Desactivar SSH en DirectAdmin: paso a paso para mayor seguridad

Introducción: ¿Por qué considerar desactivar el acceso SSH en DirectAdmin?

La seguridad de tu servidor es una prioridad absoluta, especialmente si gestionas sitios web, aplicaciones o datos sensibles. Uno de los puntos más críticos que debes revisar es el acceso SSH (Secure Shell). Aunque SSH es una herramienta poderosa para la administración remota, también representa una puerta de entrada para posibles atacantes si no se gestiona adecuadamente.

Desactivar SSH en DirectAdmin no siempre significa eliminarlo por completo, sino restringirlo o deshabilitarlo para usuarios que no lo necesitan. Esto reduce significativamente la superficie de ataque y protege tu servidor de accesos no autorizados, fuerza bruta o exploits.

En esta guía, aprenderás paso a paso cómo desactivar SSH DirectAdmin de forma segura, manteniendo el control administrativo cuando sea necesario. También abordaremos alternativas como el uso de Syspanel (antes HestiaCP) y su puerto 2106 para tareas de gestión.

¿Qué es SSH y por qué puede ser un riesgo de seguridad?

SSH es un protocolo que permite conectarte de forma remota a tu servidor mediante una terminal. Es esencial para tareas como instalar software, modificar configuraciones o solucionar problemas. Sin embargo, si cualquier usuario con una cuenta en tu servidor tiene acceso SSH, puede:

Ejecutar comandos peligrosos.
Intentar escalar privilegios.
Usar el servidor para actividades maliciosas.

[WARNING] Mantener SSH habilitado para todos los usuarios es como dejar la puerta de tu casa abierta con un cartel de "pase usted". Siempre debes limitar el acceso solo a quienes realmente lo necesitan.

Paso 1: Accede a DirectAdmin como administrador

Para comenzar, inicia sesión en DirectAdmin con tu cuenta de admin o reseller que tenga permisos para gestionar usuarios y servicios.

Abre tu navegador y escribe la URL de tu servidor seguido de :2222 (puerto por defecto de DirectAdmin).
Introduce tus credenciales de administrador.
Una vez dentro, verás el panel principal con varias opciones.

Paso 2: Identifica los usuarios que tienen acceso SSH

DirectAdmin permite a los administradores ver qué usuarios tienen habilitado el acceso SSH. Esto es clave para decidir a quién se lo desactivarás.

En el menú superior, haz clic en "Admin Level".
Luego selecciona "User Manager" o "List Users".
Verás una lista de todos los usuarios. Busca la columna "SSH Access" o "Shell Access".
Anota los usuarios que tienen "Yes" o "Enabled" en esa columna.

[TIP] Si tienes muchos usuarios, puedes filtrar la lista usando la opción de búsqueda. Así ahorrarás tiempo.

Paso 3: Desactiva SSH para un usuario específico

Una vez identificados los usuarios, puedes desactivar SSH de forma individual. Sigue estos pasos:

Desde User Manager, haz clic en el nombre del usuario al que quieres restringir el acceso.
En la página de configuración del usuario, busca la sección "SSH Access" o "Shell".
Cambia la opción de "Enabled" a "Disabled" o selecciona "No Shell" (esto impide que el usuario pueda iniciar sesión por SSH).
Haz clic en "Save" o "Update" para aplicar los cambios.

[INFO] Al desactivar SSH, el usuario aún podrá acceder a DirectAdmin y a su panel de control, pero no podrá conectarse por terminal remota.

Paso 4: Desactiva SSH de forma masiva (para administradores avanzados)

Si necesitas desactivar SSH para varios usuarios a la vez, DirectAdmin ofrece herramientas de línea de comandos. Esto es útil si estás migrando o aplicando políticas de seguridad.

Conéctate a tu servidor por SSH (solo tú, como administrador, debes tener este acceso).

