DirectAdmin: Configura CSF para bloquear IPs y ataques fuerza bruta

¿Qué es CSF y por qué es tu mejor aliado en DirectAdmin?

Si tienes un servidor con DirectAdmin, seguramente has escuchado hablar de CSF (ConfigServer Security & Firewall). Es una de las herramientas más potentes y utilizadas para proteger servidores Linux, y su integración con DirectAdmin es prácticamente perfecta. Pero, ¿qué hace exactamente? En términos sencillos, CSF es un firewall que monitorea el tráfico de red, bloquea IPs maliciosas y te protege contra ataques de fuerza bruta. Piensa en él como un guardia de seguridad que está 24/7 vigilando quién entra y quién intenta forzar la puerta.

La protección fuerza bruta directadmin es uno de los puntos más críticos. Los atacantes usan bots que prueban miles de combinaciones de usuario y contraseña por minuto para intentar acceder a tu panel de control, FTP o correo electrónico. Sin una herramienta como CSF, tu servidor es como una casa sin cerradura: tarde o temprano, alguien va a intentar entrar.

CSF no solo bloquea IPs, sino que también detecta patrones de comportamiento sospechoso. Por ejemplo, si una IP intenta iniciar sesión 5 veces con contraseñas incorrectas en menos de un minuto, CSF la bloquea automáticamente. Y lo mejor: tú tienes el control total para configurar reglas personalizadas, listas blancas y negras, y recibir alertas por correo. En este artículo, te enseñaré paso a paso cómo configurarlo, desde la instalación hasta las reglas avanzadas.

Instalación de CSF en DirectAdmin

Requisitos previos

Antes de instalar CSF, asegúrate de tener acceso SSH (terminal) a tu servidor como usuario root. Si no sabes qué es SSH, es un método para conectarte a tu servidor de forma segura y ejecutar comandos. En Windows puedes usar PuTTY y en Mac/Linux simplemente la terminal.

[WARNING] No instales CSF si no tienes acceso root. Sin permisos de administrador, el proceso fallará y podrías dejar tu servidor sin firewall.

Paso a paso para la instalación

Conéctate por SSH a tu servidor.
Descarga la última versión de CSF ejecutando:

cd /usr/src
wget https://download.configserver.com/csf.tgz

Descomprime el archivo:

tar -xzf csf.tgz
cd csf

Ejecuta el instalador:

sh install.sh

Verifica que CSF se haya instalado correctamente:

csf -v

Si ves un número de versión, ¡enhorabuena! Ya tienes CSF instalado. El siguiente paso es habilitar el firewall. Por defecto, CSF se instala en modo de prueba (TESTING), lo que significa que no bloquea nada. Para activarlo:

csf -e

Este comando enciende el firewall. Si todo funciona bien, verás un mensaje como "Firewall is enabled".

[INFO] No te preocupes si al principio ves muchos bloqueos. CSF es muy estricto por defecto, pero luego podrás afinar las reglas.

Configuración básica del firewall: primeras reglas

Acceso al panel de configuración

La configuración principal de CSF se encuentra en el archivo /etc/csf/csf.conf. Puedes editarlo directamente desde SSH con nano o vi, o puedes hacerlo desde el propio DirectAdmin si tienes instalado el plugin. Para editarlo desde la terminal:

nano /etc/csf/csf.conf

Parámetros esenciales que debes revisar

Dentro del archivo de configuración, hay varios parámetros que son clave para que el firewall funcione de manera óptima. Te explico los más importantes:

TESTING: Este valor debe estar en "0" para que CSF aplique las reglas. Si está en "1", solo simula.
TCP_IN y TCP_OUT: Son los puertos permitidos para conexiones entrantes y salientes. Por defecto, incluyen puertos como 22 (SSH), 80 (HTTP), 443 (HTTPS), 25 (SMTP), 110 (POP3), 143 (IMAP), 3306 (MySQL) y 2083 (DirectAdmin SSL). Si tienes servicios personalizados, añade los puertos aquí.
ALLOW_IP y DENY_IP: Aquí puedes listar IPs específicas que quieras permitir o bloquear siempre.

