Configurar firewall básico en Plesk para principiantes

¡Hola! Bienvenido a esta guía pensada especialmente para ti, que estás dando tus primeros pasos en la administración de un servidor con Plesk. Sabemos que la palabra "firewall" puede sonar a algo muy técnico y complicado, pero te prometo que no lo es tanto. Piensa en un firewall como el portero de tu edificio: decide quién puede entrar y quién debe quedarse fuera.

En este artículo, vamos a configurar un firewall básico en Plesk de una manera sencilla y visual. No necesitas ser un experto en redes, solo seguir los pasos que te iré contando. Al final, tu servidor estará mucho más seguro y tú te sentirás con más control sobre lo que ocurre en tu sitio web.

Empecemos con lo más importante: ¿por qué es necesario tener un firewall en tu servidor Plesk?

¿Por Qué Necesitas un Firewall en tu Servidor Plesk?

Imagina que tu servidor es una casa. Tiene puertas (puertos de red) por donde entran y salen datos. Sin un firewall, todas las puertas están abiertas de par en par. Cualquier persona (o programa malicioso) podría intentar entrar, husmear, robar información o incluso dañar tu web.

Un firewall básico en Plesk actúa como un portero inteligente que solo permite la entrada a las personas (tráfico) que tú autorices. Por ejemplo, permites que todo el mundo vea tu web (puerto 80 y 443), pero bloqueas el acceso a la base de datos (puerto 3306) desde fuera de tu oficina o casa.

Configurar un firewall no es un lujo, es una necesidad básica de seguridad. Sin él, tu servidor es un blanco fácil para ataques automatizados que buscan puertos abiertos para colarse. Al hacerlo, estás dando un paso de gigante para proteger Plesk y todos los sitios web que alojas en él.

¿Qué es el Firewall de Plesk? (Componente Fail2ban)

Plesk incluye una herramienta de seguridad muy potente llamada Fail2ban. No te asustes con el nombre. Fail2ban es un sistema que monitoriza los logs (registros de actividad) de tu servidor. Si detecta que alguien está intentando acceder de forma repetida y fallida (por ejemplo, poniendo mal la contraseña de SSH o de WordPress), lo bloquea automáticamente durante un tiempo.

Piensa en Fail2ban como el guardia de seguridad que, después de ver a la misma persona intentando forzar la cerradura varias veces, le dice: "Lo siento, no puedes pasar durante una hora". Esto es increíblemente efectivo para detener ataques de fuerza bruta.

Aunque no es un firewall de red tradicional (como iptables), cumple la función de configurar firewall Plesk de forma sencilla y visual desde el panel de control. Es la herramienta que usaremos hoy.

Accediendo a la Configuración del Firewall en Plesk

Vamos a lo práctico. Para empezar a configurar firewall Plesk, sigue estos pasos:

1. Inicia sesión en Plesk. Abre tu navegador y escribe la dirección de tu servidor (ej: https://tudominio.com:8443 o https://tu-ip:8443). Introduce tu usuario y contraseña de administrador.
2. Ve al menú de Herramientas y Configuración. En la barra lateral izquierda, busca el apartado "Herramientas y Configuración". Es donde se esconden todas las opciones de administración del servidor.
3. Busca "Seguridad del servidor" o "Fail2ban". Dentro de "Herramientas y Configuración", baja hasta la sección "Seguridad". Ahí verás un icono que dice "Fail2ban" (o "Firewall" en versiones antiguas). Haz clic en él.

¡Enhorabuena! Ya has llegado al corazón de la seguridad de tu servidor. Aquí es donde podrás configurar firewall Plesk de manera sencilla.

Configuración Paso a Paso del Firewall Básico en Plesk

Una vez dentro de la interfaz de Fail2ban, verás una lista de "reglas" o "jail" (como se llaman técnicamente). Cada regla vigila un servicio específico (SSH, FTP, correo, etc.). Vamos a configurar las más importantes.

Paso 1: Activar las Reglas Esenciales

Por defecto, muchas reglas vienen desactivadas. Nuestro primer paso es activar las que nos interesan para una seguridad servidor Plesk básica.

