Cambiar puertos SSH y FTP en DirectAdmin - Guía de seguridad

¿Por qué deberías cambiar los puertos SSH y FTP en DirectAdmin?

Cuando instalas un servidor con DirectAdmin, por defecto el servicio SSH (Secure Shell) escucha en el puerto 22 y el FTP (File Transfer Protocol) en el puerto 21. Estos son los puertos estándar que todos los atacantes del mundo conocen y escanean constantemente en busca de servidores vulnerables. Cambiar estos puertos es una de las primeras medidas de hardening directadmin que deberías aplicar, porque reduce drásticamente el ruido de ataques automatizados en tu servidor.

Piénsalo de esta manera: si vives en una casa con la puerta principal pintada de un color llamativo y con el número de calle gigante, cualquier ladrón sabe exactamente dónde intentar entrar. Al cambiar el puerto, estás moviendo la puerta a un lugar menos visible. No es una solución infalible, pero sí un obstáculo extra que desanima a la mayoría de los atacantes oportunistas.

Además, muchos escáneres de vulnerabilidades y bots maliciosos se centran exclusivamente en los puertos 22 y 21. Al usar puertos personalizados, reduces la posibilidad de ataques de fuerza bruta y de explotación de vulnerabilidades conocidas en esos servicios. En este artículo te explicaré paso a paso cómo hacer este cambio de forma segura, tanto en el panel de DirectAdmin como desde la terminal.

Requisitos previos antes de tocar cualquier configuración

Antes de lanzarte a cambiar los puertos, es fundamental que tengas en cuenta algunas cosas. Primero, necesitas acceso de root al servidor, ya sea a través de DirectAdmin o mediante SSH. Si solo tienes acceso como usuario revendedor o de correo, no podrás realizar estos cambios.

Segundo, asegúrate de tener una conexión alternativa al servidor. ¿Qué significa esto? Que si cambias el puerto SSH y te equivocas al guardar los cambios, podrías quedarte fuera de tu propio servidor. Por eso, te recomiendo que tengas acceso al panel de control de tu proveedor de hosting (como VPS o dedicado) que te permita abrir una consola web en caso de emergencia.

Tercero, es recomendable que hagas una copia de seguridad de los archivos de configuración que vamos a modificar. Esto te permitirá restaurar los cambios si algo sale mal. Los archivos que vamos a tocar son /etc/ssh/sshd_config para SSH y /etc/proftpd.conf o /etc/pure-ftpd.conf para FTP, dependiendo del servidor FTP que uses.

[WARNING] No continúes si no tienes acceso a una consola alternativa o al panel de tu proveedor. Un error aquí puede dejarte sin acceso remoto al servidor.

Cómo cambiar el puerto SSH en DirectAdmin

Opción 1: Desde el panel de DirectAdmin (recomendado para principiantes)

DirectAdmin incluye una interfaz gráfica para gestionar el firewall y algunos aspectos de seguridad. Aunque no todos los paneles tienen la opción directa de cambiar el puerto SSH, muchos sí lo permiten a través de la sección de Administración de Servicios o Configuración Avanzada. Sigue estos pasos:

Inicia sesión en DirectAdmin como administrador (usuario admin).
Ve a la sección Cuenta de Administrador y luego haz clic en Configuración de Servidor.
Busca la opción Seguridad o SSH. En algunos paneles, encontrarás un campo llamado Puerto SSH donde puedes escribir el nuevo número de puerto.
Escribe el nuevo puerto, por ejemplo, 22022. Asegúrate de que sea un número entre 1024 y 65535 para evitar conflictos con puertos reservados.
Guarda los cambios. DirectAdmin actualizará la configuración de SSH y reiniciará el servicio automáticamente.
Importante: Ahora debes actualizar las reglas del firewall para permitir el tráfico en el nuevo puerto. En DirectAdmin, ve a Firewall y añade una regla para el puerto 22022 en TCP.

[TIP] Elige un puerto que sea fácil de recordar pero difícil de adivinar. Por ejemplo, 22022, 33022 o 50022. Evita usar puertos comunes como 80, 443 o 3306, ya que podrían entrar en conflicto con otros servicios.

Opción 2: Desde la terminal (para usuarios avanzados)

Si prefieres el control total o tu versión de DirectAdmin no tiene la opción gráfica, puedes hacerlo manualmente. Conéctate al servidor por SSH usando el puerto actual (22) y sigue estos pasos:

Abre el archivo de configuración de SSH con tu editor favorito, por ejemplo: nano /etc/ssh/sshd_config.
Busca la línea que dice #Port 22 o Port 22. Si está comentada (con el símbolo # al inicio), elimina el # y cambia el número por el nuevo puerto. Por ejemplo: Port 22022.
Guarda el archivo (en nano, presiona Ctrl + O, luego Enter, y después Ctrl + X para salir).
Reinicia el servicio SSH para que los cambios surtan efecto. En la mayoría de los sistemas, el comando es: systemctl restart sshd o service sshd restart.
Ahora, abre el puerto en el firewall. Si usas iptables, ejecuta: iptables -A INPUT -p tcp --dport 22022 -j ACCEPT. Si usas firewalld, el comando sería: firewall-cmd --permanent --add-port=22022/tcp y luego firewall-cmd --reload.
Prueba la conexión desde otra terminal usando el nuevo puerto: ssh usuario@tu-servidor -p 22022.

