmente.

En DirectAdmin puedes aplicar ambas, tanto a nivel global del servidor como a nivel de dominio o usuario. La clave está en saber cuándo usar cada una.

Configurar el firewall de DirectAdmin (CSF)

La forma más potente y recomendada de limitar IP DirectAdmin es a través del firewall que suele venir integrado: ConfigServer Security & Firewall (CSF). Este firewall es el estándar en la mayoría de servidores con DirectAdmin y permite gestionar reglas de acceso por IP de forma muy sencilla.

Acceder a la interfaz de CSF

Entra en tu panel de DirectAdmin como administrador. Busca la sección "Administración de plugins" o directamente el icono de "Firewall" en el menú principal. Si no lo ves, es posible que tu proveedor no lo haya instalado, pero es poco habitual.

Una vez dentro, verás varias pestañas: Firewall Configuration, Firewall Allow IPs, Firewall Deny IPs y Firewall Quick Allow/Deny.

Añadir una IP a la lista blanca (permitir)

Para añadir una IP a la lista blanca y permitirle el acceso a todo el servidor, sigue estos pasos:

Ve a la pestaña "Firewall Allow IPs".
En el campo de texto, escribe la dirección IP que quieres permitir. También puedes usar rangos como 192.168.1.0/24.
Haz clic en "Añadir" o "Quick Add".
Espera unos segundos y la regla se aplicará automáticamente.

A partir de ese momento, esa IP tendrá paso libre a todos los servicios, incluidos SSH, FTP, panel de control, etc.

Añadir una IP a la lista negra (bloquear)

Para bloquear una IP que te está dando problemas, el proceso es igual de sencillo:

Ve a la pestaña "Firewall Deny IPs".
Escribe la IP o rango de IPs que deseas bloquear.
Pulsa "Añadir".

La IP quedará bloqueada al instante y cualquier intento de conexión desde ella será rechazado. Esta es la forma más rápida de seguridad DirectAdmin IP.

[TIP] Si no sabes cuál es tu IP actual, puedes usar servicios como whatismyip.com o ipconfig en tu terminal local. Es importante que tengas tu IP correcta antes de aplicar una lista blanca estricta, o podrías quedarte fuera de tu propio servidor.

Limitar el acceso al panel de DirectAdmin por IP

Una de las zonas más sensibles de tu servidor es el propio panel de DirectAdmin. Si alguien consigue acceder a él, podría hacer un daño irreparable. Por eso, limitar las IPs que pueden entrar al panel es una medida excelente.

Usar el archivo de configuración del panel

DirectAdmin permite restringir el acceso a su interfaz mediante el archivo directadmin.conf. Este archivo se encuentra en /usr/local/directadmin/conf/. Debes tener acceso por SSH para editarlo.

Conéctate por SSH a tu servidor.
Abre el archivo con un editor, por ejemplo: nano /usr/local/directadmin/conf/directadmin.conf.
Busca la línea que dice allow_ips= o añádela si no existe.
Escribe las IPs separadas por comas. Por ejemplo: allow_ips=203.0.113.10,203.0.113.25.
Guarda el archivo y reinicia DirectAdmin con el comando service directadmin restart.

A partir de ese momento, solo esas IPs podrán ver la página de login del panel. El resto recibirá un error de "Acceso denegado".

[WARNING] Si configuras mal las IPs y no incluyes la tuya, podrías quedarte sin acceso al panel. Asegúrate de tener al menos dos IPs añadidas (la tuya y la de un colega de confianza) o de tener acceso por SSH para revertir el cambio.

Restringir por directorio con .htaccess

Otra opción, si tu servidor usa Apache, es proteger el acceso al panel mediante un archivo .htaccess en el directorio correspondiente. Sin embargo, esta opción es menos común porque el panel suele estar fuera de la raíz web. Es preferible usar el método anterior.

Limitar el acceso a tus sitios web por IP

Si lo que quieres es que solo ciertas IPs puedan ver tu sitio web, puedes hacerlo desde el panel de control de tu dominio. Esto es útil si estás en fase de desarrollo y no quieres que el público vea tu web todavía.

Desde la sección de "Protección por contraseña" y "Acceso por IP"

DirectAdmin incluye una herramienta llamada "Protección de directorios" que permite tanto poner contraseña como restringir por IP.

Entra en tu cuenta de usuario en DirectAdmin.
Ve a la sección "Administración de archivos" o busca el icono "Protección de directorios".
Selecciona el directorio que quieres proteger (por ejemplo, public_html).
En la parte de "Acceso por IP", añade las IPs permitidas.
Guarda los cambios.

A partir de ahí, cualquier visitante que no tenga una IP autorizada verá un error 403 (Prohibido).

Usar .htaccess manualmente

Si prefieres más control, puedes editar el archivo .htaccess de tu dominio. Este archivo se encuentra en public_html. Añade el siguiente código:

<RequireAll>
    Require ip 203.0.113.10
    Require ip 203.0.113.25
    Require not ip 198.51.100.5
</RequireAll>

Con esto permites solo las dos primeras IPs y bloqueas explícitamente una tercera. Este método es muy directo y funciona perfectamente en Apache.

