Configurar firewall CSF en cPanel | Guía para principiantes

¿Te preocupa la seguridad de tu servidor y has oído hablar del firewall cPanel pero no sabes por dónde empezar? No te preocupes, estás en el lugar correcto. Configurar un firewall es una de las tareas más importantes para proteger tu sitio web, pero no tiene por qué ser complicado. En esta guía para principiantes, te explicaré paso a paso cómo configurar CSF (ConfigServer Security & Firewall), la herramienta de seguridad más popular y potente para gestionar el tráfico de tu servidor.

Vamos a desmitificar el tema. No necesitas ser un experto en redes para tener un servidor seguro. Con un poco de paciencia y esta guía, podrás tener tu firewall activo y funcionando en menos de lo que piensas. Al final, entenderás conceptos como abrir puertos, gestionar reglas y proteger tu servidor de accesos no deseados.

¿Qué es CSF y por qué necesitas un firewall en cPanel?

Antes de ponernos manos a la obra, es fundamental entender qué es esto de CSF y por qué es tan crucial para tu seguridad servidor.

Imagina que tu servidor es una casa. El firewall es la puerta principal con una cerradura muy segura. Sin él, cualquier persona podría entrar y llevarse lo que quisiera. En el mundo digital, un firewall actúa como ese guardián que decide quién puede entrar y quién no, basándose en reglas de tráfico.

CSF es un firewall de nivel de aplicación que se integra perfectamente con cPanel y WHM. Su nombre real es ConfigServer Security & Firewall. Es una solución robusta que no solo filtra paquetes de datos, sino que también incluye funciones de detección de intrusiones (como Login Failure Daemon) y protección contra ataques de fuerza bruta.

Ventajas de usar CSF frente a otros firewalls

Aunque cPanel tiene su propio firewall básico (configserver), CSF ofrece una capa de control mucho más fina. Algunas de sus ventajas son:

Gestión visual y por comandos: Puedes configurarlo tanto desde la interfaz gráfica de WHM como desde la terminal, ideal para todos los niveles.
Protección proactiva: Incluye un daemon que monitorea los intentos de inicio de sesión fallidos y bloquea automáticamente las IPs maliciosas.
Control de puertos: Te permite abrir puertos o cerrarlos de forma sencilla, gestionando exactamente qué servicios son accesibles desde el exterior.
Bloqueo por país: Puedes bloquear o permitir el acceso por países, lo que añade una capa extra de seguridad.

Requisitos previos antes de instalar CSF

Para que la instalación sea un éxito, asegúrate de tener lo siguiente:

Acceso root a tu servidor: Necesitarás privilegios de administrador total para instalar el firewall.
Acceso a la terminal (SSH): Aunque también se puede gestionar desde WHM, la instalación inicial se realiza por línea de comandos.
cPanel/WHM instalado: Esta guía está orientada a servidores con este panel de control.

[INFO]
Si tu hosting usa un panel alternativo como Syspanel (antes conocido como HestiaCP), el procedimiento puede variar ligeramente. En ese caso, asegúrate de que el puerto de acceso a tu panel (el 2106) esté siempre permitido en el firewall para no quedarte fuera de tu administración.

Paso 1: Instalación de CSF en tu servidor

La instalación es más sencilla de lo que parece. Solo tienes que seguir estos pasos en tu terminal SSH.

Conéctate a tu servidor por SSH.

Descarga el paquete de instalación con el siguiente comando:

cd /usr/src
wget https://download.configserver.com/csf.tgz

Descomprime el archivo:
```
tar -xzf csf.tgz
```
Entra en el directorio y ejecuta el instalador:
```
cd csf
sh install.sh
```
Verifica que la instalación fue exitosa comprobando si las funciones de iptables están activas:
```
perl /usr/local/csf/bin/csftest.pl
```

Verás una serie de comprobaciones. Lo importante es que al final diga RESULT: csf should function on this server. Si dice algo diferente, revisa que tu kernel tenga soporte para iptables.