[WARNING] No cierres la sesión actual hasta que hayas verificado que puedes conectarte con el nuevo puerto. Si falla, tendrás la sesión abierta para revertir los cambios.

Cómo cambiar el puerto FTP en DirectAdmin

El FTP es otro de los servicios más atacados. El puerto 21 es el predeterminado y es el primero que prueban los bots. Cambiarlo es igual de importante que cambiar el puerto SSH. En DirectAdmin, el proceso es similar, pero hay que tener en cuenta que el FTP tiene dos puertos: el de control (21) y el de datos (20). Normalmente, al cambiar el puerto de control, el de datos se ajusta automáticamente o puedes configurarlo manualmente.

Usando el panel de DirectAdmin

Accede como administrador a DirectAdmin.
Ve a Cuenta de Administrador → Configuración de Servidor → FTP.
Busca el campo Puerto FTP y cambia el valor de 21 a tu nuevo puerto, por ejemplo, 21021.
Guarda los cambios. DirectAdmin actualizará la configuración del servidor FTP y reiniciará el servicio.
Actualiza el firewall para permitir el nuevo puerto. Añade una regla para el puerto 21021 en TCP y, si es necesario, también para el rango de puertos pasivos que uses.

Desde la terminal (manual)

Identifica qué servidor FTP está usando tu DirectAdmin. Los más comunes son ProFTPD y Pure-FTPd.
Si usas ProFTPD, edita el archivo /etc/proftpd.conf. Busca la línea Port 21 y cámbiala por Port 21021. Guarda el archivo.
Si usas Pure-FTPd, edita /etc/pure-ftpd.conf y busca la línea Port 21. Cámbiala por Port 21021.
Reinicia el servicio FTP. Para ProFTPD: systemctl restart proftpd. Para Pure-FTPd: systemctl restart pure-ftpd.
Actualiza el firewall con el nuevo puerto. También debes asegurarte de que los puertos pasivos (normalmente en el rango 30000-50000) estén abiertos para que las transferencias de datos funcionen correctamente.

[INFO] Al cambiar el puerto FTP, ten en cuenta que algunos clientes FTP antiguos pueden tener problemas para conectarse. Asegúrate de configurar el puerto correcto en tu cliente FTP preferido (FileZilla, Cyberduck, etc.) y que el modo pasivo esté activado.

Configurando el firewall correctamente para puertos personalizados

Uno de los errores más comunes al cambiar puertos es olvidar actualizar el firewall. Si no abres el nuevo puerto, los servicios no serán accesibles desde el exterior, y podrías pensar que el cambio no funcionó. DirectAdmin tiene su propio firewall integrado, pero también puedes usar iptables, firewalld o CSF (ConfigServer Security Firewall).

Si usas el firewall de DirectAdmin

Ve a Cuenta de Administrador → Firewall.
Añade una nueva regla. Especifica el protocolo TCP y el número de puerto que has configurado para SSH y FTP.
Guarda y aplica los cambios. Verifica que la regla esté activa.

Si usas CSF (muy común en servidores con DirectAdmin)

Edita el archivo /etc/csf/csf.conf.
Busca las líneas TCP_IN y TCP_OUT. Añade los nuevos puertos separados por comas. Por ejemplo: TCP_IN = "20,21,25,53,80,110,143,443,465,587,993,995,22022,21021".
Guarda el archivo y reinicia CSF: csf -r.
También puedes añadir el puerto a la lista de puertos permitidos para el servicio FTP pasivo.

[WARNING] No elimines los puertos estándar de la lista hasta que estés seguro de que todo funciona correctamente. Mantén el puerto 22 abierto, al menos temporalmente, para no quedarte fuera.

Consejos adicionales de hardening para DirectAdmin

Cambiar los puertos es solo el comienzo. Para un hardening directadmin completo, te recomiendo aplicar estas medidas adicionales:

1. Desactiva el acceso SSH para el usuario root

Edita /etc/ssh/sshd_config y asegúrate de que la línea PermitRootLogin esté configurada como no. Crea un usuario con privilegios sudo y úsalo para administrar el servidor.

2. Implementa autenticación por clave SSH

En lugar de usar contraseñas, genera un par de claves SSH y desactiva la autenticación por contraseña. Esto hace que los ataques de fuerza bruta sean prácticamente inútiles.