Busca y activa (marcando la casilla o el botón) las siguientes reglas:

• ssh-ddos: Protege tu acceso por SSH (la terminal) de ataques de denegación de servicio.
• plesk-wordpress: ¡Imprescindible! Bloquea IPs que intenten acceder a wp-login.php de forma repetida.
• plesk-roundcube: Protege el webmail de Roundcube.
• plesk-horde: Protege el webmail de Horde (si lo usas).
• postfix-sasl: Bloquea intentos de acceso no autorizado a tu servidor de correo saliente.
• dovecot-pop3imap: Protege la entrada a tus buzones de correo.

[TIP]: No actives reglas que no sepas para qué sirven. Por ejemplo, si no usas un servicio llamado "proftpd", no actives su regla. Podrías bloquear tu propio acceso sin querer.

Paso 2: Configurar el Tiempo de Bloqueo y los Intentos

Cada regla tiene unos parámetros que puedes ajustar. Los más importantes son:

• findtime (ventana de tiempo): El período (en segundos) durante el cual se cuentan los intentos fallidos. Por defecto suele ser 600 (10 minutos).
• maxretry (máximo de intentos): El número de fallos permitidos dentro de ese período antes de ser bloqueado. Por defecto suele ser 5.
• bantime (tiempo de bloqueo): Cuánto tiempo (en segundos) se bloquea a la IP infractora. Por defecto suele ser 600 (10 minutos). Puedes subirlo a 3600 (1 hora) o incluso 86400 (24 horas) para mayor seguridad.

Para modificar estos valores en la interfaz de Plesk, normalmente tienes que hacer clic en el nombre de la regla o en un icono de configuración (a veces un engranaje). Se abrirá una ventana donde podrás cambiar estos números.

[WARNING]: No pongas un bantime demasiado largo al principio. Si te equivocas al configurar algo y te bloqueas a ti mismo, tener que esperar 24 horas para recuperar el acceso es un fastidio. Empieza con 10-30 minutos.

Paso 3: Crear una Regla Personalizada (Avanzado pero útil)

A veces necesitas proteger algo que no viene por defecto. Por ejemplo, proteger el acceso a xmlrpc.php de WordPress (un archivo famoso por ser usado en ataques). Plesk te permite crear reglas personalizadas.

1. En la pantalla de Fail2ban, busca un botón que diga "Añadir regla" o "Crear jail personalizado".
2. Dale un nombre, por ejemplo: wordpress-xmlrpc.
3. En el campo "Filtro", tendrás que pegar una expresión regular. No te preocupes, puedes buscar en internet "fail2ban filter xmlrpc" y copiar una. Un ejemplo básico sería:
   failregex = ^<HOST> .*POST .*xmlrpc\.php.* 200
4. En "Acción", selecciona iptables-multiport (o similar).
5. Configura findtime, maxretry y bantime como antes (ej: 600 segundos, 3 intentos, 3600 segundos de bloqueo).
6. Guarda la regla.

¡Listo! Ahora Fail2ban también bloqueará a los que abusen de xmlrpc.php.

Lista Blanca y Lista Negra: Quién Entra y Quién No

El firewall no solo sirve para bloquear, también para permitir. En Plesk, puedes gestionar listas blancas y negras de IPs.

• Lista Blanca (Whitelist): IPs que nunca serán bloqueadas, aunque fallen muchas veces. Es útil para tu propia IP de casa o la de tu oficina.
• Lista Negra (Blacklist): IPs que siempre estarán bloqueadas, sin importar lo que hagan. Útil si sabes que una IP es maliciosa.

Para acceder a estas listas, dentro de la interfaz de Fail2ban, busca una pestaña o sección llamada "Lista blanca" o "IPs permitidas". Ahí puedes añadir direcciones IP (ej: 192.168.1.100) o rangos completos (ej: 192.168.1.0/24).

[INFO]: Siempre es buena práctica añadir tu propia IP a la lista blanca. Así, si te equivocas al configurar algo, no te quedarás fuera de tu propio servidor. Para saber tu IP pública, solo tienes que buscar "cuál es mi ip" en Google.

