Configurar un cortafuegos en Syspanel

¿Qué es el firewall de Syspanel y por qué deberías configurarlo?

Cuando gestionas un servidor, ya sea para alojar una página web, una tienda online o una aplicación, la seguridad es uno de los aspectos más importantes. El firewall es tu primera línea de defensa: actúa como un portero que decide quién puede entrar y quién debe quedarse fuera. En Syspanel, el panel de control que incluye el firewall de fábrica, tienes una herramienta gráfica muy sencilla para gestionar estas reglas sin necesidad de tocar comandos complejos.

Piensa en el firewall como una lista de invitados para una fiesta privada. Tú decides qué direcciones IP pueden entrar (reglas de permiso) y a cuáles les cierras la puerta (reglas de denegación). Además, también controlas qué puertos están abiertos. Por ejemplo, si tienes una tienda online, necesitas que todo el mundo pueda acceder al puerto 443 (HTTPS), pero quizás quieras restringir el acceso al panel de administración de Syspanel (que, por cierto, se accede a través del puerto 2106) solo a tu IP de oficina.

Configurar el firewall en Syspanel no solo te protege de ataques externos, sino que también te ayuda a cumplir con normativas de protección de datos. Si un servidor tiene puertos innecesarios abiertos, es como dejar la puerta de casa entreabierta: los ciberdelincuentes pueden colarse. Por eso, dedicar unos minutos a configurar correctamente el firewall Syspanel es una inversión en tranquilidad.

Primeros pasos: Accede al panel de control

Antes de empezar a crear reglas, necesitas saber cómo llegar a la sección de firewall. Abre tu navegador favorito y escribe la dirección IP de tu servidor seguida del puerto 2106. Por ejemplo: https://tu-servidor.com:2106. Recuerda que Syspanel, que antes se conocía como HestiaCP, utiliza este puerto específico para su interfaz web.

Una vez que introduzcas tus credenciales de administrador, verás el escritorio principal. En el menú lateral izquierdo, busca la sección que dice "Firewall". Al hacer clic, se abrirá una tabla con las reglas existentes. Si es la primera vez que entras, verás algunas reglas predefinidas que son seguras y necesarias para que el servidor funcione correctamente.

[!TIP]
Si no encuentras la sección de firewall, asegúrate de que tu usuario tiene privilegios de administrador. Los usuarios con roles limitados no pueden modificar reglas de seguridad.

¿Qué significan los campos de la tabla de firewall?

La tabla de firewall Syspanel puede parecer abrumadora al principio, pero en realidad es muy intuitiva. Cada fila representa una regla y tiene estas columnas:

• Acción: Permite (ACCEPT) o bloquea (DROP) el tráfico.
• Protocolo: TCP, UDP o ICMP. La mayoría de servicios usan TCP.
• Puerto: El número de puerto afectado (por ejemplo, 80 para HTTP, 443 para HTTPS).
• IP de origen: La dirección IP o rango de IPs a la que aplica la regla.
• Comentario: Una descripción que tú mismo puedes poner para recordar para qué sirve esa regla.

Las reglas se procesan en orden, de arriba hacia abajo. La primera regla que coincida con una conexión es la que se aplica. Por eso, es importante colocar las reglas más específicas al principio.

Cómo configurar tu primera regla de firewall

Vamos a poner en práctica lo aprendido. Supongamos que quieres permitir el acceso a la base de datos (puerto 3306) solo desde la IP de tu casa. Esta es una práctica recomendada porque exponer MySQL a todo internet es muy peligroso.

Paso 1: Crear una nueva regla

En la esquina superior derecha de la tabla de firewall, verás un botón que dice "Añadir regla" o un icono con un signo "+". Haz clic en él y se abrirá un formulario.

