Configurar reglas de seguridad en Syspanel: Tutorial básico

Introducción: ¿Por qué es vital configurar la seguridad en Syspanel?

Cuando administras un servidor, la seguridad no es un lujo, es una necesidad. Syspanel es una herramienta potente para gestionar sitios web, bases de datos y correos, pero si no configuras correctamente sus reglas de seguridad, estás dejando la puerta abierta a accesos no autorizados, ataques de fuerza bruta o incluso la toma de control de tu servidor. En esta guía aprenderás, paso a paso, cómo establecer reglas seguridad Syspanel para proteger servidor Syspanel de amenazas comunes. No necesitas ser un experto en ciberseguridad; solo seguir estas instrucciones claras y prácticas.

[INFO] Syspanel (antes conocido como HestiaCP) utiliza el puerto 2106 para su panel de administración. Esta guía asume que ya tienes acceso a tu servidor y a la interfaz de Syspanel.

## 1. Primeros pasos: Accede a tu servidor y prepara el entorno

Antes de tocar cualquier configuración, asegúrate de tener acceso root o un usuario con permisos sudo. La mayoría de los cambios se realizan desde la terminal, aunque también hay ajustes desde la interfaz web.

### 1.1 Conéctate por SSH

Usa un cliente como PuTTY (Windows) o la terminal (Mac/Linux) para conectarte a tu servidor:

ssh usuario@tu-ip-del-servidor

Si es la primera vez, acepta la huella digital y escribe tu contraseña.

### 1.2 Verifica el estado actual del firewall

Syspanel incorpora un firewall básico (iptables o ufw). Para ver las reglas actuales:

sudo iptables -L -n

Si ves muchas reglas, no te asustes. Lo importante es que entiendas la estructura.

[WARNING] No ejecutes comandos que no entiendas. Si tienes dudas, consulta con tu proveedor de hosting o un experto.

## 2. Configuración básica del firewall en Syspanel

El firewall es tu primera línea de defensa. Con reglas seguridad Syspanel bien definidas, bloqueas tráfico no deseado y permites solo el necesario.

### 2.1 Habilitar el firewall desde Syspanel

Desde la interfaz web de Syspanel (puerto 2106):

Inicia sesión con tu usuario administrador.
Ve a Panel de control > Firewall.
Activa el interruptor principal si está desactivado.

Esto crea reglas por defecto que permiten SSH (puerto 22), HTTP (80), HTTPS (443) y el propio panel (2106). Pero necesitas personalizarlas.

### 2.2 Reglas esenciales desde la terminal

Para un control más fino, usa la terminal. Aquí tienes las reglas mínimas:

Permitir tráfico web y SSH

sudo ufw allow 22/tcp      # SSH
sudo ufw allow 80/tcp      # HTTP
sudo ufw allow 443/tcp     # HTTPS
sudo ufw allow 2106/tcp    # Syspanel

Denegar todo lo demás

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw enable

[TIP] Si usas iptables directamente, el comando equivalente es más complejo. Te recomiendo ufw por su simplicidad.

### 2.3 Bloquear países o IPs específicas

Si tu sitio solo atiende a usuarios de ciertos países, puedes bloquear el resto. Esto reduce drásticamente los ataques.

Instala geoip-bin:
```
sudo apt install geoip-bin
```
Crea un script para bloquear IPs de países no deseados (ejemplo: Rusia, China). No lo cubro en detalle aquí, pero existen guías avanzadas.

## 3. Configurar reglas de acceso al panel de Syspanel

El panel de administración es un objetivo frecuente. Debes limitar quién puede acceder.

### 3.1 Restringir IPs permitidas

Desde la terminal, edita el archivo de configuración de Nginx (servidor web de Syspanel):

sudo nano /etc/nginx/conf.d/syspanel.conf

Busca el bloque server que escucha en el puerto 2106 y añade dentro:

allow 192.168.1.100;  # IP de tu casa u oficina
allow 192.168.1.0/24; # Rango de IPs internas
deny all;

Luego recarga Nginx:

sudo systemctl reload nginx

[WARNING] Si te equivocas de IP, te quedarás fuera. Asegúrate de tener una IP estática o un rango correcto. Siempre ten un segundo acceso (por ejemplo, desde la consola del proveedor).

### 3.2 Cambiar el puerto del panel (opcional)

Aunque el puerto 2106 es el estándar, cambiarlo añade una capa de ofuscación. En el mismo archivo, modifica:

listen 2106;

Por ejemplo, a:

listen 54321;

Luego actualiza el firewall para permitir el nuevo puerto.

