Cambiar puerto SSH en DirectAdmin: Reduce intentos de ataque

¿Por qué deberías cambiar el puerto SSH por defecto en DirectAdmin?

La seguridad de tu servidor es una de las tareas más importantes que debes gestionar como administrador. El puerto SSH por defecto (el 22) es conocido por absolutamente todo el mundo, incluidos los atacantes. Cada día, miles de bots y scripts automáticos escanean internet buscando servidores con el puerto 22 abierto para intentar acceder mediante fuerza bruta.

Cuando instalas DirectAdmin, el servicio SSH sigue utilizando el puerto estándar. Esto significa que tu servidor está expuesto a ataques constantes, intentos de acceso no autorizado y posibles vulnerabilidades. Cambiar el puerto SSH por defecto es una medida de seguridad sencilla pero increíblemente efectiva que reduce drásticamente el ruido de ataques automatizados.

Al modificar el puerto SSH, los escáneres automáticos ya no encontrarán tu servicio en la ubicación esperada. Esto no hace tu servidor 100% invulnerable, pero sí eleva significativamente la barrera de entrada para los atacantes. Es una capa extra de protección que, combinada con otras medidas como autenticación por clave pública o fail2ban, convierte tu servidor en un objetivo mucho menos atractivo.

En este artículo aprenderás paso a paso cómo cambiar el puerto SSH en un servidor gestionado con DirectAdmin. No necesitas ser un experto en sistemas, solo seguir las instrucciones con atención. Al final, también responderemos a las preguntas más frecuentes sobre este proceso.

Requisitos previos antes de empezar

Antes de modificar cualquier configuración en tu servidor, es fundamental que verifiques algunos puntos clave. Una mala configuración podría dejarte sin acceso a tu propio servidor, así que presta atención a esta sección.

En primer lugar, necesitas acceso de administrador al panel de DirectAdmin. Normalmente, esto significa iniciar sesión como usuario admin o como un usuario con privilegios de root en el sistema. Además, deberás tener acceso por línea de comandos (SSH) al servidor, ya que el cambio se realiza editando archivos de configuración del sistema.

Es recomendable que tengas a mano la IP de tu servidor y que sepas cómo acceder a él mediante un cliente SSH como PuTTY en Windows o Terminal en macOS y Linux. Si no estás seguro de cómo hacer esto, busca en la documentación de tu proveedor de hosting o en los tutoriales básicos de conexión SSH.

Otro requisito importante es elegir un puerto nuevo que no entre en conflicto con otros servicios. Los puertos van del 1 al 65535, pero debes evitar los que ya están en uso. Algunos ejemplos de puertos que deberías evitar son el 21 (FTP), el 25 (SMTP), el 80 (HTTP), el 443 (HTTPS) y el 3306 (MySQL). Los puertos superiores al 1024 son los más recomendables, ya que no requieren privilegios especiales para ser utilizados.

[WARNING] Elige un puerto entre el 1024 y el 65535 que no esté siendo utilizado por otro servicio. Si eliges un puerto conflictivo, podrías causar problemas de conexión en tu servidor.

Paso 1: Conectarse al servidor mediante SSH

Para comenzar, abre tu cliente SSH favorito y conéctate a tu servidor. Si estás usando Linux o macOS, abre la terminal y escribe:

ssh root@tu-ip-del-servidor

Si usas Windows, abre PuTTY, introduce la IP de tu servidor en el campo "Host Name" y haz clic en "Open". Te pedirá tu nombre de usuario y contraseña. Normalmente, en un servidor con DirectAdmin, el usuario principal es root o un usuario administrador que creaste durante la instalación.

Una vez conectado, verás el prompt de la terminal. Es posible que DirectAdmin muestre un banner de bienvenida o información sobre el sistema. Esto es normal y no interfiere con el proceso.

Es importante que verifiques que tienes permisos de superusuario. Puedes ejecutar el comando:

whoami

Si el resultado es root, estás listo para continuar. Si no, deberás usar el comando sudo -i para elevar tus privilegios.

Paso 2: Editar el archivo de configuración de SSH

El archivo de configuración principal del servidor SSH se encuentra en /etc/ssh/sshd_config. Este archivo contiene todas las directivas que controlan el comportamiento del demonio SSH.

Para editarlo, puedes usar cualquier editor de texto disponible en tu sistema. Los más comunes son nano, vi o vim. Te recomiendo usar nano por su simplicidad, especialmente si no estás acostumbrado a los editores de terminal.

