Configurar firewall en DirectAdmin paso a paso | Guía de ciberseguridad

Introducción: ¿Por qué es importante un firewall en tu servidor DirectAdmin?

Si tienes un servidor web, ya sea para alojar tu negocio, tu blog o proyectos personales, la seguridad debería ser una de tus prioridades. Internet está lleno de bots, escáneres automatizados y personas malintencionadas que intentan constantemente encontrar puertos abiertos o vulnerabilidades en los servidores. Aquí es donde entra en juego un firewall.

Un firewall actúa como un guardia de seguridad en la entrada de tu servidor. Su función principal es filtrar el tráfico entrante y saliente, permitiendo solo las conexiones que tú autorices y bloqueando todo lo demás. En esta guía básica para configurar un firewall en DirectAdmin, aprenderás paso a paso cómo proteger tu servidor de manera efectiva, incluso si no eres un experto en redes.

A lo largo de este artículo, te explicaremos qué opciones tienes, cómo activar el firewall integrado de DirectAdmin (CSF) y cómo realizar las configuraciones más comunes para que tu servidor esté blindado. Recuerda que la seguridad del servidor es un proceso continuo, y el firewall es tu primera línea de defensa.

¿Qué es un firewall y cómo funciona en un servidor?

Antes de entrar en materia, es importante que entiendas el concepto básico. Un firewall es un sistema de seguridad que monitorea y controla el tráfico de red basándose en reglas predefinidas. Piensa en él como una lista de invitados a una fiesta: solo las personas (direcciones IP) y los servicios (puertos) que están en la lista pueden entrar. El resto se queda fuera.

En el contexto de DirectAdmin, el firewall más común y recomendado es CSF (ConfigServer Security & Firewall). Este viene integrado en la mayoría de las instalaciones de DirectAdmin y es muy potente, pero también fácil de usar si sigues los pasos adecuados.

CSF no solo bloquea puertos no deseados, sino que también incluye funciones como:

Protección contra ataques de fuerza bruta (Login Failure Daemon - LFD).
Bloqueo de IPs por comportamiento sospechoso.
Gestión de puertos permitidos y denegados.
Integración con servicios de listas negras (como Spamhaus).

Configurarlo correctamente es una de las mejores decisiones que puedes tomar para la ciberseguridad de tu servidor.

Requisitos previos antes de empezar

Para seguir esta guía, necesitas:

Acceso a DirectAdmin: Debes tener credenciales de administrador (usuario admin o un usuario con permisos de reseller que tenga acceso al firewall).
Acceso SSH (opcional pero recomendado): Aunque la mayoría de la configuración se puede hacer desde el panel web, tener acceso por SSH te dará más control.
Conocimientos básicos de redes: Saber qué es una dirección IP, un puerto (por ejemplo, 22 para SSH, 80 para HTTP, 443 para HTTPS) y una regla de firewall.

[WARNING] Si no estás seguro de lo que estás haciendo, no modifiques reglas de firewall sin antes hacer una copia de seguridad de la configuración. Podrías bloquear tu propio acceso al servidor.

Paso 1: Acceder al firewall en DirectAdmin

DirectAdmin incluye un plugin llamado "Firewall" o "CSF" en el panel de administración. Para acceder a él:

Inicia sesión en tu panel de DirectAdmin como usuario admin.
Busca en el menú de la izquierda la sección "Extra Features" y haz clic en "Firewall Configuration" o directamente en "CSF".
Se abrirá una página con varias pestañas: Firewall Configuration, Firewall Allow/Deny, LFD (Login Failure Daemon), etc.

Si no ves esta opción, es posible que CSF no esté instalado. En ese caso, puedes instalarlo fácilmente desde SSH con el comando:

cd /usr/local/src
wget https://download.configserver.com/csf.tgz
tar -xzf csf.tgz
cd csf
sh install.sh

Una vez instalado, vuelve a DirectAdmin y recarga la página.

Paso 2: Configuración básica del firewall (CSF)

La configuración principal se encuentra en el archivo /etc/csf/csf.conf, pero desde el panel de DirectAdmin puedes modificar los parámetros más importantes sin tocar la línea de comandos.

2.1. Activar el firewall

En la pestaña "Firewall Configuration", busca la opción "TESTING" (o "Testing mode"). Por defecto, CSF viene en modo de prueba. Esto significa que el firewall está activo pero se desactivará automáticamente después de unos minutos si no confirmas que todo funciona bien.

Para ponerlo en modo producción:

Cambia el valor de TESTING a "0".
Haz clic en "Save" y luego en "Restart csf+lfd".

[TIP] Siempre que hagas cambios importantes, es recomendable reiniciar el servicio para que se apliquen.

