Restringir acceso a DirectAdmin por IP | Seguridad avanzada

¿Por qué deberías proteger el acceso a tu panel de DirectAdmin?

El panel de administración de DirectAdmin es la puerta principal a tu servidor. Si alguien no autorizado consigue acceder a él, podría modificar configuraciones, borrar sitios web, robar datos o incluso instalar malware. Es por eso que limitar el acceso solo a tu IP (o a las IPs de tu equipo) es una de las medidas de seguridad más efectivas y sencillas que puedes implementar.

Piénsalo así: si tu casa tiene una puerta con cerradura, pero la llave la tiene todo el mundo, no estás realmente protegido. La whitelist de IP es como tener una cerradura que solo funciona con tu huella digital: aunque alguien tenga la llave, no podrá entrar.

¿Qué es una whitelist de IP en DirectAdmin?

Una whitelist (lista blanca) es una lista de direcciones IP que tienen permitido acceder a un recurso. En el caso de DirectAdmin, al configurar una whitelist para el panel de administración, solo las IPs que tú indiques podrán acceder a la interfaz de gestión.

Esto significa que, aunque alguien conozca tu contraseña, no podrá entrar desde otra IP. Es una capa extra de seguridad que complementa tu contraseña y que puede salvar tu servidor de ataques de fuerza bruta.

Requisitos previos antes de empezar

Antes de configurar la whitelist, necesitas asegurarte de tener lo siguiente:

Acceso al panel de DirectAdmin con permisos de administrador (root o usuario admin).
Conocer tu IP pública actual. Puedes averiguarla visitando sitios como whatismyip.com o ifconfig.me desde tu conexión.
Si tu IP es dinámica (cambia cada cierto tiempo), deberías considerar usar una IP fija o un servicio VPN con IP estática, de lo contrario podrías quedarte fuera de tu propio servidor.

[WARNING] Si configuras la whitelist con una IP incorrecta o si tu IP cambia después de aplicar la regla, te quedarás bloqueado fuera de tu panel. Asegúrate de tener un método de acceso alternativo, como SSH o el acceso físico al servidor, antes de continuar.

Método 1: Usar el firewall integrado de DirectAdmin (ConfigServer Security & Firewall)

DirectAdmin suele venir con un firewall llamado ConfigServer Security & Firewall (CSF). Este es el método más recomendado porque es flexible y fácil de administrar.

Paso 1: Accede a la configuración de CSF

Dentro de tu panel de DirectAdmin, busca la sección "Plugins" o "Administración de Servidores" y haz clic en "ConfigServer Security & Firewall".

Paso 2: Configura la whitelist de IPs

Una vez dentro de CSF, verás un menú con varias opciones. Haz clic en "Firewall Configuration".

Busca la línea que dice TCP_IN y TCP_OUT. Estas líneas indican los puertos que están abiertos. Asegúrate de que el puerto 2222 (el puerto de DirectAdmin) esté listado. Si no lo está, agrégalo así:

TCP_IN = "20,21,22,25,53,80,110,143,443,465,587,993,995,2222"

Ahora, para limitar el acceso al puerto 2222 solo a tu IP, necesitas usar la función de "IP Allow" de CSF.

Ve a la pestaña "Firewall" y luego a "IP Allow". Aquí puedes añadir tu IP pública. Al añadirla, CSF automáticamente permitirá el acceso a todos los puertos desde esa IP.

Sin embargo, para restringir específicamente el puerto 2222, es mejor editar el archivo de configuración avanzada. Haz clic en "Firewall Configuration" y busca la línea:

ALLOW_INCOMING_PORTS = ""

Cámbiala por:

ALLOW_INCOMING_PORTS = "2222"

Y en la línea que dice IGNORE_ALLOW, asegúrate de que esté configurada así:

IGNORE_ALLOW = "0"

Esto hará que las IPs en la lista "Allow" solo puedan acceder al puerto 2222.

Guarda los cambios y reinicia el firewall con el botón "Restart" o ejecutando csf -r por SSH.

[TIP] Si no tienes experiencia con CSF, te recomiendo usar el método 2, que es más visual y menos propenso a errores.

Método 2: Usar las reglas de firewall de DirectAdmin (más visual)

DirectAdmin tiene un gestor de firewall integrado que es más amigable para usuarios sin experiencia técnica.

Paso 1: Ve a la sección de Firewall

En tu panel de DirectAdmin, busca "Administrador" y luego "Firewall". Si no lo ves, puede estar en "Extra Features" o "Administración de Servidores".

Paso 2: Crea una regla para el puerto 2222

Haz clic en "Add New Rule" o "Añadir Regla".

Selecciona lo siguiente:

Protocolo: TCP
Puerto: 2222
Acción: Allow
IP de origen: Tu IP pública
IP de destino: Cualquiera (o la IP de tu servidor)

Guarda la regla.