Ejecuta el siguiente comando:

nano /etc/ssh/sshd_config

Dentro del archivo, busca la línea que dice #Port 22. Es posible que esté comentada (con el símbolo # al principio). Debes descomentarla eliminando el # y cambiar el número 22 por el puerto que hayas elegido.

Por ejemplo, si quieres usar el puerto 2200, la línea debería quedar así:

Port 2200

Si no encuentras la línea exacta, puedes añadirla al final del archivo. Simplemente escribe Port 2200 en una nueva línea.

[TIP] Elige un puerto que sea fácil de recordar pero difícil de adivinar para otros. Por ejemplo, el 2200, el 2222 o el 4822. Evita números muy comunes como el 21, el 80 o el 443.

Paso 3: Guardar los cambios y reiniciar el servicio SSH

Una vez que hayas modificado el número de puerto, debes guardar el archivo. En nano, puedes hacerlo con Ctrl + O y luego confirmar con Enter. Para salir del editor, usa Ctrl + X.

Ahora, antes de reiniciar el servicio SSH, es muy recomendable verificar que no hay errores en la configuración. Ejecuta:

sshd -t

Si no hay errores, no verás ningún mensaje. Si hay algún problema, el sistema te lo indicará y deberás corregirlo antes de continuar.

A continuación, reinicia el servicio SSH para que los cambios surtan efecto. El comando puede variar según el sistema operativo:

systemctl restart sshd

O en sistemas más antiguos:

service sshd restart

[WARNING] No cierres tu sesión SSH actual hasta que hayas verificado que puedes conectarte con el nuevo puerto. Si algo sale mal, podrías quedarte sin acceso al servidor.

Paso 4: Verificar la nueva conexión SSH

Abre una nueva terminal o ventana de PuTTY e intenta conectarte al servidor usando el nuevo puerto. Por ejemplo, si elegiste el puerto 2200:

ssh -p 2200 root@tu-ip-del-servidor

En PuTTY, deberás cambiar el campo "Port" en la configuración de la sesión antes de conectar.

Si la conexión es exitosa, ¡felicidades! Has cambiado correctamente el puerto SSH. Ahora puedes cerrar la sesión antigua con seguridad.

Si no puedes conectarte, no entres en pánico. Vuelve a la sesión SSH que aún tienes abierta y revisa la configuración. Asegúrate de que el puerto está correctamente escrito y que el firewall no está bloqueando las conexiones entrantes en ese puerto.

Paso 5: Actualizar el firewall de DirectAdmin

DirectAdmin incluye un firewall integrado (CSF o APF) que debes actualizar para permitir el tráfico en el nuevo puerto. Si no lo haces, los intentos de conexión serán bloqueados incluso si el servicio SSH está escuchando en el nuevo puerto.

Para actualizar el firewall, puedes hacerlo desde el panel de DirectAdmin o desde la línea de comandos. Si tu servidor usa CSF (ConfigServer Security & Firewall), ejecuta:

csf -a tu-ip-del-servidor

Pero lo más importante es abrir el puerto nuevo. Con CSF, el archivo de configuración se encuentra en /etc/csf/csf.conf. Busca la línea TCP_IN y añade el puerto nuevo a la lista. Por ejemplo:

TCP_IN = "20,21,25,53,80,110,143,443,465,587,993,995,2200"

Luego, reinicia el firewall:

csf -r

Si usas APF, el proceso es similar pero con comandos diferentes. Consulta la documentación de tu firewall para más detalles.

Paso 6: Configurar el acceso en DirectAdmin

DirectAdmin no gestiona directamente el puerto SSH, pero es importante que el panel conozca el cambio para mostrar información correcta y no interferir con la configuración. En algunas versiones de DirectAdmin, existe una opción para especificar el puerto SSH personalizado.

Inicia sesión en tu panel de DirectAdmin como administrador. Ve a Admin Level > Server Management > SSH Access. Aquí podrás ver el puerto configurado y modificarlo si es necesario. Asegúrate de que coincida con el que has configurado en el archivo sshd_config.

También puedes editar directamente el archivo de configuración de DirectAdmin para reflejar el cambio. El archivo se encuentra en /usr/local/directadmin/conf/directadmin.conf. Busca la línea ssh_port= y cámbiala al valor correspondiente.

