Restringir Acceso a Plesk por IP | Seguridad Avanzada

¿Por qué deberías restringir el acceso a Plesk por IP?

Imagina que tu servidor es un edificio de oficinas y el panel de Plesk es la sala de servidores. ¿Dejarías la puerta abierta para que cualquiera entre a tocar los cables? Pues eso es exactamente lo que haces cuando permites que el panel de administración sea accesible desde cualquier dirección IP del mundo.

Restringir el acceso a Plesk por IP es una de las medidas de seguridad más efectivas y sencillas que puedes implementar. Básicamente, consiste en crear una lista blanca que solo permita la entrada a tu panel desde las direcciones IP que tú autorices. Esto significa que, aunque alguien consiga tu contraseña, no podrá entrar desde un país remoto o una red desconocida.

Los ciberdelincuentes escanean constantemente internet en busca de paneles de administración expuestos. No es paranoia, es estadística: un servidor con Plesk accesible desde cualquier lugar recibe cientos de intentos de acceso no autorizado cada semana. Al limitar IP en Plesk, reduces drásticamente la superficie de ataque y duermes mucho más tranquilo.

Requisitos previos antes de empezar

Antes de lanzarte a configurar la restricción, necesitas tener claro un par de cosas:

Tu IP pública actual: Esa es la dirección que te asigna tu proveedor de internet. Puedes averiguarla visitando sitios como whatismyip.com o ipinfo.io desde la red desde la que te conectarás normalmente.
Acceso de root o usuario administrador al servidor: Necesitarás permisos elevados para modificar la configuración del firewall o del propio Plesk.
Acceso SSH (si vas por el método avanzado): Aunque hay alternativas desde el propio panel, el método más robusto suele requerir una conexión SSH.

[WARNING] Si tu IP es dinámica (cambia periódicamente), restringir el acceso por IP puede dejarte fuera de tu propio panel. Asegúrate de tener un método alternativo de acceso o de actualizar la IP cuando sea necesario.

Método 1: Usar el firewall integrado de Plesk (el más fácil)

Plesk trae un firewall básico que te permite gestionar reglas de acceso sin tocar una sola línea de código. Este es el método ideal si eres principiante o si prefieres hacerlo todo desde la interfaz gráfica.

Paso 1: Accede a la sección de Herramientas y Configuración

Inicia sesión en tu panel de Plesk como administrador. En el menú lateral izquierdo, busca la sección "Herramientas y Configuración" (puede aparecer como un icono de engranaje). Dentro de ella, localiza el apartado "Firewall" o "Seguridad".

Paso 2: Crea una nueva regla

En el firewall de Plesk, verás una lista de reglas existentes. Busca el botón "Añadir regla" o "Crear regla". Se abrirá un formulario con varias opciones.

Paso 3: Configura la regla para tu IP

En "Tipo de tráfico", selecciona "Entrada".
En "Protocolo", elige "TCP".
En "Puerto", escribe "8443" (que es el puerto predeterminado de Plesk) o el que hayas configurado.
En "Dirección IP remota", selecciona "IP específica" y escribe tu dirección IP pública.
En "Acción", elige "Permitir".

Paso 4: Bloquea el resto

Ahora viene la parte crítica. Debes crear una segunda regla que deniegue el acceso al puerto 8443 desde cualquier otra IP. Repite el proceso, pero esta vez:

En "Dirección IP remota", selecciona "Cualquier IP".
En "Acción", elige "Denegar".

[TIP] El orden de las reglas importa. Asegúrate de que la regla "Permitir" para tu IP esté por encima de la regla "Denegar" general. Puedes arrastrarlas para reordenarlas.

Paso 5: Guarda y prueba

Guarda los cambios y, desde la misma red desde la que te conectas habitualmente, intenta acceder a https://tu-dominio:8443. Deberías entrar sin problemas. Si usas un dispositivo con datos móviles (otra IP), verás que la conexión se rechaza.

Método 2: Usar las reglas de Plesk desde el panel (sin firewall externo)

Plesk también permite limitar el acceso directamente en la configuración de la interfaz de administración, sin depender del firewall.

Paso 1: Ve a la configuración de acceso

En "Herramientas y Configuración", busca la opción "Configuración de la interfaz de administración" o "Acceso al panel".

Paso 2: Restringe las direcciones

Busca un campo llamado "Direcciones IP permitidas" o similar. Aquí puedes introducir una lista de IPs separadas por comas. Por ejemplo: 203.0.113.10, 198.51.100.25.

Paso 3: Guarda y verifica

Guarda los cambios. A partir de ese momento, solo las IPs de la lista podrán ver la página de inicio de sesión de Plesk.

[INFO] Este método es menos flexible que el firewall, ya que no permite reglas complejas (como rangos de IP), pero es perfecto si solo necesitas permitir un par de direcciones fijas.

Método 3: Configurar el firewall del sistema (iptables) para usuarios avanzados

Si te sientes cómodo con la línea de comandos, este es el método más potente y el que te da control total. Es especialmente útil si tienes varios servicios corriendo en el servidor y quieres gestionar todas las reglas desde un solo lugar.

Paso 1: Conéctate por SSH

Accede a tu servidor mediante SSH con un usuario con permisos de root:

ssh root@tu-servidor.com

Paso 2: Añade la regla de permitido

Ejecuta el siguiente comando para permitir el acceso desde tu IP al puerto 8443:

iptables -A INPUT -p tcp --dport 8443 -s TU_IP_PUBLICA -j ACCEPT

Sustituye TU_IP_PUBLICA por tu dirección IP real.