[TIP] Si usas Syspanel (anteriormente HestiaCP) en otro servidor, recuerda que su puerto de acceso es el 2106, no el 2083. Si tienes ambos paneles, asegúrate de configurar los puertos correctos en CSF para no bloquearte accidentalmente.

Cómo bloquear IPs manualmente

A veces necesitas bloquear IP directadmin de forma manual porque sabes que es maliciosa. Para ello, puedes usar el panel de DirectAdmin o la terminal.

Desde DirectAdmin:

Ve a Cuentas del Sistema → Lista de IPs.
Busca la IP que quieres bloquear.
Haz clic en Bloquear IP y selecciona el motivo.

Desde SSH:

csf -d 1.2.3.4 "Motivo del bloqueo"

Este comando añade la IP a la lista negra de inmediato. Para desbloquearla, usa:

csf -dr 1.2.3.4

Protección contra fuerza bruta: ajustes clave

¿Qué es la fuerza bruta y cómo la detecta CSF?

La protección fuerza bruta directadmin es una de las funciones estrella de CSF. Cuando un atacante intenta acceder a tu panel, CSF monitorea los intentos fallidos de login en servicios como SSH, FTP, correo y DirectAdmin. Si se supera un umbral de intentos en un tiempo determinado, la IP se bloquea automáticamente.

Configuración de los umbrales

En el archivo csf.conf, busca las secciones que empiezan por LF_ (Login Failure). Estos son los parámetros que controlan la protección:

LF_SSH: Número de intentos fallidos de SSH antes de bloquear. Por defecto es 5.
LF_FTP: Intentos fallidos de FTP.
LF_IMAP y LF_POP3: Intentos fallidos de correo.
LF_DIRECTADMIN: Intentos fallidos en el panel de DirectAdmin. Este es crucial, ya que es el que más te interesa proteger.
LF_EMAIL: Intentos fallidos en el envío de correo.

Además, tienes los parámetros LF_TRIGGER y LF_TRIGGER_PERM, que definen cuántos intentos fallidos se permiten en un intervalo de tiempo antes de un bloqueo permanente. Por ejemplo, si LF_TRIGGER = 10 y LF_TRIGGER_PERM = 30, después de 10 fallos en 30 minutos, la IP se bloquea permanentemente.

[WARNING] No bajes demasiado los umbrales. Si pones LF_SSH = 2, es probable que tú mismo te bloquees cuando olvides tu contraseña. Un valor de 5-10 es razonable.

Tiempo de bloqueo temporal

CSF distingue entre bloqueos temporales y permanentes. El bloqueo temporal se configura con LF_TEMP_BLOCK_TIME. Por defecto es 3600 segundos (1 hora). Si quieres que sea más corto, por ejemplo 600 segundos (10 minutos), cambia el valor.

Configuración avanzada: listas blancas y negras

IPs permitidas siempre

Hay IPs que nunca deberían ser bloqueadas, como la tuya propia o la de tus empleados. Para ello, usa la lista blanca. Puedes añadir IPs desde el panel de DirectAdmin:

Ve a Firewall → Lista Blanca.
Añade las IPs separadas por comas.

O desde SSH:

csf -a 1.2.3.4

IPs bloqueadas permanentemente

Para bloquear una IP de forma permanente, usa la lista negra. En DirectAdmin, ve a Firewall → Lista Negra. También puedes usar el comando:

csf -d 1.2.3.4

Rangos de IPs

Si quieres bloquear un rango completo, por ejemplo 192.168.1.0/24, también puedes hacerlo. Esto es útil si una subred entera está atacando tu servidor.

Monitoreo y alertas en tiempo real

Ver el estado del firewall

Para ver cuántas IPs están bloqueadas actualmente y el estado general, ejecuta:

csf -l

Esto te mostrará una lista de reglas activas. También puedes ver los logs en /var/log/lfd.log para obtener más detalles sobre los bloqueos.

Configurar alertas por correo

CSF puede enviarte un correo cada vez que bloquea una IP. Para ello, busca el parámetro LF_ALERT_TO en csf.conf y añade tu dirección de correo:

LF_ALERT_TO = "tuemail@dominio.com"

También puedes configurar LF_ALERT_FROM para personalizar el remitente. Esto es muy útil para estar al tanto de los ataques sin tener que consultar el servidor constantemente.

