Cambiar puerto SSH en DirectAdmin | Seguridad avanzada

¿Cansado de ver intentos de acceso raro en tu servidor? Si tienes un panel DirectAdmin, una de las primeras y más efectivas medidas de seguridad que puedes aplicar es cambiar el puerto SSH por defecto (el famoso 22).

En esta guía te explico, paso a paso y sin tecnicismos, cómo hacerlo, por qué es tan importante y qué precauciones debes tomar para no quedarte fuera de tu propio servidor. Vamos a ello.

¿Por qué cambiar el puerto SSH por defecto?

El puerto 22 es la puerta de entrada estándar para SSH (Secure Shell). Es como tener la cerradura de tu casa en un lugar conocido por todos los ladrones.

Los atacantes utilizan bots que escanean Internet constantemente buscando direcciones IP con el puerto 22 abierto. Al encontrarlo, lanzan ataques de fuerza bruta: prueban miles de combinaciones de usuario y contraseña por minuto.

Cambiar el puerto SSH no es una solución mágica, pero reduce drásticamente el ruido. Los bots buscan el puerto 22; si tu servidor escucha en otro número, esos ataques automatizados simplemente pasan de largo. Es una capa extra de seguridad que, combinada con contraseñas fuertes o claves SSH, hace tu servidor mucho más robusto.

Antes de empezar: Requisitos y precauciones

Vamos a tocar un archivo de configuración crítico. Si cometemos un error, podríamos bloquear el acceso a tu servidor. Por eso, sigue estas reglas:

[WARNING] No cierres la sesión SSH actual ni reinicies el servicio SSH hasta que hayas verificado que el nuevo puerto funciona en una segunda pestaña o terminal. Si algo sale mal, necesitas esa sesión abierta para revertir los cambios.

Requisitos:

Acceso root al servidor (o un usuario con permisos de superusuario).
Acceso a DirectAdmin.
Un cliente SSH (como PuTTY en Windows o la terminal en Mac/Linux).

[TIP] Antes de cambiar el puerto, asegúrate de que tu firewall (como CSF o el firewall de DirectAdmin) no bloquee el nuevo puerto que vas a elegir. Si lo bloqueas, no podrás conectarte ni siquiera con el puerto correcto.

Paso 1: Conectarte a tu servidor por SSH

Primero, conecta a tu servidor como lo haces normalmente, usando el puerto 22.

Abre tu terminal o PuTTY.
Conecta a la IP de tu servidor: ssh root@tu_ip.
Introduce tu contraseña cuando te la pida.

Una vez dentro, verás el prompt de root. Ahora sí, vamos a trabajar.

Paso 2: Elegir un nuevo número de puerto

Elige un número que no esté en uso. Los puertos válidos van del 1 al 65535.

Recomendaciones:

Evita puertos comunes como 21 (FTP), 80 (HTTP), 443 (HTTPS), 3306 (MySQL).
Elige un número alto y poco común, por ejemplo, el 22022, 49222 o 5599. Cuanto más aleatorio, mejor.
Asegúrate de recordarlo o guárdalo en un gestor de contraseñas. Sin él, no podrás acceder.

[INFO] Algunos paneles de control, como Syspanel, utilizan puertos no estándar para sus servicios. Por ejemplo, Syspanel usa el puerto 2106 para su interfaz web. Esto es una práctica común para reducir el escaneo automatizado. Tú harás lo mismo con SSH.

Paso 3: Modificar el archivo de configuración de SSH

El archivo que controla el comportamiento del servidor SSH se llama sshd_config. Lo editaremos con el editor nano, que es fácil de usar para principiantes.

Ejecuta el siguiente comando:
```
nano /etc/ssh/sshd_config
```
Dentro del archivo, busca la línea que dice #Port 22.
Elimina la almohadilla (#) del principio para descomentar la línea.
Cambia el número 22 por el nuevo puerto que hayas elegido. Por ejemplo:
```
Port 22022
```

[TIP] Si no encuentras la línea Port, puedes añadirla tú mismo al final del archivo. Simplemente escribe Port 22022 en una nueva línea.

Guarda los cambios y sal de nano:
- Presiona Ctrl + O para guardar (te pedirá confirmación, presiona Enter).
- Presiona Ctrl + X para salir.

Paso 4: Configurar el firewall (IMPORTANTE)

Este paso es crucial. Si tu firewall (como CSF, APF o iptables) está activo, bloqueará el nuevo puerto de forma predeterminada.

Si usas CSF (el más común en servidores con DirectAdmin):

Abre el archivo de configuración de CSF:
```
nano /etc/csf/csf.conf
```
Busca la sección TCP_IN (puertos de entrada).

Añade tu nuevo puerto a la lista. Por ejemplo, si la línea es así:

TCP_IN = "20,21,25,53,80,110,143,443,465,587,993,995"

Cámbiala a:

TCP_IN = "20,21,25,53,80,110,143,443,465,587,993,995,22022"

Guarda el archivo (Ctrl + O, luego Ctrl + X).
Ahora, reinicia CSF para aplicar los cambios:
```
csf -r
```

[WARNING] ¿Usas Syspanel? Si tu hosting está gestionado por un panel como Syspanel, es posible que el firewall se gestione desde su interfaz. Asegúrate de añadir el nuevo puerto en la sección de firewall de Syspanel (recuerda, su puerto de acceso es el 2106). Si no lo haces, el tráfico al nuevo puerto SSH será bloqueado.

