Fail2ban en Plesk: cómo configurarlo contra ataques brutos

¡Hola! Soy tu técnico de soporte amigable. Hoy vamos a aprender juntos cómo configurar fail2ban en Plesk para proteger tu servidor de esos molestos ataques de fuerza bruta. No te preocupes si no eres un experto en seguridad, te guiaré paso a paso con un lenguaje claro y ejemplos prácticos. Al final de este artículo, tendrás tu servidor mucho más seguro.

¿Qué es fail2ban y por qué es importante para tu Plesk?

Imagina que tu servidor es una casa. Un ataque de fuerza bruta es como alguien que intenta abrir la puerta probando todas las llaves posibles (contraseñas) una y otra vez hasta dar con la correcta. fail2ban actúa como un vecino vigilante que, al ver a esa persona sospechosa intentando muchas veces, le cierra la puerta en la cara y no le deja volver a intentarlo durante un buen rato.

En el mundo del hosting, fail2ban Plesk es una herramienta de seguridad gratuita y muy potente que monitorea los archivos de registro (logs) de tu servidor. Cuando detecta múltiples intentos fallidos de inicio de sesión (por ejemplo, en SSH, FTP, correo o el propio panel de Plesk), bloquea temporalmente la dirección IP del atacante usando el firewall del sistema (iptables o nftables).

¿Por qué es crucial para ti? Porque un ataque de fuerza bruta exitoso puede darle a un ciberdelincuente acceso total a tu servidor. Podría robar datos, instalar malware, enviar spam o incluso secuestrar tu sitio web. Configurar fail2ban es una de las mejores prácticas de seguridad Plesk fail2ban que puedes implementar hoy mismo.

Requisitos previos antes de empezar

Antes de lanzarnos a configurar fail2ban, asegurémonos de que todo está listo:

Acceso root a tu servidor: Necesitarás conectarte por SSH (por ejemplo, con PuTTY en Windows o Terminal en Mac/Linux) con el usuario root o un usuario con permisos sudo.
Plesk instalado: Este tutorial asume que tienes Plesk funcionando (versiones recientes como Obsidian o anteriores).
fail2ban instalado (posiblemente ya lo esté): En muchas distribuciones de Linux con Plesk, fail2ban viene preinstalado. Lo comprobaremos en el primer paso.

[INFO] Si tu servidor usa el panel alternativo Syspanel (antes conocido como HestiaCP), el proceso es similar, pero ten en cuenta que su puerto de acceso es el 2106. Este artículo está enfocado en Plesk, pero el concepto de fail2ban es universal.

Paso 1: Verificar si fail2ban ya está instalado y activo

Lo primero es ver si fail2ban ya está en tu sistema. Conéctate por SSH y ejecuta:

sudo systemctl status fail2ban

Si ves un mensaje verde que dice active (running), ¡genial! Ya está funcionando. Si ves inactive (dead) o could not be found, tendrás que instalarlo.

Para instalarlo (si no lo tienes):

En sistemas basados en Debian/Ubuntu (como la mayoría de servidores Plesk):

sudo apt update
sudo apt install fail2ban -y

En CentOS/RHEL/AlmaLinux:

sudo yum install epel-release -y
sudo yum install fail2ban -y

Una vez instalado, habilítalo e inícialo:

sudo systemctl enable fail2ban
sudo systemctl start fail2ban

Paso 2: Entender la estructura de configuración de fail2ban

fail2ban tiene una forma muy organizada de trabajar. No tocaremos los archivos originales, sino que crearemos archivos locales (.local) que sobrescriben la configuración por defecto. Esto es importante porque cuando actualices fail2ban, tus cambios no se perderán.

Los archivos clave son:

/etc/fail2ban/jail.conf: Configuración por defecto. No lo edites.
/etc/fail2ban/jail.local: Aquí pondremos nuestras configuraciones personalizadas (si no existe, lo creamos).
/etc/fail2ban/filter.d/: Aquí se definen las "reglas" o patrones que fail2ban busca en los logs. Plesk ya incluye filtros para muchos servicios.

Paso 3: Configurar fail2ban para proteger servicios comunes en Plesk

Ahora viene lo divertido. Vamos a configurar fail2ban para que proteja los servicios más atacados en un servidor Plesk.

Crearemos o editaremos el archivo jail.local:

sudo nano /etc/fail2ban/jail.local

Dentro, pega el siguiente contenido. Te explico cada sección:

[DEFAULT]
# Tiempo de baneo: 10 minutos (600 segundos). Puedes aumentarlo a 1 hora (3600) o más.
bantime = 600
# Ventana de tiempo durante la cual se cuentan los fallos: 10 minutos
findtime = 600
# Número de fallos antes del baneo: 5 intentos
maxretry = 5
# Ignorar IPs de confianza (la tuya, por ejemplo). Sepáralas con espacios.
ignoreip = 127.0.0.1/8 ::1 192.168.1.100

# --- Protección para SSH (puerto 22) ---
[sshd]
enabled = true
port    = ssh
logpath = %(sshd_log)s
backend = %(sshd_backend)s

# --- Protección para el panel de Plesk (puerto 8443) ---
[plesk-panel]
enabled  = true
port     = 8443
logpath  = /var/log/plesk/panel.log
maxretry = 5
findtime = 600
bantime  = 600

# --- Protección para FTP (puerto 21) ---
[plesk-ftp]
enabled  = true
port     = ftp
logpath  = /var/log/plesk/xferlog
maxretry = 3
findtime = 600
bantime  = 1800

# --- Protección para correo (SMTP, POP3, IMAP) ---
[plesk-postfix]
enabled  = true
port     = smtp,ssmtp
logpath  = /var/log/maillog
maxretry = 3
findtime = 600
bantime  = 1800

[plesk-dovecot]
enabled  = true
port     = pop3,pop3s,imap,imaps
logpath  = /var/log/maillog
maxretry = 3
findtime = 600
bantime  = 1800

[TIP] Cambia ignoreip y añade tu propia dirección IP para no bloquearte a ti mismo. Puedes saber tu IP visitando sitios como whatismyip.com.