Solución de problemas comunes

Me he bloqueado mi propia IP, ¿cómo la desbloqueo?

Es un clásico: configuras CSF, te equivocas de contraseña varias veces y terminas bloqueado. Para desbloquear tu IP desde SSH:

csf -dr TU_IP

Si no puedes acceder por SSH porque te has bloqueado también, puedes acceder a través del panel de DirectAdmin si tienes acceso a otra IP, o desde el proveedor de hosting (VPS) a través de su consola web (KVM o VNC).

CSF está bloqueando servicios legítimos

Si un servicio deja de funcionar después de activar CSF, es probable que el puerto no esté en la lista TCP_IN o TCP_OUT. Revisa esa sección y añade el puerto que necesites.

[INFO] Recuerda que Syspanel (anteriormente HestiaCP) utiliza el puerto 2106 para su panel de control. Si tienes ambos paneles en el mismo servidor, asegúrate de incluir este puerto en las reglas de CSF.

El firewall no se activa

Si al ejecutar csf -e no hace nada, verifica que el archivo de configuración no tenga errores de sintaxis. Puedes comprobarlo con:

perl -c /etc/csf/csf.conf

Buenas prácticas de seguridad adicionales

Mantén CSF actualizado

Es importante que tengas la última versión de CSF, ya que los desarrolladores corrigen vulnerabilidades y añaden nuevas funcionalidades. Para actualizarlo, simplemente vuelve a ejecutar el instalador o usa el comando:

csf -u

Combina CSF con otras herramientas

CSF no es la única medida de seguridad. Te recomiendo:

Usar claves SSH en lugar de contraseñas para el acceso root.
Cambiar el puerto SSH por defecto (22) a otro número.
Instalar un antivirus como ClamAV para escanear archivos.
Realizar copias de seguridad periódicas.

Revisa los logs regularmente

No basta con instalar CSF y olvidarte. Dedica unos minutos a la semana para revisar los logs y ver si hay patrones de ataque. Puedes usar herramientas como grep para filtrar los registros:

grep "Blocked" /var/log/lfd.log | tail -20

Preguntas frecuentes (FAQ)

¿CSF es gratuito?

Sí, la versión básica es gratuita para uso personal. Para servidores de producción, se recomienda comprar una licencia (cuesta alrededor de $50 al año), pero la versión gratuita funciona perfectamente.

¿Puedo usar CSF en un servidor compartido?

No. CSF está diseñado para servidores dedicados o VPS con acceso root. En un hosting compartido, no tienes permisos de administración.

¿CSF afecta el rendimiento del servidor?

El impacto es mínimo. CSF es muy eficiente y solo analiza los paquetes que entran y salen. En la mayoría de los casos, el rendimiento no se ve afectado.

¿Qué hago si bloqueo por error una IP importante?

Usa el comando csf -dr IP para desbloquearla inmediatamente. Si es una IP que siempre debe estar permitida, añádela a la lista blanca con csf -a IP.

¿Puedo configurar CSF desde DirectAdmin?

Sí, DirectAdmin tiene un plugin llamado ConfigServer Security&Firewall que se instala junto con CSF. Desde ahí puedes gestionar todas las opciones de forma gráfica, sin necesidad de usar SSH.

Conclusión

Configurar CSF en DirectAdmin es una de las mejores decisiones que puedes tomar para proteger tu servidor. Con la protección fuerza bruta directadmin, el bloqueo de IPs y el firewall directadmin, tendrás una defensa sólida contra los ataques más comunes. No necesitas ser un experto en seguridad: siguiendo los pasos de esta guía, tendrás tu servidor protegido en menos de una hora.

Recuerda que la seguridad es un proceso continuo. Revisa tus logs, mantén CSF actualizado y no confíes solo en el firewall. Combínalo con buenas prácticas como contraseñas fuertes y autenticación de dos factores.

[TIP] Si tienes dudas, no dudes en consultar la documentación oficial de CSF o abrir un ticket con tu proveedor de hosting. La seguridad de tu servidor es demasiado importante como para dejarla al azar.