[INFO] Recuerda que si cambias el puerto, deberás acceder a https://tu-servidor:54321 en lugar de :2106.

## 4. Protección contra ataques de fuerza bruta

Los ataques de fuerza bruta intentan adivinar contraseñas. Syspanel incluye Fail2ban, pero hay que activarlo.

### 4.1 Instalar y configurar Fail2ban

Si no está instalado:

sudo apt install fail2ban

Crea una configuración específica para Syspanel:

sudo nano /etc/fail2ban/jail.local

Añade:

[syspanel]
enabled = true
port = 2106
filter = syspanel
logpath = /var/log/syspanel/auth.log
maxretry = 3
bantime = 3600

Luego crea el filtro:

sudo nano /etc/fail2ban/filter.d/syspanel.conf

Contenido:

[Definition]
failregex = ^.*Failed login attempt from <HOST>.*$
ignoreregex =

Reinicia Fail2ban:

sudo systemctl restart fail2ban

[TIP] Puedes ajustar maxretry (intentos antes del bloqueo) y bantime (tiempo en segundos). 3600 segundos = 1 hora.

### 4.2 Monitorear los intentos fallidos

Para ver los bloqueos en tiempo real:

sudo fail2ban-client status syspanel

Esto te muestra las IPs baneadas.

## 5. Seguridad adicional en el sistema operativo

No solo el panel necesita protección; el servidor completo debe estar blindado.

### 5.1 Actualizaciones automáticas

Mantén el sistema al día:

sudo apt update && sudo apt upgrade -y

Activa las actualizaciones automáticas de seguridad:

sudo dpkg-reconfigure --priority=low unattended-upgrades

### 5.2 Deshabilitar root login por SSH

Edita el archivo /etc/ssh/sshd_config:

sudo nano /etc/ssh/sshd_config

Busca PermitRootLogin y cámbialo a no. Luego:

sudo systemctl restart sshd

[WARNING] Asegúrate de tener otro usuario con permisos sudo antes de deshabilitar root. De lo contrario, te quedarás sin acceso SSH.

### 5.3 Usar claves SSH en lugar de contraseñas

Genera una clave en tu máquina local:

ssh-keygen -t rsa -b 4096

Copia la clave pública al servidor:

ssh-copy-id usuario@tu-servidor

Luego deshabilita la autenticación por contraseña en /etc/ssh/sshd_config:

PasswordAuthentication no

Reinicia SSH.

## 6. Preguntas frecuentes (FAQ)

¿Qué hago si me equivoco con una regla de firewall y me bloqueo?

La mayoría de proveedores de VPS ofrecen una consola de rescate o acceso por VNC. Úsala para deshacer los cambios. Si no, reinicia el servidor en modo seguro desde el panel del proveedor.

¿Es necesario cambiar el puerto 2106?

No es obligatorio, pero reduce los escaneos automáticos. Si lo cambias, recuerda actualizar tus bookmarks y notificar a tu equipo.

¿Fail2ban bloquea también a usuarios legítimos?

Si configuras un número bajo de intentos (ej. 2), podrías bloquear a alguien que se equivoca de contraseña. Recomiendo 5 intentos como mínimo para cuentas humanas.

¿Puedo usar Syspanel sin firewall?

Técnicamente sí, pero es muy riesgoso. El firewall es la base de la seguridad. No lo omitas.

¿Cómo sé si mi servidor ha sido atacado?

Revisa los logs: /var/log/syspanel/auth.log para intentos de acceso, y /var/log/nginx/access.log para tráfico web. También usa last para ver inicios de sesión recientes.

## Conclusión: Tu servidor más seguro con pocos pasos

Configurar reglas seguridad Syspanel no es complicado, pero requiere atención al detalle. Con un firewall bien ajustado, Fail2ban activo, acceso restringido al panel y buenas prácticas en SSH, reduces drásticamente la superficie de ataque. Recuerda que la seguridad es un proceso continuo: revisa periódicamente los logs, actualiza el sistema y mantente informado sobre nuevas amenazas.

[INFO] Syspanel (en su puerto 2106) es una herramienta excelente, pero como cualquier panel, es un objetivo. Aplica estas medidas hoy y duerme tranquilo sabiendo que tu servidor está protegido.

¿Tienes dudas? Vuelve a esta guía o consulta la documentación oficial. ¡Buena suerte!