Configurar Firewall en DirectAdmin - Guía Rápida

¿Por qué necesitas un cortafuegos en tu servidor con DirectAdmin?

Cuando tienes un servidor con DirectAdmin, este se convierte en el corazón de tus sitios web, correos electrónicos y bases de datos. Sin embargo, al estar expuesto a Internet, también se convierte en un objetivo para ataques maliciosos, escaneos de puertos y accesos no autorizados. Un cortafuegos (firewall) actúa como un guardia de seguridad que decide qué tráfico entra y sale de tu servidor.

Piénsalo así: sin cortafuegos, es como dejar la puerta de tu casa abierta con un cartel que dice "pase usted". Cualquiera podría intentar entrar, probar contraseñas o aprovecharse de servicios desprotegidos. Configurar un firewall en DirectAdmin no es un lujo, es una necesidad básica para garantizar la seguridad directadmin y la estabilidad de tus proyectos.

La buena noticia es que no necesitas ser un experto en redes para proteger tu servidor. DirectAdmin ofrece varias opciones para gestionar el cortafuegos, desde herramientas gráficas integradas hasta la instalación de soluciones más avanzadas como CSF (ConfigServer Security & Firewall). En esta guía, te explicaré paso a paso cómo configurar un firewall, qué opciones tienes y cómo evitar los errores más comunes.

¿Qué opciones de firewall tienes en DirectAdmin?

DirectAdmin no incluye un cortafuegos por defecto, pero te da la libertad de elegir entre varias alternativas. Aquí te las presento de forma clara para que decidas cuál se adapta mejor a tu nivel de experiencia y necesidades.

1. CSF (ConfigServer Security & Firewall)

Es la opción más popular y recomendada para servidores con DirectAdmin. CSF es un firewall basado en iptables que además incluye un sistema de detección de intrusiones (LFD). Se integra perfectamente con DirectAdmin y puedes gestionarlo desde su interfaz gráfica.

Ventajas: Fácil de configurar desde el panel, detección automática de ataques por fuerza bruta, bloqueo de IPs sospechosas, y soporte para reglas personalizadas.
Desventajas: Puede resultar abrumador al principio por la cantidad de opciones, pero con esta guía lo dominarás.

2. Firewall básico de DirectAdmin (iptables)

DirectAdmin permite gestionar reglas básicas de iptables directamente desde el panel, en la sección "Administración de Firewall". Es útil para usuarios que solo necesitan abrir o cerrar puertos específicos sin complicaciones.

Ventajas: Sencillo, sin instalaciones adicionales, ideal para principiantes.
Desventajas: No incluye detección de intrusiones ni bloqueo automático de IPs.

3. APF (Advanced Policy Firewall)

Es una alternativa más antigua a CSF. Aunque sigue funcionando, ha quedado en desuso y no se recomienda para instalaciones nuevas. Si ya lo tienes, puedes mantenerlo, pero te aconsejo migrar a CSF.

4. Firewalld (para sistemas con systemd)

Algunos servidores con CentOS 7 o Rocky Linux usan firewalld. DirectAdmin no lo gestiona directamente, pero puedes configurarlo por línea de comandos. Si eres principiante, te recomiendo usar CSF en lugar de firewalld, ya que la integración con DirectAdmin es mucho mejor.

Cómo instalar CSF en DirectAdmin paso a paso

CSF es la herramienta que te recomiendo encarecidamente. Sigue estos pasos y tendrás tu cortafuegos activo en menos de 10 minutos.

Requisitos previos

Acceso SSH a tu servidor con permisos de root.
DirectAdmin instalado y funcionando correctamente.
Conexión estable a Internet para descargar los paquetes.

Paso 1: Accede a tu servidor por SSH

Abre tu terminal o programa favorito (como PuTTY en Windows) y conéctate a tu servidor:

ssh root@tu-ip-del-servidor

Paso 2: Descarga e instala CSF

Ejecuta los siguientes comandos en orden:

cd /usr/src
wget http://download.configserver.com/csf.tgz
tar -xzf csf.tgz
cd csf
sh install.sh

Este proceso instalará CSF y sus dependencias. Al finalizar, verás un mensaje de confirmación.