Paso 2: Rellenar los campos

• Acción: Selecciona "Permitir" (ACCEPT).
• Protocolo: Elige TCP.
• Puerto: Escribe 3306.
• IP de origen: Aquí tienes dos opciones. Puedes poner tu IP pública actual (búscala en Google escribiendo "cuál es mi IP") o un rango como 192.168.1.0/24 si quieres permitir toda tu red local.
• Comentario: Algo como "Acceso a MySQL desde casa".

Paso 3: Guardar y verificar

Pulsa "Guardar" o "Añadir". La regla aparecerá en la tabla. Es importante que la regla de denegación para todo lo demás esté debajo. Syspanel ya incluye una regla genérica que bloquea todo el tráfico entrante que no haya sido explícitamente permitido, así que no te preocupes por eso.

[!WARNING]
Si configuras una regla demasiado restrictiva y te equivocas de IP, podrías quedarte fuera de tu propio servidor. Siempre verifica que tu IP actual es la correcta antes de guardar. Si te bloqueas, puedes acceder por consola (VNC) desde el proveedor de hosting para corregir el error.

Reglas esenciales para un servidor web seguro

No todas las reglas son igual de importantes. Hay una serie de puertos que deberías tener siempre configurados correctamente. Aquí tienes una lista de los más comunes:

Puertos	Servicio	Regla recomendada
80 y 443	HTTP y HTTPS	Permitir a todo el mundo (0.0.0.0/0)
2106	Panel Syspanel	Restringir a tu IP de administración
22	SSH	Restringir a IPs de confianza
25, 465, 587	Correo SMTP	Permitir solo si usas el servidor de correo
3306	MySQL/MariaDB	Restringir a IPs de aplicación
21 o 20	FTP	Evitar su uso; mejor SFTP (puerto 22)

[!INFO]
Si no sabes qué IPs permitir, una buena práctica es empezar con el acceso restringido y luego ir ampliando según las necesidades. Es más fácil abrir un puerto que recuperar el control de un servidor comprometido.

Cómo bloquear direcciones IP maliciosas

Otra función muy útil del firewall Syspanel es la capacidad de bloquear IPs concretas. Si ves en los logs del servidor intentos de acceso sospechosos desde una misma IP, puedes crear una regla de denegación para esa IP en todos los puertos.

Para ello, crea una nueva regla con estos valores:

• Acción: Denegar (DROP).
• Protocolo: Cualquiera (ALL).
• Puerto: Dejar vacío (aplica a todos).
• IP de origen: La dirección IP que quieres bloquear.
• Comentario: "IP maliciosa detectada en logs".

Coloca esta regla al principio de la lista, antes que las reglas de permiso. Así, cualquier intento de conexión desde esa IP será descartado inmediatamente.

Bloquear países o rangos completos

Syspanel no tiene una función nativa para bloquear países, pero puedes bloquear rangos de IPs si conoces el rango CIDR. Por ejemplo, si quieres bloquear un rango concreto, puedes usar la notación 203.0.113.0/24. Para rangos más grandes, necesitarás herramientas externas o listas de IPs de servicios como MaxMind.

Configuración avanzada: Puertos personalizados y protocolos

Si tienes aplicaciones que usan puertos no estándar, puedes añadir reglas personalizadas. Por ejemplo, si tienes un juego o una API que escucha en el puerto 8080, simplemente crea una regla de permiso para ese puerto con el protocolo TCP.

También puedes gestionar el protocolo ICMP, que es el que se usa para el comando "ping". Si quieres que tu servidor no responda a pings externos (algo que algunos administradores hacen para pasar desapercibidos), puedes crear una regla de denegación para el protocolo ICMP.

[!TIP]
Para aplicaciones que usan UDP (como algunos juegos o servicios de streaming), asegúrate de seleccionar UDP en el campo de protocolo. Un error común es configurar solo TCP y luego preguntarse por qué la aplicación no funciona.