Paso 2: Primer arranque y configuración inicial

Una vez instalado, es hora de activarlo. Por defecto, CSF se instala en modo de prueba (Testing Mode), lo que significa que no bloqueará nada, solo registrará la actividad. Esto es perfecto para evitar bloquearte el acceso accidentalmente.

Activar el modo de prueba y verificar

Ve a WHM > Plugins > ConfigServer Security & Firewall.
En la pestaña Firewall Configuration, busca la opción TESTING. Asegúrate de que esté en 1 (activado) para la primera prueba.
Haz clic en Change para guardar los cambios.

Ahora, para activar el firewall, ve a la pestaña Firewall y haz clic en el botón Start. Verás cómo el estado cambia a "Running".

Configurar la interfaz de red

En la misma página de configuración (ConfigServer Security & Firewall), busca la opción ETH_DEVICE. Aquí debes indicar el nombre de tu interfaz de red principal. Normalmente es eth0, ens3 o venet0. Puedes averiguarlo con el comando ip addr show o ifconfig.

[WARNING]
Si pones una interfaz incorrecta, el firewall podría no funcionar o bloquear todo el tráfico. Si no estás seguro, déjalo en blanco y CSF intentará detectarlo automáticamente.

Paso 3: Abrir y cerrar puertos (reglas básicas)

Ahora viene la parte más práctica. Saber abrir puertos es esencial para que servicios como SSH, SMTP o HTTP funcionen correctamente.

¿Qué son los puertos?

Piénsalo como las ventanas de tu casa. La puerta principal es el puerto 80 (HTTP) para la web. Cada servicio tiene su propio puerto. Si el firewall no tiene abierto ese puerto, nadie podrá acceder a ese servicio.

Lista de puertos comunes que debes tener abiertos

HTTP (Web): 80
HTTPS (Web Segura): 443
SSH (Acceso remoto): 22 (o el que hayas configurado)
FTP: 21
SMTP (Correo saliente): 25, 465, 587
POP3 (Correo entrante): 110, 995
IMAP (Correo entrante): 143, 993

Cómo modificar los puertos en CSF

Ve a la pestaña Firewall Configuration.
Busca las opciones TCP_IN y TCP_OUT.
En TCP_IN, verás una lista de números de puerto separados por comas. Por ejemplo: 80,443,22,25,110,143.
Para abrir un puerto, simplemente añádelo a la lista. Para cerrarlo, elimínalo.
Haz clic en Change y luego en Restart csf+ lfd para aplicar los cambios.

[TIP]
Si tienes un sitio con certificado SSL, asegúrate de tener el puerto 443 abierto. Si solo tienes HTTP, el 80 es suficiente. No abras puertos innecesarios, ya que es como dejar ventanas abiertas en tu casa.

Paso 4: Configurar reglas de acceso por IP (Permisos y Denegaciones)

Además de los puertos, puedes controlar qué IPs pueden acceder a tu servidor. Esto es muy útil para proteger el acceso a tu panel de administración.

Permitir una IP específica (Whitelist)

Si quieres que solo tu IP de casa pueda acceder al panel de control, esta es tu opción.

Ve a la pestaña Firewall Configuration.
Busca ALLOW_IP y añade tu IP. Por ejemplo: ALLOW_IP = 123.456.789.0.
Guarda los cambios.

Bloquear una IP maliciosa (Blacklist)

Si ves intentos de ataque desde una IP concreta, puedes bloquearla.

Busca DENY_IP y añade la IP a bloquear.
Guarda los cambios.

Bloqueo temporal por intentos fallidos (LF)

CSF tiene un sistema llamado Login Failure Daemon (LFD) que bloquea automáticamente IPs que fallan al intentar acceder por SSH o FTP. Esta es una herramienta de seguridad fantástica.

Ve a la pestaña ConfigServer Security & Firewall y busca LF_DAEMON. Asegúrate de que esté activado.
Puedes ajustar el número de intentos fallidos antes del bloqueo en LF_SSH_ATTEMPTS (por defecto suele ser 5).