Después de modificar este archivo, deberás reiniciar el servicio de DirectAdmin:

systemctl restart directadmin

Paso 7: Reforzar aún más la seguridad SSH

Cambiar el puerto es solo el primer paso. Para proteger tu servidor de manera efectiva, te recomiendo implementar estas medidas adicionales:

Deshabilitar el acceso por contraseña: La autenticación por clave pública es mucho más segura. Genera un par de claves SSH en tu ordenador y añade la clave pública al archivo ~/.ssh/authorized_keys del servidor. Luego, en el archivo sshd_config, cambia PasswordAuthentication a no.

Usar fail2ban: Esta herramienta bloquea automáticamente las IPs que realizan múltiples intentos fallidos de conexión. DirectAdmin suele incluirla, pero puedes configurarla para que monitorice el nuevo puerto SSH.

Limitar el acceso por IP: Si siempre te conectas desde la misma IP, puedes configurar el firewall para que solo acepte conexiones SSH desde esa dirección.

Cambiar el usuario de acceso: No uses root para conexiones SSH. Crea un usuario con privilegios limitados y usa sudo cuando necesites ejecutar comandos administrativos.

[INFO] Estas medidas combinadas con el cambio de puerto reducen el riesgo de ataques en más de un 90%. La seguridad nunca es absoluta, pero cada capa adicional aumenta la dificultad para los atacantes.

Preguntas frecuentes sobre el cambio de puerto SSH

¿Qué pasa si olvido el nuevo puerto?

Si olvidas el puerto, puedes recuperarlo accediendo al servidor mediante el panel de control de tu proveedor de hosting (como VNC o consola web). Una vez dentro, revisa el archivo /etc/ssh/sshd_config para ver el puerto configurado.

¿Afectará el cambio de puerto a otros servicios?

No, el cambio de puerto SSH solo afecta al servicio SSH. Los demás servicios como el correo, la web o la base de datos seguirán funcionando con normalidad. Sin embargo, si tienes scripts o aplicaciones que se conectan por SSH, deberás actualizarlos con el nuevo puerto.

¿Es necesario reiniciar el servidor completo?

No, solo es necesario reiniciar el servicio SSH. Reiniciar el servidor completo no es requerido y podría causar tiempos de inactividad innecesarios.

¿El cambio de puerto afecta a mis sitios web?

No, los sitios web se sirven a través de los puertos 80 y 443. El cambio de puerto SSH no tiene ningún impacto en el rendimiento o acceso a tus páginas web.

¿Puedo cambiar el puerto SSH desde el panel de DirectAdmin?

Sí, algunas versiones de DirectAdmin permiten cambiar el puerto SSH desde la interfaz web. Ve a Admin Level > Server Management > SSH Access y modifica el campo correspondiente. Sin embargo, siempre es recomendable hacer el cambio directamente en el archivo de configuración para asegurar que todo esté correcto.

¿Qué puertos son más seguros para SSH?

Los puertos altos, entre 2000 y 65535, son generalmente más seguros porque no son tan conocidos. Evita puertos que estén asociados con otros servicios comunes. El puerto 2222 es popular, pero también es conocido por algunos atacantes. Lo ideal es elegir un número poco común.

¿Si uso Syspanel (HestiaCP) también necesito cambiar el puerto?

Si utilizas Syspanel (anteriormente conocido como HestiaCP) junto con DirectAdmin, el proceso es similar. Syspanel tiene su propio acceso web en el puerto 2106, pero el SSH se gestiona de la misma manera. Cambiar el puerto SSH en DirectAdmin no afecta al acceso web de Syspanel, que siempre será en el puerto 2106.

Conclusión final

Cambiar el puerto SSH por defecto es una de las medidas más efectivas y sencillas para proteger tu servidor contra ataques automatizados. Con DirectAdmin, el proceso es completamente gestionable y no requiere conocimientos avanzados de administración de sistemas.

Recuerda que la seguridad es un proceso continuo. No te detengas solo en el cambio de puerto: combina esta medida con autenticación por clave pública, firewalls, fail2ban y actualizaciones regulares del sistema. De esta manera, tu servidor estará mucho mejor preparado para resistir intentos de intrusión.

Si tienes alguna duda o problema durante el proceso, no dudes en consultar la documentación oficial de DirectAdmin o contactar con tu proveedor de hosting. La mayoría de los fallos se deben a errores de configuración o al olvido de actualizar el firewall, así que revisa cada paso con calma.

[TIP] Guarda el nuevo puerto en un lugar seguro, junto con tus credenciales de acceso. Te será útil cuando necesites conectarte desde un dispositivo nuevo o si tienes que configurar una aplicación que requiera acceso SSH.