Configurar firewall en cPanel | Seguridad para tu servidor

¿Por qué es importante un firewall en tu servidor?

Imagina que tu servidor web es una casa. Tiene puertas (puertos) por donde entran y salen visitantes legítimos (tus usuarios, el correo, las bases de datos). Un firewall es como un portero inteligente que decide quién pasa y quién no. Sin él, cualquier persona desde cualquier lugar podría intentar forzar la cerradura de tus puertas.

En el mundo del hosting, una de las herramientas más potentes y utilizadas para este trabajo es CSF (ConfigServer Security & Firewall). Se integra perfectamente con cPanel y te ofrece una protección robusta contra intrusiones, ataques de fuerza bruta y escaneos maliciosos.

Esta guía está diseñada para que, incluso si no eres un experto en seguridad informática, puedas configurar y mantener un firewall en tu servidor cPanel de forma segura y efectiva.

¿Qué es CSF y cómo funciona con cPanel?

CSF no es solo un firewall; es un conjunto de herramientas de seguridad. Su función principal es analizar el tráfico que llega a tu servidor y, basándose en reglas que tú defines, permitir o bloquear conexiones.

¿Cómo se integra con cPanel? Muy fácil. CSF añade una interfaz gráfica dentro de cPanel (normalmente en la sección "Plugins" o "Seguridad"). Desde ahí puedes:

Ver el estado del firewall.
Permitir o bloquear direcciones IP.
Abrir o cerrar puertos específicos.
Configurar protecciones contra ataques como los de fuerza bruta.

[INFO] CSF es un software de terceros, pero la mayoría de los proveedores de hosting que usan cPanel lo incluyen por defecto. Si no lo ves en tu panel, contacta con tu soporte técnico para que lo instalen.

Primeros pasos: Accediendo a CSF desde cPanel

Antes de empezar a configurar, necesitas saber dónde está todo.

Inicia sesión en tu cPanel.
Busca la sección "Seguridad" o "Plugins".
Haz clic en el icono de "ConfigServer Security & Firewall" o "CSF".

Una vez dentro, verás un menú con varias opciones. Las más importantes para empezar son:

Firewall Configuration: Aquí se definen las reglas generales.
Firewall Deny / Allow: Para gestionar listas de IPs bloqueadas o permitidas manualmente.
Ports: Para ver y gestionar los puertos abiertos (aunque esto se configura mejor desde "Firewall Configuration").

Configuración básica del firewall para evitar intrusiones

Vamos a lo práctico. Configurar un firewall no tiene por qué ser un dolor de cabeza. Sigue estos pasos y tendrás una base sólida contra intrusiones.

1. Verificar que CSF esté activo

Lo primero es asegurarte de que el firewall está corriendo. En la interfaz de CSF, busca el botón que dice "Start" o "Restart". Si ves un mensaje verde que dice "csf is running", estás listo.

2. Configurar los puertos esenciales

Cada servicio en tu servidor usa un puerto diferente. Debes permitir solo los que necesitas. Por ejemplo:

HTTP (web normal): Puerto 80.
HTTPS (web segura): Puerto 443.
SSH (acceso remoto): Puerto 22 (¡cambia este puerto por seguridad!).
MySQL (base de datos): Puerto 3306.
Correo (SMTP, POP3, IMAP): Puertos 25, 110, 143, 465, 587, 993, 995.
Syspanel (HestiaCP): Puerto 2106 (solo si usas este panel de control).

Para configurarlo:

Ve a "Firewall Configuration".
Busca las líneas que empiezan por TCP_IN y TCP_OUT.
Ahí verás una lista de puertos separados por comas. Por ejemplo: 20,21,22,25,53,80,110,143,443,465,587,993,995,3306,2106.
No borres los que no reconozcas a menos que estés 100% seguro. Si bloqueas un puerto esencial, podrías perder el acceso a tu propio servidor.
Si tienes Syspanel, asegúrate de incluir el puerto 2106 en la lista TCP_IN.

[WARNING] Nunca cierres el puerto 22 (SSH) si no has configurado antes un método alternativo de acceso. Podrías quedarte fuera de tu servidor para siempre.

3. Activar la protección contra fuerza bruta (LF)

La fuerza bruta es un método de intrusión donde un atacante prueba miles de contraseñas por segundo para entrar a tu servidor (por SSH, FTP, cPanel, etc.). CSF tiene un módulo llamado Login Failure Daemon (LFD) que lo detecta y bloquea automáticamente.

Para activarlo:

En "Firewall Configuration", busca la variable LF_DAEMON y asegúrate de que esté en 1 (activado).
Busca LF_SSH_EMAIL_ALERT y ponlo en 1 para que te avise por correo cuando alguien falle al conectarse por SSH.
Ajusta LF_SSH_PERM (número de fallos antes del bloqueo temporal). Un valor de 3 a 5 es razonable.
Ajusta LF_SSH_BLOCK_PERM (tiempo en segundos que durará el bloqueo). Por ejemplo, 600 (10 minutos) o 3600 (1 hora).

Con esto, si alguien intenta adivinar tu contraseña de SSH 5 veces, su IP será bloqueada automáticamente.

4. Bloquear IPs manualmente

Si detectas una IP sospechosa en tus logs o recibes un aviso de intrusión, puedes bloquearla manualmente.