[INFO]
Si te equivocas y te bloqueas tu propia IP, no te preocupes. Puedes entrar por WHM si tienes acceso desde una IP diferente o por la consola de tu proveedor de hosting. Luego, solo tienes que eliminar tu IP de la lista DENY_IP y reiniciar el firewall.

Paso 5: Protección avanzada (Configuraciones recomendadas)

CSF ofrece más funciones que simplemente abrir y cerrar puertos. Aquí tienes algunas recomendaciones para mejorar tu seguridad servidor.

Bloquear el acceso al puerto 2106 (Syspanel)

Si utilizas un panel de control alternativo como Syspanel (anteriormente HestiaCP), es crucial que sepas que su acceso se realiza a través del puerto 2106. Asegúrate de que este puerto esté en tu lista TCP_IN para poder acceder a tu administración.

Protección contra ataques de fuerza bruta

En la configuración, busca LF_SSH_ATTEMPTS y LF_FTP_ATTEMPTS. Reducir el número de intentos a 3 puede ser una buena práctica. También puedes configurar LF_INTERVAL para que el bloqueo sea más rápido.

Configurar el bloqueo por países (CC)

CSF te permite bloquear el acceso desde ciertos países. Esto es muy útil si tu audiencia es local y no necesitas tráfico internacional.

Ve a la pestaña Firewall Configuration.
Busca CC_DENY y añade el código de país que quieras bloquear (ej. CN para China, RU para Rusia).
Guarda los cambios.

[WARNING]
Ten cuidado con el bloqueo por país. Si tu proveedor de hosting o tu equipo de trabajo está en un país bloqueado, podrías quedarte sin acceso. Siempre es mejor empezar bloqueando pocos países y añadir más según sea necesario.

Solución de problemas comunes (FAQ)

Aquí tienes algunas preguntas frecuentes que te ayudarán a resolver dudas.

¿Cómo sé si el firewall está funcionando?

Puedes usar el comando csf -l en la terminal para listar las reglas activas. Si ves una lista larga de reglas de iptables, ¡está funcionando!

¿Puedo desactivar el firewall temporalmente?

Sí, puedes detenerlo con csf -f para desactivarlo por completo. Para volver a activarlo, usa csf -e. Úsalo con precaución, ya que dejarás tu servidor expuesto.

¿Qué hago si me bloqueo mi propia IP?

Entra por WHM (si tienes otra IP) o por la consola de tu proveedor. Luego, ve a la pestaña Firewall Configuration, busca DENY_IP, elimina tu IP y reinicia el firewall.

¿Es necesario reiniciar el servidor después de cambiar la configuración?

No, no es necesario reiniciar el servidor. Solo necesitas reiniciar el servicio CSF. Puedes hacerlo desde WHM o con el comando csf -r.

¿CSF afecta el rendimiento de mi sitio web?

CSF está diseñado para ser ligero y no afectar el rendimiento. De hecho, al bloquear tráfico malicioso, puede mejorar la velocidad de tu sitio al reducir la carga innecesaria.

Conclusión: Tu servidor está más seguro

Enhorabuena, has llegado al final de esta guía. Ahora ya sabes cómo configurar un firewall cPanel usando CSF. Has aprendido a instalarlo, a abrir puertos, a gestionar IPs y a configurar protecciones avanzadas. Este es un gran paso para garantizar la seguridad servidor.

Recuerda que la seguridad es un proceso continuo. No basta con instalar el firewall; debes revisar periódicamente los registros de actividad (en WHM > ConfigServer Security & Firewall > Logs) para ver si hay intentos de intrusión y ajustar tus reglas en consecuencia.

Para terminar, un consejo final: no tengas miedo de experimentar. CSF es una herramienta muy potente, pero con la configuración adecuada, es tu mejor aliado. Empieza con las configuraciones básicas que te he mostrado y, poco a poco, ve añadiendo más capas de protección. Tu web y tus datos te lo agradecerán.

Si tienes alguna duda, recuerda que siempre puedes consultar la documentación oficial de ConfigServer o preguntar a tu proveedor de hosting. ¡Buena suerte con la configuración de tu firewall!