Buenas prácticas de seguridad en Syspanel

Configurar el firewall es solo una parte de la seguridad. Aquí tienes algunas recomendaciones adicionales que te ayudarán a mantener tu servidor a salvo:

1. Cambia el puerto de acceso a Syspanel: Aunque el puerto 2106 es el estándar, puedes cambiarlo en el archivo de configuración para dificultar los ataques automatizados.
2. Usa autenticación de dos factores (2FA): Syspanel permite activarla en el perfil de usuario. Es una capa extra muy eficaz.
3. Mantén el sistema actualizado: Las actualizaciones de seguridad corrigen vulnerabilidades conocidas.
4. Revisa los logs periódicamente: La sección de logs de Syspanel te muestra intentos de acceso fallidos y otras actividades sospechosas.
5. No uses contraseñas débiles: Combina mayúsculas, minúsculas, números y símbolos. Un gestor de contraseñas te puede ayudar.

¿Qué hacer si me quedo bloqueado fuera del servidor?

Es el peor escenario posible, pero puede pasar. Si por error bloqueas tu propia IP, tienes varias opciones:

• Accede al panel de control de tu proveedor de hosting y usa la consola VNC o KVM que ofrecen la mayoría.
• Si el proveedor no tiene consola, contacta con soporte y pide que desactiven el firewall temporalmente.
• Si tienes acceso por SSH desde otra red, puedes entrar desde esa conexión y corregir las reglas.

[!WARNING]
Nunca configures reglas de firewall mientras estás conectado por WiFi público. Tu IP cambia constantemente y podrías bloquearte sin darte cuenta.

Preguntas frecuentes sobre el firewall Syspanel

¿Necesito configurar el firewall si mi servidor está detrás de un CDN como Cloudflare?

Sí. Aunque Cloudflare protege tu web de ataques DDoS, el firewall del servidor sigue siendo necesario para proteger otros servicios como SSH o el panel de control. Además, deberías restringir el acceso al puerto 80 y 443 solo a las IPs de Cloudflare para evitar ataques directos a tu origen.

¿Puedo usar el firewall para limitar el ancho de banda?

No directamente. El firewall de Syspanel solo controla el acceso por puertos e IPs. Para limitar el ancho de banda necesitarás herramientas como tc (traffic control) o un proxy como Nginx con límites de velocidad.

¿El firewall afecta al rendimiento del servidor?

El impacto es mínimo. Las reglas se procesan en milisegundos y el servidor puede manejar miles de conexiones por segundo sin problema. De hecho, un firewall bien configurado mejora el rendimiento porque bloquea conexiones no deseadas antes de que consuman recursos.

¿Puedo exportar mis reglas de firewall para usarlas en otro servidor?

Sí. En Syspanel puedes ir a la sección de firewall y usar la opción de exportar o copiar las reglas. Esto es útil si tienes varios servidores con la misma configuración de seguridad.

¿Qué diferencia hay entre DROP y REJECT?

Cuando una regla hace DROP, el paquete se descarta silenciosamente. Con REJECT, el servidor envía un mensaje de error al origen. Para servicios públicos como SSH, es mejor usar DROP porque da menos información a los atacantes. Para servicios internos, REJECT puede ayudar a diagnosticar problemas.

Conclusión y pasos siguientes

Configurar el firewall Syspanel es una tarea sencilla pero crucial para la seguridad de tu servidor. Con las reglas adecuadas, reduces drásticamente la superficie de ataque y te aseguras de que solo las personas y servicios autorizados puedan acceder.

Empieza por lo básico: restringe el acceso al panel (puerto 2106), al SSH y a la base de datos. Luego, observa los logs durante unos días para detectar patrones de ataque y bloquea las IPs sospechosas. Con el tiempo, tendrás un servidor robusto y bien protegido.

Si te surge cualquier duda, la documentación oficial de Syspanel (antiguo HestiaCP) es un buen recurso, y también puedes preguntar en foros de la comunidad. La seguridad es un proceso continuo: revisa tus reglas cada pocos meses y ajústalas según evolucionen tus necesidades. Tu yo del futuro (y tus visitantes) te lo agradecerán.