Paso 3: Verifica que CSF funcione correctamente

Ejecuta este comando para comprobar que los módulos de iptables están disponibles:

perl /usr/local/csf/bin/csftest.pl

Si todo está bien, verás un mensaje indicando que los módulos son compatibles. No te preocupes si ves algún "FAIL" en módulos que no son críticos; lo importante es que el test general pase.

Paso 4: Activa el firewall

CSF se instala en modo de prueba. Para activarlo, edita el archivo de configuración:

nano /etc/csf/csf.conf

Busca la línea que dice TESTING = "1" y cámbiala a TESTING = "0". Guarda los cambios con Ctrl + O y sal con Ctrl + X.

Ahora reinicia CSF para aplicar los cambios:

csf -r

¡Felicidades! Ya tienes tu cortafuegos activo. Pero esto es solo el principio. Ahora vamos a configurarlo correctamente.

Configuración básica de CSF en DirectAdmin

CSF viene con una configuración predeterminada bastante segura, pero es importante ajustarla a tus necesidades. Aquí te explico los ajustes más importantes.

Abre los puertos necesarios

Por defecto, CSF bloquea todos los puertos excepto los que están en la lista blanca. Debes asegurarte de que los puertos esenciales estén abiertos. Edita el archivo de configuración:

nano /etc/csf/csf.conf

Busca la sección TCP_IN y TCP_OUT. Asegúrate de que incluyan al menos estos puertos:

Puerto 22 (SSH)
Puerto 80 (HTTP)
Puerto 443 (HTTPS)
Puerto 25, 110, 143, 993 y 995 (Correo)
Puerto 2222 (Panel de DirectAdmin)

Un ejemplo de configuración sería:

TCP_IN = "22,80,443,25,110,143,993,995,2222"
TCP_OUT = "22,80,443,25,110,143,993,995,2222"

Guarda los cambios y aplica la configuración con:

csf -r

Configura la detección de intrusiones (LFD)

LFD es el sistema de detección de ataques por fuerza bruta. Se encarga de bloquear automáticamente las IPs que intenten acceder repetidamente con contraseñas incorrectas.

En el mismo archivo csf.conf, busca estas opciones y ajústalas:

LF_DAEMON = "1" → Activa el demonio LFD.
LF_SSH = "5" → Bloquea una IP después de 5 intentos fallidos de SSH.
LF_EMAIL_ALERT = "1" → Envía alertas por correo cuando se bloquea una IP.

Reinicia CSF para aplicar los cambios.

Bloquea países no deseados (opcional)

Si tu servidor solo atiende a usuarios de tu país, puedes bloquear el acceso desde otros países. Para ello, edita el archivo:

nano /etc/csf/csf.deny

Añade el código ISO del país que quieres bloquear, por ejemplo:

# Bloquear todo el tráfico desde Rusia y China
RU
CN

Guarda y reinicia CSF. Ten en cuenta que esta función requiere que tengas la base de datos GeoIP instalada.

Gestionar el firewall desde DirectAdmin

CSF se integra con DirectAdmin, lo que te permite gestionarlo desde la interfaz web sin necesidad de usar SSH. Esto es ideal si prefieres un entorno más visual.

Accede a la interfaz de CSF

Inicia sesión en DirectAdmin como administrador.
Ve a la sección "Gestión de Servidor" y busca "ConfigServer Security & Firewall".

Desde aquí puedes:

Ver las IPs bloqueadas y desbloquearlas.
Añadir IPs a la lista blanca o negra.
Ver los puertos abiertos.
Activar o desactivar servicios.
Consultar los registros de ataques bloqueados.

Cómo desbloquear una IP bloqueada por error

Es posible que LFD bloquee una IP legítima por error. Para desbloquearla:

Ve a la pestaña "IPs Bloqueadas" en la interfaz de CSF.
Busca la IP en cuestión.
Haz clic en "Eliminar" o "Desbloquear".