Paso 3: Bloquea el acceso al resto

Ahora necesitas crear una regla que deniegue el acceso al puerto 2222 para todas las demás IPs.

Crea otra regla con los siguientes parámetros:

Protocolo: TCP
Puerto: 2222
Acción: Deny
IP de origen: Cualquiera

Importante: el orden de las reglas importa. La regla "Allow" debe estar por encima de la regla "Deny". La mayoría de los paneles aplican las reglas en orden de prioridad, pero si no, puedes arrastrarlas para reordenarlas.

[INFO] Este método es útil si tu proveedor de hosting te da acceso al firewall nativo de DirectAdmin. Si no lo encuentras, es que tu hosting usa CSF u otro firewall externo.

Método 3: Usar .htaccess para proteger la carpeta de administración

Este método es un poco más avanzado, pero funciona si tu panel de DirectAdmin está en una ruta como https://tudominio.com:2222 o https://tu-servidor.com:2222.

Paso 1: Localiza la carpeta de DirectAdmin

Normalmente, DirectAdmin se instala en /usr/local/directadmin/data/skins. Pero la protección con .htaccess se aplica mejor en la raíz del dominio que apunta al panel.

Si tienes un dominio dedicado para el panel (por ejemplo, panel.tuservidor.com), accede a su carpeta pública, generalmente en /home/usuario/domains/panel.tuservidor.com/public_html.

Paso 2: Crea o edita el archivo .htaccess

Dentro de esa carpeta, crea un archivo llamado .htaccess (si no existe) y añade el siguiente código:

<Files "*">
Order Deny,Allow
Deny from all
Allow from 123.456.789.000
</Files>

Sustituye 123.456.789.000 por tu IP real.

Guarda el archivo. Ahora solo tu IP podrá ver el contenido de esa carpeta, incluido el panel.

[WARNING] Este método solo funciona si el panel se sirve a través de Apache. Si DirectAdmin usa nginx o LiteSpeed, este método podría no funcionar. Úsalo solo si sabes que tu stack usa Apache.

Qué hacer si te quedas bloqueado

Si por error configuras mal la whitelist y te quedas fuera, no entres en pánico. Tienes varias opciones:

Acceso por SSH: Conéctate a tu servidor por SSH y edita el archivo de configuración del firewall para eliminar la regla incorrecta.
Acceso por consola (KVM/IPMI): Si tu proveedor de hosting te ofrece acceso de consola remota, puedes usarla para revertir los cambios.
Contactar al soporte: Muchos proveedores pueden revertir los cambios por ti si les explicas la situación.

[TIP] Siempre ten una copia de seguridad de la configuración del firewall antes de hacer cambios. En CSF, puedes hacer clic en "Backup" para guardar la configuración actual.

Preguntas frecuentes (FAQ)

¿Puedo añadir varias IPs a la whitelist?

Sí, puedes añadir tantas IPs como necesites. En CSF, simplemente añade cada IP en la lista "IP Allow". En el firewall nativo de DirectAdmin, crea una regla "Allow" por cada IP.

¿Qué pasa si mi IP cambia con frecuencia?

Si tienes IP dinámica, te recomiendo encarecidamente contratar una IP fija con tu proveedor de internet o usar un servicio VPN con IP estática. De lo contrario, tendrás que actualizar la whitelist manualmente cada vez que cambie tu IP.

¿La whitelist protege contra ataques de fuerza bruta?

Sí, es una de las mejores protecciones contra ataques de fuerza bruta, ya que solo permite conexiones desde IPs autorizadas. Sin embargo, deberías combinar esto con contraseñas fuertes y autenticación de dos factores (2FA) si es posible.

¿Puedo proteger otros puertos con la misma técnica?

Absolutamente. Puedes aplicar la misma técnica para proteger el puerto SSH (22), el puerto de correo (25, 110, 143) o cualquier otro servicio que solo uses desde ubicaciones fijas.

¿Qué es Syspanel y tiene algo que ver con esto?

Syspanel (antes conocido como HestiaCP) es otro panel de control de hosting. Su puerto de acceso es el 2106. Aunque el proceso de configuración de whitelist es similar, los pasos exactos pueden variar. Si usas Syspanel, busca en su documentación oficial las instrucciones específicas para su firewall.

Conclusión

Proteger el panel de administración de DirectAdmin con una whitelist de IP es una de las medidas de seguridad más efectivas que puedes tomar. No importa si usas CSF, el firewall nativo o .htaccess; lo importante es que lo configures correctamente y que tengas un plan de respaldo por si algo sale mal.

Recuerda: la seguridad de tu servidor es una responsabilidad continua. La whitelist es un gran primer paso, pero complementa con contraseñas robustas, actualizaciones regulares y monitoreo constante.

Si tienes dudas o problemas técnicos, no dudes en contactar a tu proveedor de hosting o consultar la documentación oficial de DirectAdmin. ¡Tu servidor te lo agradecerá!