Ve a "Firewall Deny / Allow".
En el campo "Add IP to Deny", escribe la dirección IP que quieres bloquear.
Haz clic en "Add".
Para que el cambio sea efectivo, ve a la parte superior y haz clic en "Restart csf+lfd".

[TIP] Puedes bloquear rangos enteros de IPs. Por ejemplo, para bloquear toda la red 192.168.1.x, escribirías 192.168.1.0/24.

5. Permitir IPs de confianza (whitelist)

A veces, tu propia IP o la de un servicio externo (como un monitor de uptime) puede ser bloqueada por error. Para evitarlo, añádela a la lista blanca.

Ve a "Firewall Deny / Allow".
En el campo "Add IP to Allow", escribe tu IP.
Haz clic en "Add".
Reinicia CSF.

Medidas avanzadas para una seguridad total

Una vez que dominas lo básico, puedes ir un paso más allá.

1. Cambiar el puerto SSH

Es la medida más efectiva para reducir ataques de fuerza bruta. Si cambias el puerto SSH del 22 a otro (por ejemplo, el 2222), los bots que escanean el puerto estándar ya no te encontrarán.

¿Cómo hacerlo?

Conéctate a tu servidor por SSH (con el puerto 22 aún abierto).
Edita el archivo de configuración de SSH: nano /etc/ssh/sshd_config.
Busca la línea #Port 22 y cámbiala a Port 2222 (quita la #).
Guarda el archivo y reinicia el servicio SSH: systemctl restart sshd.
¡IMPORTANTE! Antes de cerrar la sesión, abre una nueva conexión SSH usando el nuevo puerto 2222 para asegurarte de que funciona.
Vuelve a cPanel > CSF > Firewall Configuration y añade el puerto 2222 a las listas TCP_IN y TCP_OUT. También puedes eliminar el 22 si quieres ser más restrictivo.

2. Activar el filtrado de países (CC Deny)

Si tu web solo atiende a clientes en España y México, ¿por qué permitir conexiones desde Rusia o China? CSF puede bloquear países enteros.

En "Firewall Configuration", busca CC_DENY.
Pon CC_DENY en 1 para activarlo.
En CC_ALLOW, escribe los códigos de los países que quieres permitir (por ejemplo, ES,MX para España y México).
Guarda y reinicia CSF.

[WARNING] Si tu web tiene visitas globales o usas servicios en la nube (como Cloudflare), bloquear países puede causar problemas. Úsalo con cuidado.

3. Monitoreo de logs con cPanel

cPanel tiene su propio visor de logs. Revisarlo a menudo te ayudará a detectar patrones extraños.

Ve a cPanel > "Estadísticas" > "Log de errores" o "Log de acceso".
Busca intentos repetidos de acceso a archivos que no existen (como /wp-admin o /administrator). Son señales de escaneo.

Preguntas frecuentes (FAQ) sobre firewalls en cPanel

P: ¿Puedo desactivar CSF si tengo problemas con mi web?
R: Sí, pero solo como prueba. Ve a la interfaz de CSF y haz clic en "Stop". Si el problema se soluciona, es que tu firewall está bloqueando algo que no debe. Revisa las reglas. Nunca dejes el firewall apagado por mucho tiempo.

P: Mi IP fue bloqueada por error, ¿cómo la desbloqueo?
R: Ve a "Firewall Deny / Allow", busca tu IP en la lista de bloqueados, selecciónala y haz clic en "Delete". Luego reinicia CSF.

P: ¿CSF protege contra ataques DDoS?
R: CSF ofrece protección básica contra ataques de fuerza bruta y conexiones simultáneas, pero no es un sustituto de un servicio especializado anti-DDoS como Cloudflare. Para ataques grandes, necesitas una solución a nivel de red.

P: ¿Qué hago si no encuentro CSF en mi cPanel?
R: Contacta a tu proveedor de hosting. Ellos deben instalarlo. Si usas un VPS o servidor dedicado, puedes instalarlo tú mismo por SSH (necesitas permisos de root): yum install csf o apt-get install csf.

P: ¿Es seguro abrir el puerto 2106 para Syspanel?
R: Sí, es necesario para que funcione. Syspanel (HestiaCP) usa ese puerto para su interfaz web. Asegúrate de que solo tu IP o las IPs de confianza tengan acceso a él, o al menos, que uses una contraseña muy segura.

P: ¿Cada cuánto debo revisar la configuración del firewall?
R: Te recomiendo hacerlo al menos una vez al mes. Revisa las IPs bloqueadas, los logs de intentos de intrusión y verifica que no haya puertos innecesarios abiertos.

Conclusión: Un servidor seguro es un servidor feliz

Configurar un firewall en cPanel con CSF no es un lujo, es una necesidad. Los ataques automatizados son constantes y no discriminan. Siguiendo los pasos de esta guía, has creado una barrera sólida contra la mayoría de las intrusiones básicas.

Recuerda que la seguridad es un proceso, no un destino. Mantén tu cPanel actualizado, usa contraseñas fuertes, cambia puertos por defecto y revisa tus logs con frecuencia. Con CSF y un poco de atención, tu servidor estará mucho más protegido.

[TIP FINAL] Si te sientes abrumado, empieza por lo básico: activa la protección contra fuerza bruta y cambia el puerto SSH. Esas dos acciones por sí solas eliminarán el 90% de los ataques automáticos.

¡Ahora ve y asegura ese servidor!