También puedes hacerlo desde SSH:

csf -dr IP_AFECTADA

Preguntas frecuentes sobre el firewall en DirectAdmin

¿Qué pasa si bloqueo el puerto 22 (SSH)?

¡Cuidado! Si bloqueas el puerto 22, perderás el acceso SSH a tu servidor. Asegúrate siempre de tener el puerto 22 abierto en TCP_IN y TCP_OUT. Si cometes este error, tendrás que acceder a través del panel de control de tu proveedor de hosting para desbloquearlo.

¿CSF afecta al rendimiento de mi servidor?

No, CSF es muy ligero. El impacto en el rendimiento es mínimo, especialmente en servidores con recursos suficientes. De hecho, al bloquear ataques, puede mejorar el rendimiento general.

¿Puedo usar CSF junto con otros firewalls?

No es recomendable. Tener dos firewalls activos puede causar conflictos y problemas de conectividad. Elige uno y mantenlo. Si necesitas cambiar de firewall, desinstala el anterior primero.

¿Cómo puedo saber si mi firewall está funcionando correctamente?

Puedes comprobar el estado de CSF con este comando:

csf -l

Esto te mostrará las reglas activas. También puedes visitar la interfaz de DirectAdmin y revisar los registros de ataques bloqueados.

¿Qué hago si mi servidor deja de responder al configurar el firewall?

Esto suele ocurrir si has bloqueado un puerto esencial o has configurado una regla incorrecta. Accede a tu servidor a través del panel de control de tu proveedor (por ejemplo, VNC o KVM) y desactiva CSF temporalmente:

csf -x

Luego revisa tu configuración y vuelve a activarlo con:

csf -e

Consejos finales para maximizar la seguridad directadmin

Configurar el firewall es solo el primer paso. Aquí tienes algunos consejos adicionales para blindar tu servidor:

1. Cambia el puerto SSH por defecto

Usar el puerto 22 para SSH es un imán para los atacantes. Cambia el puerto a uno no estándar, como el 22000. Edita el archivo /etc/ssh/sshd_config, cambia la línea Port 22 y reinicia el servicio SSH.

2. Activa autenticación con claves SSH

Las contraseñas son vulnerables a ataques de fuerza bruta. Configura la autenticación con claves públicas y desactiva el acceso por contraseña. Esto añade una capa extra de seguridad.

3. Mantén DirectAdmin y el sistema actualizado

Las actualizaciones incluyen parches de seguridad críticos. Configura actualizaciones automáticas para no olvidarte.

4. Usa contraseñas robustas

Tanto para el panel de DirectAdmin como para las cuentas de correo y bases de datos. Una contraseña segura debe tener al menos 12 caracteres, incluyendo mayúsculas, minúsculas, números y símbolos.

5. Monitoriza los registros periódicamente

Revisa los registros de CSF y de DirectAdmin para detectar actividades sospechosas. La prevención es la mejor defensa.

6. Considera usar un CDN

Un CDN como Cloudflare puede ocultar la IP real de tu servidor y absorber ataques DDoS. Es una capa adicional de protección muy efectiva.

Conclusión

Configurar un cortafuegos en DirectAdmin es una tarea fundamental que no deberías posponer. Con herramientas como CSF, el proceso es accesible incluso para usuarios sin experiencia técnica avanzada. Siguiendo los pasos de esta guía, tendrás tu servidor protegido contra ataques comunes, accesos no autorizados y escaneos maliciosos.

Recuerda que la seguridad directadmin no es un evento único, sino un proceso continuo. Revisa periódicamente tu configuración, mantén todo actualizado y no dudes en consultar la documentación oficial si tienes dudas. Si en algún momento te sientes perdido, siempre puedes contar con el soporte de tu proveedor de hosting o con la comunidad de DirectAdmin.

Ahora que ya sabes cómo configurar tu firewall, no esperes más. Protege tu servidor y duerme tranquilo sabiendo que tus sitios web están a salvo. ¡Manos a la obra!