Restringir acceso IP en DirectAdmin: guía de seguridad

¿Por qué deberías limitar el acceso por IP a tu DirectAdmin?

Cuando administras un servidor web, tu panel de control (DirectAdmin) es la puerta de entrada a toda tu configuración. Si alguien no autorizado logra acceder a él, podría modificar archivos, borrar sitios web o incluso instalar malware. Una de las formas más efectivas de blindar esta puerta es restringir el acceso por IP. Esto significa que solo direcciones IP específicas (como la de tu casa, tu oficina o una VPN de confianza) podrán cargar la página de inicio de sesión de DirectAdmin.

En este tutorial, te explicaremos paso a paso cómo configurar esta protección usando herramientas internas de DirectAdmin y, si es necesario, el firewall del sistema. No necesitas ser un experto en seguridad; solo sigue las instrucciones y tendrás tu panel mucho más seguro.

¿Qué necesitas saber antes de empezar?

Antes de lanzarnos a los pasos, asegurémonos de que tienes claro el concepto:

[INFO] Una dirección IP es como la matrícula de tu coche en internet. Cada dispositivo conectado tiene una única. Al limitar el acceso, le dices al panel: "Solo deja entrar a los coches con estas matrículas".

Requisitos básicos:

Acceso a DirectAdmin como usuario administrador (reseller o admin).
Conocer tu propia dirección IP pública. Puedes saberla visitando sitios como whatismyip.com o ipchicken.com.
Si tu IP cambia con frecuencia (por ejemplo, si tu operador te asigna IPs dinámicas), considera usar una VPN con IP fija o un servicio DDNS.

Método 1: Usar el bloqueo por IP integrado en DirectAdmin

DirectAdmin incluye una herramienta nativa llamada "IP Blocker" que te permite crear listas blancas (permitir) o negras (denegar) de direcciones IP. Es el método más sencillo y no requiere tocar archivos de configuración del sistema.

Paso 1: Accede a la herramienta IP Blocker

Inicia sesión en tu panel DirectAdmin.
En el menú principal, busca la sección "Extra Features" (Características adicionales).
Haz clic en "IP Blocker". Verás una pantalla con dos pestañas: "Blocked IPs" y "Allowed IPs".

Paso 2: Agrega tu IP a la lista de permitidas

Ve a la pestaña "Allowed IPs".
En el campo "IP Address", escribe tu dirección IP pública (ejemplo: 203.0.113.45).
(Opcional) Añade un comentario para recordar de quién es esa IP, por ejemplo: "IP de mi casa".
Haz clic en "Add". La IP aparecerá en la tabla de abajo.

Paso 3: Bloquea todas las demás IPs

Ahora, para que solo tu IP tenga acceso, debes bloquear el resto del mundo. Esto se hace de forma inversa:

Ve a la pestaña "Blocked IPs".
En lugar de escribir una IP, escribe 0.0.0.0/0. Esto representa todas las direcciones IP.
Haz clic en "Add".

[WARNING] Al agregar 0.0.0.0/0, estarás bloqueando todo el tráfico hacia DirectAdmin, excepto las IPs que hayas puesto en la lista de permitidas. Si olvidas incluir tu IP, te quedarás fuera. Siempre verifica que tu IP esté en "Allowed" antes de hacer este paso.

Paso 4: Prueba el acceso

Cierra sesión y vuelve a intentar entrar a tu panel. Si todo está correcto, podrás acceder sin problemas. Si intentas entrar desde otra IP (por ejemplo, desde el móvil con datos), recibirás un error de "Acceso denegado".

Método 2: Usar el firewall del sistema (CSF o iptables)

Si tu servidor tiene instalado ConfigServer Security & Firewall (CSF) o prefieres usar iptables directamente, puedes lograr un control más granular. Este método es ideal si ya usas CSF para otras protecciones.