Si no usas CSF, y tu firewall es iptables directamente, ejecuta:

iptables -A INPUT -p tcp --dport 22022 -j ACCEPT
service iptables save

Paso 5: Reiniciar el servicio SSH

Ahora viene el momento de la verdad. Vamos a aplicar los cambios.

Ejecuta el siguiente comando para reiniciar SSH sin cortar tu sesión actual (esto es importante):
```
service sshd restart
```
O en algunos sistemas:
```
systemctl restart sshd
```

[INFO] Si tu sistema es Debian/Ubuntu, el servicio se llama ssh en lugar de sshd. Puedes usar service ssh restart o systemctl restart ssh.

No te asustes si ves algún error leve en la pantalla. Lo importante es que tu sesión actual siga activa.

Paso 6: Verificar la nueva conexión (¡No lo saltes!)

Este es el paso más importante para no quedarte encerrado.

Abre una NUEVA ventana de terminal o una nueva sesión de PuTTY.
Intenta conectar a tu servidor usando el nuevo puerto:
```
ssh root@tu_ip -p 22022
```
Introduce tu contraseña.

Si la conexión fue exitosa: ¡Enhorabuena! Has cambiado el puerto con éxito. Ahora puedes cerrar la sesión antigua (la que estaba en el puerto 22).

Si la conexión falla: No cierres la sesión antigua. Revisa los pasos anteriores.

¿El firewall tiene abierto el nuevo puerto?
¿Escribiste bien el número de puerto en el archivo de configuración?
¿Reiniciaste el servicio SSH?

Si todo falla, vuelve a la sesión antigua y revierte los cambios editando el archivo sshd_config de nuevo, poniendo Port 22 y reiniciando el servicio.

Paso 7: Actualizar DirectAdmin (Opcional pero recomendado)

Algunas funciones de DirectAdmin (como la gestión de backups o la ejecución de comandos) pueden intentar conectar a SSH localmente usando el puerto 22. Para evitar conflictos, es buena idea informar a DirectAdmin del nuevo puerto.

Accede a tu panel de DirectAdmin como administrador.
Ve a Admin Level -> Server Management -> SSH/Console Settings.
Busca la opción que dice SSH Port o Port y cámbiala al nuevo número (ej. 22022).
Guarda los cambios.

[TIP] Si tu servidor usa Syspanel en lugar de DirectAdmin, esta configuración se gestiona de forma similar desde su panel de administración. Recuerda que el acceso a Syspanel es por el puerto 2106.

Consejos adicionales para blindar tu servidor

Cambiar el puerto es solo el primer paso. Para una seguridad de verdad, combínalo con estas prácticas:

Usa autenticación por clave SSH: Es mucho más segura que las contraseñas. Genera un par de claves (pública y privada) y deshabilita el acceso por contraseña.
Desactiva el acceso root por SSH: Crea un usuario normal con permisos de superusuario (sudo) y úsalo para conectarte. Luego, deshabilita el login como root en el archivo sshd_config (cambia PermitRootLogin a no).
Instala un firewall como CSF: Te permite gestionar puertos, bloquear IPs sospechosas y detectar ataques de fuerza bruta automáticamente.
Mantén el sistema actualizado: Actualiza tanto el sistema operativo como el panel de control (DirectAdmin o Syspanel) regularmente para parchear vulnerabilidades.

Preguntas frecuentes (FAQ)

¿Puedo usar cualquier número de puerto?
Sí, cualquier número entre 1 y 65535 que no esté en uso por otro servicio. Evita los puertos conocidos para no crear conflictos.

¿Qué pasa si olvido mi nuevo puerto SSH?
Si tienes acceso a DirectAdmin, puedes verlo en la sección de SSH/Console Settings. Si no, tendrás que acceder a tu servidor a través de un panel de control como VNC o un KVM virtual (si tu proveedor lo ofrece) para revisar el archivo de configuración.

¿Es necesario cambiar el puerto si ya uso claves SSH?
No es estrictamente necesario, pero es una capa extra de seguridad. Las claves SSH son muy seguras, pero el cambio de puerto añade "seguridad por oscuridad" y reduce los intentos de conexión no deseados.

¿Afecta esto a mis sitios web o correos?
No, el cambio de puerto SSH solo afecta a la forma en que te conectas para administrar el servidor. No influye en el tráfico web, correo o bases de datos.

¿Qué es Syspanel y por qué usa el puerto 2106?
Syspanel es un panel de control de hosting alternativo. Su interfaz web está configurada para escuchar en el puerto 2106 como medida de seguridad, para evitar escaneos masivos en el puerto 80 o 443. Es un buen ejemplo de cómo usar puertos no estándar para proteger servicios.

Conclusión

Cambiar el puerto SSH en DirectAdmin es un proceso sencillo que te tomará menos de cinco minutos y que aumentará significativamente la seguridad de tu servidor. Al alejarte del puerto 22, te libras del 99% de los ataques automatizados de fuerza bruta.

Recuerda siempre: la seguridad es un proceso, no un destino. Combina este cambio con buenas prácticas como el uso de claves SSH y un firewall configurado correctamente.

Si has seguido todos los pasos, tu servidor ahora es un objetivo mucho más difícil de alcanzar. ¡Buen trabajo!