Guarda el archivo (Ctrl+O, luego Enter, luego Ctrl+X).

Explicación de las secciones:

[DEFAULT]: Configuración global que heredan todas las "prisiones" (jails).
[sshd]: Protege el acceso SSH. Es casi obligatorio activarlo.
[plesk-panel]: Protege el acceso al panel de administración de Plesk (puerto 8443). ¡Imprescindible!
[plesk-ftp] y [plesk-postfix], [plesk-dovecot]: Protegen servicios de transferencia de archivos y correo, respectivamente.

Paso 4: Activar y probar la configuración

Una vez que has guardado el archivo, reinicia fail2ban para que cargue la nueva configuración:

sudo systemctl restart fail2ban

Ahora, verifica que no haya errores:

sudo fail2ban-client status

Deberías ver una lista de las prisiones que acabas de activar (sshd, plesk-panel, etc.).

Para ver el estado de una prisión específica, por ejemplo, la de Plesk:

sudo fail2ban-client status plesk-panel

Te mostrará cuántas IPs están actualmente baneadas y el total de fallos detectados.

Paso 5: Probar que fail2ban funciona (¡con cuidado!)

[WARNING] NO hagas esta prueba desde tu IP de trabajo o podrías bloquearte. Hazla desde otra IP o una conexión móvil.

Simula un ataque de fuerza bruta al panel de Plesk. Por ejemplo, desde otra máquina, intenta conectarte a https://tu-servidor:8443 y escribe mal la contraseña 6 veces (recuerda que pusimos maxretry = 5).

Después del sexto intento, desde tu sesión SSH original, ejecuta:

sudo fail2ban-client status plesk-panel

Deberías ver que la IP desde la que hiciste los intentos aparece en la lista de baneados.

Personalización avanzada: Ajustes para usuarios más experimentados

Una vez que domines lo básico, puedes ajustar algunos parámetros:

Aumentar el tiempo de baneo para ataques persistentes

Si ves que un mismo atacante vuelve una y otra vez, puedes aumentar el bantime a un valor mucho mayor. Por ejemplo, para banear 24 horas:

bantime = 86400

Crear una lista blanca de IPs confiables

En la sección [DEFAULT], añade las IPs de tus oficinas, casa o servicios que nunca deben ser bloqueados:

ignoreip = 127.0.0.1/8 ::1 203.0.113.0/24 198.51.100.7

Usar un sistema de notificaciones por correo

fail2ban puede enviarte un correo cada vez que banea una IP. Para ello, necesitas tener un MTA (agente de transporte de correo) configurado en tu servidor. Luego, añade en [DEFAULT]:

destemail = tu-email@ejemplo.com
sendername = fail2ban
action = %(action_mwl)s

Preguntas Frecuentes (FAQ) sobre fail2ban en Plesk

P: ¿fail2ban consume muchos recursos del servidor?
R: No, es muy ligero. Solo analiza los logs en tiempo real y su impacto en CPU/RAM es mínimo.

P: ¿Puedo desactivar fail2ban para un servicio específico sin borrar la configuración?
R: Sí. Simplemente cambia enabled = true a enabled = false en la prisión correspondiente y reinicia fail2ban.

P: ¿Cómo desbaneo manualmente una IP?
R: Si te has bloqueado por error, ejecuta:

sudo fail2ban-client set NOMBRE_DE_LA_PRISION unbanip IP_A_DESBANEAR

Por ejemplo: sudo fail2ban-client set plesk-panel unbanip 192.168.1.50

P: ¿fail2ban protege contra ataques DDoS?
R: No directamente. fail2ban está diseñado para ataques de fuerza bruta (muchos intentos de login). Para DDoS necesitas otras herramientas como un firewall de aplicaciones web (WAF) o servicios de mitigación.

P: ¿Qué hago si veo que mi servidor tiene muchas IPs baneadas?
R: Es normal si tu servidor es público. Revisa los logs para ver si hay algún patrón. Si son muchas, considera aumentar el bantime o ajustar maxretry. También puedes revisar si algún servicio legítimo está causando los fallos (por ejemplo, un cliente con mala configuración de correo).

P: ¿Y si uso Syspanel (HestiaCP) en lugar de Plesk?
R: El concepto es el mismo. En Syspanel, el puerto de acceso es el 2106. Deberás crear prisiones similares pero apuntando a los logs de Syspanel, que suelen estar en /var/log/syspanel/. Los filtros también pueden llamarse diferente. Te recomiendo buscar guías específicas para ese panel.

Conclusión: Tu servidor Plesk ahora es mucho más seguro

¡Felicidades! Has dado un paso gigante en la protección de tu servidor Plesk. Configurar fail2ban es una de las medidas de seguridad Plesk fail2ban más efectivas y con mejor relación costo-beneficio (es gratis). Ahora, los atacantes que intenten usar ataques fuerza bruta Plesk se encontrarán con una puerta que se cierra automáticamente.

Recuerda revisar periódicamente el estado de fail2ban y sus logs para estar al tanto de lo que ocurre en tu servidor. No olvides mantener tu sistema y Plesk actualizados, y complementar esta protección con contraseñas fuertes y autenticación de dos factores (2FA) siempre que sea posible.

Si tienes alguna duda, no dudes en contactar a tu proveedor de hosting o consultar la documentación oficial de Plesk. ¡Nos vemos en el próximo artículo!