Preguntas Frecuentes (FAQ) sobre el Firewall en Plesk

Aquí tienes las dudas más comunes que suelen tener los principiantes al configurar firewall Plesk.

1. ¿Es necesario reiniciar el servidor después de cambiar la configuración del firewall?

No, para nada. Fail2ban se actualiza automáticamente al guardar los cambios. No necesitas reiniciar nada. Es una de las ventajas de usar herramientas integradas en Plesk.

2. ¿Puedo bloquear mi propio acceso por error?

Sí, es posible. Por eso es tan importante que añadas tu IP a la lista blanca antes de hacer cambios drásticos. Si te bloqueas, puedes acceder a tu servidor a través del panel de control de tu proveedor de hosting (VPS) o mediante la consola de rescate (KVM) para desactivar Fail2ban.

3. ¿Fail2ban protege contra todos los ataques?

No, pero es una capa de defensa fundamental. Protege muy bien contra ataques de fuerza bruta (intentos repetidos de acceso). Sin embargo, no protege contra otros tipos de ataques como inyección SQL o XSS. Para eso necesitas otras medidas, como mantener tu WordPress y plugins actualizados.

4. ¿Qué puertos debo dejar abiertos en el firewall del sistema (no en Plesk)?

Si usas un firewall a nivel de sistema (como UFW o CSF), debes asegurarte de que estos puertos estén abiertos para que Plesk funcione correctamente:

• 80 (HTTP): Para tráfico web normal.
• 443 (HTTPS): Para tráfico web seguro (SSL).
• 8443 (TCP): Para acceder al panel de Plesk.
• 21 (FTP): Si usas FTP para subir archivos.
• 22 (SSH): Para acceso por terminal.
• 25, 465, 587 (SMTP): Para envío de correo.
• 110, 995 (POP3): Para recepción de correo.
• 143, 993 (IMAP): Para recepción de correo.
• 2106 (TCP): Este es el puerto que usa Syspanel (antes conocido como HestiaCP) si lo tienes instalado en el mismo servidor.

[WARNING]: No cierres el puerto 8443 a menos que sepas muy bien lo que haces. ¡Es tu puerta de entrada a Plesk!

5. ¿Debo usar Fail2ban o un firewall como CSF (ConfigServer Security & Firewall)?

Ambos se complementan. CSF es un firewall más completo a nivel de red (gestiona iptables), mientras que Fail2ban es un sistema de detección de intrusiones. Muchos administradores usan ambos. Si eres principiante, empezar solo con Fail2ban es más que suficiente para una seguridad servidor Plesk básica.

Consejos Finales para Mantener tu Servidor Protegido

Configurar el firewall es un gran paso, pero no el único. Aquí tienes algunos consejos extra para proteger Plesk a largo plazo:

1. Mantén Plesk actualizado: Instala siempre las últimas actualizaciones de seguridad que Plesk te ofrezca.
2. Usa contraseñas fuertes: Tanto para el acceso a Plesk como para los usuarios de FTP, bases de datos y SSH. Una contraseña segura es larga, con mayúsculas, minúsculas, números y símbolos.
3. Activa la autenticación en dos pasos (2FA): Plesk lo permite. Es una capa extra de seguridad que te pedirá un código de tu móvil además de tu contraseña.
4. Revisa los logs: De vez en cuando, echa un vistazo a los logs de Fail2ban para ver qué IPs están siendo bloqueadas. Es una buena forma de entender qué tipo de ataques recibe tu servidor.
5. Haz copias de seguridad: Un firewall no protege contra un error humano o un fallo del disco duro. Asegúrate de tener copias de seguridad periódicas de tus sitios web y de la configuración del servidor.

Espero que esta guía te haya sido de gran ayuda. Recuerda, la seguridad es un proceso, no un destino. Empieza con lo básico, como este firewall básico en Plesk, y ve añadiendo más capas de protección con el tiempo. Si tienes alguna duda, no dudes en consultar la documentación oficial de Plesk o preguntar a tu proveedor de hosting. ¡Tu servidor te lo agradecerá!