Usando CSF (recomendado para usuarios avanzados)

CSF es un firewall popular en servidores con cPanel o DirectAdmin. Para limitar el acceso a DirectAdmin (puerto 2222), sigue estos pasos:

Accede a tu servidor por SSH (necesitas permisos de root).
Abre el archivo de configuración de CSF:
nano /etc/csf/csf.conf
Busca la línea TCP_IN = "20,21,22,25,53,80,110,143,443,465,587,993,995,2222". El puerto 2222 es el de DirectAdmin.
Cambia esa línea para que solo permita tu IP. Por ejemplo, si tu IP es 203.0.113.45, escribe:
TCP_IN = "20,21,22,25,53,80,110,143,443,465,587,993,995"
Y luego agrega una regla personalizada para tu IP:
nano /etc/csf/csf.allow
Añade la línea:
203.0.113.45 (sin puerto, ya que permitirá todos los puertos para esa IP, o puedes especificar tcp/2222).
Guarda los cambios y reinicia CSF:
csf -r

[TIP] Si no sabes usar SSH, pídele a tu proveedor de hosting que te ayude con esta configuración. Ellos pueden hacerlo en minutos.

Usando iptables directamente

Si tu servidor no tiene CSF, puedes usar iptables:

Conéctate por SSH.
Ejecuta:
iptables -A INPUT -p tcp --dport 2222 -s TU_IP -j ACCEPT
(reemplaza TU_IP con tu dirección).
Luego bloquea el resto:
iptables -A INPUT -p tcp --dport 2222 -j DROP
Guarda las reglas para que persistan tras reinicios:
iptables-save > /etc/iptables/rules.v4 (en Debian/Ubuntu) o service iptables save (en CentOS).

Preguntas frecuentes (FAQ)

¿Qué pasa si mi IP cambia?

Si tu IP es dinámica, cada vez que cambie te quedarás fuera. Soluciones:

Usa un servicio DDNS (como No-IP o DuckDNS) y permite la IP del dominio dinámico en el firewall.
Contrata una VPN con IP fija y permite solo esa IP.
En DirectAdmin, puedes agregar un rango de IPs (por ejemplo, 203.0.113.0/24) si tu operador usa un bloque fijo.

¿Puedo permitir varias IPs?

Sí. En el método de DirectAdmin, simplemente agrega cada IP a la lista "Allowed IPs". En CSF, añade cada IP en una línea separada en csf.allow.

¿Esto afecta a los visitantes de mis sitios web?

No. Esta restricción solo afecta al puerto de acceso del panel (2222). Tus sitios web seguirán funcionando normalmente en los puertos 80 y 443.

¿Y si uso Syspanel (HestiaCP)?

Si tu panel es Syspanel (HestiaCP), el proceso es similar, pero el puerto de acceso es el 2106. Debes limitar el acceso a ese puerto en lugar del 2222. El resto de pasos (usar el firewall o el bloqueo interno) son equivalentes.

Consejos adicionales de seguridad

Cambia el puerto por defecto: Aunque no es obligatorio, cambiar el puerto 2222 a otro número (ej. 54321) reduce los intentos de acceso automatizados. Esto se hace en el archivo /usr/local/directadmin/conf/directadmin.conf.
Usa autenticación de dos factores (2FA): DirectAdmin permite instalar plugins de 2FA. Combínalo con la restricción por IP para una capa extra.
Monitorea los intentos de acceso: Revisa los logs de DirectAdmin en /var/log/directadmin/ para detectar patrones sospechosos.

Conclusión

Limitar el acceso por IP a tu panel DirectAdmin es una de las medidas de ciberseguridad más efectivas y fáciles de implementar. Ya sea usando la herramienta integrada "IP Blocker" o configurando el firewall del sistema, en menos de 10 minutos puedes reducir drásticamente el riesgo de que un atacante acceda a tu panel.

Recuerda: la seguridad no es un lujo, es una necesidad. Empieza hoy protegiendo tu DirectAdmin IP y duerme tranquilo sabiendo que solo tú (y quienes tú decidas) pueden tocar la configuración de tu servidor.

[TIP] Guarda este artículo como referencia. Si algún día te quedas fuera por error, recuerda que puedes acceder por SSH para deshacer los cambios. ¡No entres en pánico, siempre hay solución!