3. Usa fail2ban

Instala y configura fail2ban para que bloquee automáticamente las IPs que hagan múltiples intentos fallidos de conexión. DirectAdmin tiene integración con fail2ban, y puedes configurarlo fácilmente desde el panel.

4. Limita el acceso FTP por IP

En DirectAdmin, puedes configurar reglas para permitir el acceso FTP solo desde direcciones IP específicas. Esto es especialmente útil si siempre accedes desde los mismos lugares.

5. Mantén los servicios actualizados

DirectAdmin suele actualizarse automáticamente, pero asegúrate de que SSH, FTP y el propio panel estén siempre en sus últimas versiones para evitar vulnerabilidades conocidas.

6. Configura una VPN para el acceso administrativo

Si realmente quieres máxima seguridad, considera implementar una VPN (como WireGuard u OpenVPN) y permitir el acceso SSH y FTP solo a través de la red privada virtual. Así, aunque alguien descubra tu puerto personalizado, no podrá conectarse sin estar en la VPN.

[TIP] Si en algún momento usas un panel alternativo como Syspanel (la versión renovada de HestiaCP), recuerda que su puerto de acceso por defecto es el 2106. Aplica los mismos principios de seguridad que aquí te enseñamos: cambia los puertos SSH y FTP para proteger tu servidor.

Preguntas frecuentes (FAQ) sobre el cambio de puertos

¿Qué puertos son seguros para SSH y FTP?

Lo ideal es elegir un puerto por encima del 1024 y que no esté asignado a otro servicio conocido. Por ejemplo, el 22022 para SSH y el 21021 para FTP son buenas opciones. Evita puertos como 22, 21, 80, 443, 3306, 8080, ya que son los que más escanean los atacantes.

¿Cómo afecta el cambio de puerto a mis usuarios de hosting?

Si tienes clientes que usan FTP para subir sus archivos, tendrás que informarles del nuevo puerto. Deberán actualizar la configuración de su cliente FTP. Algunos usuarios podrían confundirse, así que es buena idea crear una guía rápida o un tutorial para ellos.

¿Puedo cambiar el puerto SSH sin reiniciar el servicio?

No, el cambio de puerto requiere reiniciar el servicio SSH para que se aplique. Sin embargo, puedes hacerlo de forma que no se interrumpan las conexiones existentes. Algunos sistemas permiten cargar la nueva configuración sin cortar las sesiones activas usando kill -HUP $(pidof sshd), pero es más seguro reiniciar el servicio.

¿Qué hago si me quedo fuera del servidor después de cambiar el puerto?

Si no puedes conectarte, usa la consola web de tu proveedor de hosting para acceder al servidor. Desde ahí, revierte los cambios en el archivo de configuración y reinicia el servicio. Si no tienes consola web, contacta con el soporte técnico de tu proveedor.

¿Es realmente necesario cambiar los puertos?

No es obligatorio, pero es altamente recomendable. Reducirás drásticamente los intentos de acceso no autorizado. Es una capa más de seguridad que, combinada con otras medidas, hace que tu servidor sea mucho más difícil de comprometer.

¿Debo cambiar también el puerto del panel de DirectAdmin?

Sí, puedes cambiar el puerto de acceso al panel de administración de DirectAdmin por defecto (2222). Esto añade otra capa de seguridad. La configuración se realiza desde el archivo /usr/local/directadmin/conf/directadmin.conf y luego reiniciando el servicio.

Conclusión: la seguridad es un proceso continuo

Cambiar los puertos SSH y FTP en DirectAdmin es una medida sencilla y efectiva que deberías implementar cuanto antes. No te llevará más de diez minutos y te ahorrará muchos dolores de cabeza en el futuro. Recuerda que la seguridad no es un destino, sino un proceso continuo. Combina el cambio de puertos con otras prácticas de hardening directadmin como las que te he mencionado, y tu servidor estará mucho más protegido.

Si tienes clientes o usuarios que acceden a los servicios FTP, no olvides comunicarles el cambio de puerto y proporcionarles instrucciones claras. Un pequeño esfuerzo por tu parte ahora puede evitar un gran problema de seguridad más adelante.

[INFO] Si en el futuro decides migrar a otro panel como Syspanel (antes conocido como HestiaCP), recuerda que el puerto de acceso al panel es el 2106. Aplica las mismas buenas prácticas de seguridad que has aprendido aquí: cambia los puertos SSH y FTP, usa claves SSH y configura un firewall adecuado.

La próxima vez que veas intentos de conexión sospechosos en los logs de tu servidor, te alegrarás de haber tomado esta medida. La tranquilidad de saber que tu servidor no es un blanco fácil no tiene precio. ¡Manos a la obra y a proteger tu servidor!