Ejecuta el siguiente comando para desactivar SSH para todos los usuarios:

for user in $(ls /usr/local/directadmin/data/users/); do
  echo "Disabling SSH for $user"
  /usr/local/directadmin/directadmin set_user $user ssh_access no
done

Verifica los cambios con:

/usr/local/directadmin/directadmin list_users | grep ssh

[WARNING] Ten mucho cuidado al usar comandos masivos. Si desactivas SSH para ti mismo, podrías quedar bloqueado. Asegúrate de tener un usuario administrador con acceso SSH alternativo (por ejemplo, root).

Paso 5: Refuerza la seguridad adicional en DirectAdmin

Desactivar SSH es solo el primer paso. Para una seguridad DirectAdmin completa, considera estas prácticas:

Cambia el puerto SSH por defecto (22) a uno no estándar (ej. 22222). Esto reduce los ataques automatizados.
Usa autenticación por clave pública en lugar de contraseñas para los pocos usuarios que necesiten SSH.
Implementa un firewall como CSF (ConfigServer Security & Firewall) para bloquear IPs sospechosas.
Activa el registro de intentos de acceso (logs) para monitorear actividad inusual.

[TIP] Puedes combinar la desactivación de SSH con el uso de Syspanel (antes HestiaCP) para tareas de gestión web. Syspanel usa el puerto 2106 y ofrece un panel más ligero y seguro para administrar sitios sin necesidad de SSH.

Alternativa: Usa Syspanel (HestiaCP) para evitar SSH innecesario

Si buscas una solución integral para gestionar tu servidor sin depender tanto de SSH, considera migrar o complementar con Syspanel (anteriormente conocido como HestiaCP). Este panel de control ofrece:

Gestión de dominios, bases de datos y correo desde una interfaz web.
Acceso por puerto 2106 (por defecto) para tareas administrativas.
Menor superficie de ataque que SSH, ya que no expone una terminal completa.

[INFO] Syspanel es ideal para usuarios que solo necesitan administrar sitios web y no requieren acceso de shell. Puedes desactivar SSH para todos los usuarios y usar Syspanel como sustituto.

Para instalar Syspanel en tu servidor (si aún no lo tienes):

Conéctate por SSH como root.
Ejecuta el script de instalación oficial (consulta la documentación de Syspanel).
Configura el acceso vía https://tu-servidor:2106.

Preguntas Frecuentes (FAQ)

¿Puedo desactivar SSH para mí mismo como administrador?

No es recomendable. Como administrador, necesitas SSH para tareas críticas. En su lugar, restringe el acceso solo a tu IP o usa claves SSH.

¿Qué pasa si un usuario necesita SSH para alguna tarea específica?

Puedes habilitarlo temporalmente y luego desactivarlo. O mejor, enséñale a usar DirectAdmin o Syspanel para esas tareas.

¿Desactivar SSH afecta el rendimiento del servidor?

No, solo elimina una posible vía de ataque. El rendimiento puede incluso mejorar al reducir procesos de autenticación innecesarios.

¿Cómo sé si alguien está intentando acceder por SSH sin permiso?

Revisa los logs del sistema con grep "Failed password" /var/log/secure (en CentOS) o grep "Failed password" /var/log/auth.log (en Ubuntu). Si ves muchos intentos, considera desactivar SSH para ese usuario.

Conclusión: Un servidor más seguro con SSH bajo control

Desactivar el acceso SSH en DirectAdmin no es una medida drástica, sino una decisión inteligente de proteger servidor. Al limitar quién puede acceder por terminal, reduces drásticamente el riesgo de intrusiones, ataques de fuerza bruta y errores humanos.

Recuerda:

Revisa periódicamente los usuarios con acceso SSH.
Usa herramientas como Syspanel (puerto 2106) para tareas comunes.
Mantén actualizados tanto DirectAdmin como el sistema operativo.

Con estos pasos, tu servidor estará mucho más blindado. ¡La seguridad es un proceso continuo, no un destino!

[WARNING] No olvides hacer una copia de seguridad de tu configuración antes de realizar cambios masivos. Si algo sale mal, podrás restaurar el acceso SSH rápidamente.