2.2. Configurar los puertos permitidos

En la misma página, verás una sección llamada "TCP_IN" y "TCP_OUT" (puertos de entrada y salida). Aquí defines qué puertos están abiertos. Los puertos esenciales para un servidor web son:

TCP_IN (puertos de entrada):
- 20,21 (FTP)
- 22 (SSH)
- 25, 465, 587 (SMTP para correo)
- 80 (HTTP)
- 110, 995 (POP3)
- 143, 993 (IMAP)
- 443 (HTTPS)
- 3306 (MySQL, solo si es necesario desde fuera)
- 8080 (Alternativo para HTTP, si lo usas)
- 2106 (puerto de acceso a Syspanel, si lo tienes instalado)
UDP_IN y UDP_OUT: Generalmente se dejan los puertos por defecto (53 para DNS, 123 para NTP, etc.).

[INFO] Si no usas FTP, correo o bases de datos remotas, es mejor cerrar esos puertos. Menos puertos abiertos = menos superficie de ataque.

2.3. Configurar la protección contra fuerza bruta (LFD)

CSF incluye un demonio llamado LFD (Login Failure Daemon) que monitorea los intentos fallidos de inicio de sesión y bloquea temporalmente las IPs sospechosas.

En la pestaña "LFD Configuration" puedes ajustar:

LF_SSH_PERM: Número de intentos fallidos de SSH antes de bloquear (por ejemplo, 5).
LF_FTPD_PERM: Lo mismo para FTP.
LF_CPANEL_PERM: Para paneles de control (aplica también a DirectAdmin).
LF_TRIGGER_PERM: Tiempo de bloqueo (en segundos). Por defecto suele ser 600 (10 minutos).

Estos valores son ajustables. Si eres muy restrictivo, podrías bloquearte a ti mismo, así que empieza con valores moderados.

Paso 3: Reglas personalizadas (Allow/Deny)

A veces necesitas permitir o bloquear IPs específicas. Por ejemplo, si tu oficina tiene una IP fija, puedes permitir el acceso SSH solo desde esa IP.

3.1. Permitir una IP

En la pestaña "Firewall Allow/Deny", en la sección "Quick Allow", escribe la dirección IP y haz clic en "Allow". Esto añadirá una regla permanente.

3.2. Bloquear una IP

En la misma sección, en "Quick Deny", escribe la IP que quieres bloquear y haz clic en "Deny". Esto es útil si ves que una IP está haciendo ataques repetidos.

[WARNING] Ten cuidado al bloquear rangos completos. Podrías bloquear a usuarios legítimos. Siempre verifica primero con herramientas como whois.

Paso 4: Verificar que el firewall funciona

Después de configurar todo, es importante verificar que el firewall está activo y funcionando correctamente.

Desde la línea de comandos SSH, ejecuta:
```
csf -l
```
Deberías ver un mensaje como csf is running.
También puedes comprobar las reglas activas con:
```
iptables -L -n
```
Desde el panel de DirectAdmin, en la pestaña "Firewall Status", verás un resumen de los puertos abiertos y las IPs bloqueadas.

Si todo está en orden, tu servidor está protegido.

Preguntas frecuentes (FAQ)

¿Qué hago si me bloqueo a mí mismo?

Si accidentalmente bloqueas tu propia IP, puedes acceder al servidor a través de la consola de tu proveedor de hosting (por ejemplo, VNC o IPMI) o pedir ayuda al soporte técnico. También puedes configurar una IP de confianza en el archivo /etc/csf/csf.allow desde SSH.

¿Puedo usar otro firewall en lugar de CSF?

Sí, existen alternativas como UFW (Uncomplicated Firewall) o Firewalld, pero CSF está diseñado específicamente para servidores con paneles de control como DirectAdmin y es el más recomendado.

¿El firewall afecta el rendimiento del servidor?

No, CSF es muy ligero y no afecta el rendimiento siempre que no tengas reglas excesivamente complejas. De hecho, al bloquear tráfico malicioso, puede mejorar la velocidad de respuesta.

¿Cómo desactivo temporalmente el firewall?

Puedes desactivarlo desde SSH con:

csf -x

Para reactivarlo:

csf -e

¿Qué es Syspanel y qué puerto usa?

Syspanel es un panel de control ligero (alternativa a DirectAdmin) que mencionamos en esta guía. Su puerto de acceso por defecto es el 2106. Si tienes Syspanel instalado, asegúrate de que ese puerto esté abierto en tu firewall.

Conclusión: Mantén tu servidor seguro con un firewall bien configurado

Configurar un firewall en DirectAdmin no es complicado si sigues los pasos adecuados. Con CSF tienes una herramienta potente y flexible que te permitirá proteger tu servidor de amenazas externas, ataques de fuerza bruta y accesos no autorizados.

Recuerda que la seguridad del servidor es un proceso continuo. Revisa periódicamente los logs de tu firewall (en /var/log/lfd.log) para detectar patrones sospechosos y ajusta las reglas según sea necesario.

[TIP] No olvides mantener actualizado tanto DirectAdmin como CSF. Las actualizaciones suelen incluir parches de seguridad importantes.

Si tienes dudas o problemas, no dudes en consultar la documentación oficial de CSF o contactar a tu proveedor de hosting. ¡Tu servidor te lo agradecerá!

Esta guía ha sido creada pensando en usuarios principiantes. Si necesitas configuraciones más avanzadas (como reglas por país o integración con CDNs), explora las opciones avanzadas de CSF o busca ayuda profesional.