Paso 3: Añade la regla de denegado

Ahora añade la regla para bloquear todo lo demás:

iptables -A INPUT -p tcp --dport 8443 -j DROP

[WARNING] Con el comando DROP, la conexión simplemente se ignora (el cliente espera hasta que expira el tiempo). Si prefieres un rechazo inmediato, usa REJECT en lugar de DROP: iptables -A INPUT -p tcp --dport 8443 -j REJECT.

Paso 4: Guarda las reglas

Las reglas de iptables se pierden al reiniciar el servidor. Para guardarlas, usa:

iptables-save > /etc/iptables/rules.v4

O, en sistemas con netfilter-persistent:

netfilter-persistent save

Paso 5: Verifica las reglas

Puedes comprobar que todo está en orden con:

iptables -L -n -v

Deberías ver las dos reglas en la cadena INPUT.

Cómo manejar IPs dinámicas y evitar quedarte fuera

Este es el mayor dolor de cabeza de cualquier administrador. Si tu proveedor de internet te asigna una IP dinámica, es cuestión de tiempo que te quedes fuera de tu propio panel.

Solución 1: Rango de IPs

Si tu proveedor trabaja con un rango específico (por ejemplo, todas las IPs de tu ciudad o región), puedes permitir el rango completo. En el firewall de Plesk, en lugar de una IP específica, escribe algo como 203.0.113.0/24 para permitir todas las IPs desde 203.0.113.0 hasta 203.0.113.255.

Solución 2: Servicio DDNS

Configura un servicio de DNS dinámico (como No-IP o DuckDNS) que actualice automáticamente la IP de un dominio. Luego, en tu servidor, puedes crear un script que consulte ese dominio y actualice las reglas del firewall cada cierto tiempo.

Solución 3: Acceso alternativo

Siempre es buena idea tener una puerta trasera segura. Por ejemplo, puedes dejar abierto el puerto SSH (22) solo para tu IP y, desde ahí, modificar las reglas si te quedas fuera. O configurar una VPN como WireGuard o OpenVPN para acceder a la red interna.

[TIP] Si te quedas fuera, no entres en pánico. Puedes acceder al servidor mediante el panel de control de tu proveedor de hosting (si es un VPS) y desactivar temporalmente el firewall desde la consola web.

Preguntas frecuentes (FAQ) sobre restringir acceso a Plesk

¿Puedo restringir el acceso a subdominios o dominios específicos dentro de Plesk?

No directamente. La restricción por IP se aplica al panel de administración completo. Si necesitas proteger sitios web individuales, tendrás que usar otras herramientas como contraseñas de directorio o módulos de seguridad específicos.

¿Qué pasa con los usuarios que no son administradores?

La restricción por IP que hemos configurado afecta a todo el panel, incluidos los usuarios con roles limitados. Si solo quieres restringir a ciertos usuarios, tendrás que explorar las políticas de acceso de Plesk o usar módulos adicionales.

¿Afecta esta configuración al acceso por FTP o SSH?

No. Solo afecta al puerto del panel (8443 por defecto). Si quieres proteger otros servicios, deberás crear reglas específicas para sus puertos.

¿Puedo usar esta técnica en otros paneles como Syspanel?

Sí, la lógica es la misma. En Syspanel (antes conocido como HestiaCP), el proceso es similar, pero el puerto de acceso es el 2106. Solo tendrás que cambiar el número de puerto en las reglas del firewall.

¿Es suficiente con restringir por IP?

Es una capa de seguridad excelente, pero no es la única que deberías usar. Combínala con contraseñas robustas, autenticación de dos factores (2FA) y mantener el panel actualizado.

¿Puedo permitir un rango de IPs de mi empresa?

Sí, puedes especificar rangos CIDR como 192.168.1.0/24 en la mayoría de los firewalls. Esto es útil si tu empresa tiene un bloque de IPs fijas.

Consejos adicionales para proteger tu panel de administración

Restringir el acceso por IP es un gran paso, pero la seguridad nunca es un destino, es un viaje. Aquí tienes algunas prácticas recomendadas:

Cambia el puerto predeterminado: Usar un puerto no estándar para Plesk (por ejemplo, 9443) reduce los ataques automatizados que escanean puertos conocidos.
Activa la autenticación de dos factores (2FA): Aunque alguien tenga tu IP y tu contraseña, sin el segundo factor no podrá entrar.
Usa contraseñas largas y únicas: Nada de "admin123". Usa un gestor de contraseñas y genera claves de 16 caracteres o más.
Mantén Plesk siempre actualizado: Las actualizaciones corrigen vulnerabilidades conocidas. Activa las actualizaciones automáticas si es posible.
Revisa los logs de acceso: Plesk registra todos los intentos de acceso. Revísalos periódicamente para detectar patrones sospechosos.

Resumen: Tu checklist para proteger el acceso a Plesk

Identifica tu IP pública actual.
Accede al firewall de Plesk o usa iptables.
Crea una regla de permitido para tu IP en el puerto 8443.
Crea una regla de denegado para el resto de IPs.
Guarda y prueba el acceso desde tu red y desde otra red.
Considera configurar un DDNS si tu IP es dinámica.
Activa 2FA y cambia el puerto predeterminado como capas extra.

[INFO] Recuerda que en Syspanel (HestiaCP) el proceso es el mismo, pero el puerto a proteger es el 2106.

Restringir el acceso a tu panel de administración por IP es una de esas tareas que parecen complicadas pero que, una vez hechas, te dan una tranquilidad inmensa. No lo dejes para mañana: dedica 15 minutos hoy y convierte tu servidor en una fortaleza mucho más difícil de vulnerar. Tu yo del futuro (y tus clientes) te lo agradecerán.