[INFO] Si tu servidor usa Nginx en lugar de Apache, el archivo .htaccess no funcionará. En ese caso, deberás editar la configuración del virtual host o usar el firewall de CSF, que es la opción más universal.

Limitar el acceso a servicios específicos (SSH, FTP, MySQL)

El firewall CSF también te permite limitar el acceso a servicios concretos, no solo al servidor completo. Esto es muy útil si quieres que solo tu IP pueda conectarse por SSH o FTP.

Configurar puertos restringidos

En la interfaz de CSF, busca la sección "Port/IP Settings". Ahí puedes especificar qué puertos están abiertos y para qué IPs.

Por ejemplo, si quieres que el puerto 22 (SSH) solo acepte conexiones desde tu IP, debes añadir una regla en la sección de "Port Allow IPs". El formato suele ser: tcp:22:203.0.113.10.

También puedes hacer lo mismo con el puerto 21 (FTP), el 3306 (MySQL) o el 2222 (el puerto de DirectAdmin).

Bloquear IPs problemáticas de forma temporal

Si detectas que una IP está haciendo escaneos o intentos de acceso repetidos, puedes bloquearla temporalmente desde la pestaña "Firewall Quick Allow/Deny". Simplemente escribe la IP y selecciona "Deny". Es un proceso de pocos segundos.

Buenas prácticas y recomendaciones finales

Limitar el acceso por IP es una medida potente, pero también puede ser un arma de doble filo si no se gestiona con cuidado. Aquí tienes algunas recomendaciones clave:

Mantén una lista actualizada de IPs permitidas

Las IPs dinámicas cambian. Si trabajas desde casa con una IP dinámica, es posible que te quedes fuera cuando el proveedor te asigne una nueva. En ese caso, considera usar una VPN que te ofrezca una IP fija o un servicio de DDNS.

Combina listas blancas con contraseñas robustas

No te confíes. Una lista blanca no es infalible. Si una IP permitida es comprometida, el atacante tendría acceso. Usa siempre contraseñas fuertes y autenticación de dos factores cuando sea posible.

Revisa los logs de acceso

DirectAdmin y CSF generan logs detallados. Revisa periódicamente los intentos de acceso fallidos y los bloqueos. Esto te dará una visión clara de quién intenta entrar y desde dónde.

No bloquees tu propia IP

Es el error más común. Cuando configures una lista blanca estricta, verifica siempre que tu IP actual esté incluida. Si te equivocas, no podrás acceder ni por SSH ni por el panel.

[WARNING] Si te quedas bloqueado por error, contacta con tu proveedor de hosting. Ellos podrán acceder al servidor a nivel de sistema y corregir la configuración. No intentes forzar el acceso, podrías empeorar la situación.

Preguntas frecuentes (FAQ)

¿Puedo usar listas blancas y negras al mismo tiempo?

Sí, de hecho es lo más recomendable. Puedes bloquear IPs concretas en la lista negra y, al mismo tiempo, permitir solo un rango específico en la lista blanca. La prioridad la tiene la lista blanca, es decir, si una IP está en ambas, se le permitirá el acceso.

¿Qué pasa si mi proveedor de internet me asigna una IP dinámica?

Si tu IP cambia con frecuencia, la lista blanca puede convertirse en un dolor de cabeza. Te recomendamos usar una VPN con IP fija o contactar con tu proveedor para contratar una IP estática. Otra alternativa es usar un servicio como DynDNS y configurar una regla dinámica en CSF, aunque esto es más avanzado.

¿Puedo limitar el acceso por IP a mi tienda online sin afectar a los clientes?

Sí, pero debes tener cuidado. Si bloqueas el acceso público, tus clientes no podrán comprar. Lo ideal es usar listas negras para bloquear IPs sospechosas y dejar el acceso abierto al resto. Solo usa listas blancas en entornos de desarrollo o en paneles de administración.

¿Qué hago si mi sitio está bajo un ataque DDoS?

El firewall CSF te permite limitar la tasa de conexiones por IP. Busca la opción "Connection Tracking" y ajusta los valores. También puedes bloquear temporalmente el puerto atacado o usar un servicio de mitigación externo. En casos extremos, contacta con tu proveedor.

¿Estas reglas afectan al rendimiento de mi servidor?

En general, no. Las reglas de firewall se aplican a nivel de kernel y son muy rápidas. Sin embargo, si tienes miles de reglas, podría haber una pequeña sobrecarga. Mantén tus listas limpias y elimina IPs que ya no necesites.

Conclusión

Limitar el acceso por IP en DirectAdmin es una de las medidas de seguridad más eficaces que puedes implementar. Ya sea mediante el firewall CSF, la configuración del panel o los archivos .htaccess, tienes múltiples herramientas a tu disposición para proteger tus servicios y tus datos.

Recuerda siempre documentar tus cambios, mantener tus listas actualizadas y verificar que no te quedas fuera de tu propio servidor. Con un poco de práctica, esta tarea se convertirá en algo rutinario y te dará una tranquilidad enorme saber que solo las personas autorizadas pueden acceder a lo que tú decidas.

Si tienes dudas o necesitas ayuda adicional, no dudes en contactar con el soporte de tu hosting. La seguridad es cosa de todos, y cada capa que añades es un paso más hacia un servidor robusto y confiable.