Configurar Firewall en DirectAdmin | Guía Básica de Seguridad

¿Qué es un firewall y por qué tu servidor DirectAdmin lo necesita?

Imagina que tu servidor es una casa. DirectAdmin es la puerta principal, pero el firewall es la reja de seguridad, el portero y el sistema de alarma a la vez. Un firewall básico actúa como un filtro entre tu servidor y el tráfico de Internet, decidiendo qué conexiones pueden entrar y cuáles deben ser bloqueadas.

Sin un firewall configurado, tu servidor queda expuesto a escaneos de puertos, ataques de fuerza bruta, intentos de acceso no autorizado y tráfico malicioso. Esto es especialmente crítico si alojas sitios web con información sensible o si gestionas múltiples cuentas de usuario.

La buena noticia es que DirectAdmin incluye herramientas integradas para configurar un firewall sin necesidad de ser un experto en redes. En esta guía paso a paso, aprenderás a configurar un firewall básico en DirectAdmin, bloquear IPs no deseadas y proteger tu servidor de forma efectiva.

¿Qué necesitas antes de empezar?

Antes de comenzar con la configuración del firewall DirectAdmin, asegúrate de tener lo siguiente:

Acceso al panel de administración de DirectAdmin (normalmente en https://tu-dominio.com:2222)
Credenciales de administrador (nivel root o admin)
Acceso SSH al servidor (opcional, pero recomendado para verificación)
Una lista de las IPs que quieres permitir o bloquear

[WARNING] Si estás usando un VPS o servidor dedicado, asegúrate de tener acceso a la consola del proveedor (por ejemplo, VNC o panel del hosting). En caso de que bloquees accidentalmente tu propia IP, podrás deshacer el cambio desde ahí.

Paso 1: Accede al administrador de firewall en DirectAdmin

DirectAdmin integra un administrador de firewall visual que simplifica enormemente el proceso. Para acceder:

Inicia sesión en DirectAdmin como administrador.
Busca la sección "Administración de Servidor" en el menú principal.
Haz clic en "Firewall" o "Administrador de Firewall" (dependiendo de la versión).

También puedes ir directamente a la URL: https://tu-dominio.com:2222/CMD_FIREWALL

Verás una interfaz con las siguientes pestañas principales:

Reglas actuales: Muestra las reglas activas.
Agregar regla: Para crear nuevas reglas.
Bloqueo de IP: Para bloquear direcciones IP específicas.
Lista blanca: Para permitir IPs específicas.

[INFO] DirectAdmin utiliza internamente iptables o firewalld (dependiendo del sistema operativo). No necesitas conocer estos comandos, pero es útil saberlo para diagnósticos avanzados.

Paso 2: Configurar reglas básicas de tráfico

Un firewall básico debe permitir el tráfico legítimo y bloquear el resto. DirectAdmin ya viene con reglas predeterminadas que permiten los puertos esenciales (HTTP, HTTPS, SSH, FTP, etc.), pero puedes personalizarlas.

¿Qué puertos son esenciales?

80 (HTTP) y 443 (HTTPS): Para sitios web.
22 (SSH): Para acceso remoto seguro.
21 (FTP) y 20 (FTP-DATA): Para transferencia de archivos.
25 (SMTP), 110 (POP3) y 143 (IMAP): Para correo electrónico.
2222: Para el panel de DirectAdmin.
3306 (MySQL/MariaDB): Solo si necesitas acceso externo a la base de datos (recomendamos restringirlo).

Cómo agregar una regla

Ve a la pestaña "Agregar regla".
Selecciona el protocolo (TCP, UDP o ambos).
Especifica el puerto o rango de puertos (ejemplo: 8080-8090).
Elige la acción: Permitir (ACCEPT) o Denegar (DROP/REJECT).
Indica la dirección IP o déjalo vacío para aplicar a todas.
Haz clic en "Agregar".

[TIP] Para la mayoría de los casos, bastará con mantener las reglas predeterminadas. No agregues reglas innecesarias, ya que podrías bloquear servicios sin darte cuenta.

Paso 3: Bloquear IPs específicas en DirectAdmin

Uno de los usos más comunes del firewall es bloquear IPs que intentan acceder repetidamente sin autorización, o que generan tráfico sospechoso. DirectAdmin ofrece dos métodos para hacerlo:

Método A: Desde el administrador de firewall

Ve a la pestaña "Bloqueo de IP".
Escribe la dirección IP que deseas bloquear.
Opcionalmente, añade una nota (por ejemplo, "Ataque de fuerza bruta el 15/03").
Haz clic en "Bloquear IP".

Método B: Desde la línea de comandos (SSH)

Si prefieres usar SSH, puedes bloquear una IP directamente con un comando:

iptables -A INPUT -s IP_A_BLOQUEAR -j DROP

O si usas firewalld:

firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="IP_A_BLOQUEAR" drop'
firewall-cmd --reload

[WARNING] Asegúrate de no bloquear tu propia IP. Si lo haces, perderás el acceso al servidor. Verifica siempre tu IP pública antes de aplicar un bloqueo.

Paso 4: Crear una lista blanca de IPs confiables

Además de bloquear IPs maliciosas, es recomendable crear una lista blanca para direcciones IP que siempre deben tener acceso, como tu IP de casa o la de tu oficina.

En el administrador de firewall, ve a la pestaña "Lista blanca".
Añade la IP o rango de IPs permitidas.
Guarda los cambios.

¿Cuándo es útil una lista blanca?

Si tienes una IP fija y quieres restringir el acceso SSH solo a esa IP.
Para permitir acceso a paneles de administración desde direcciones específicas.
Para proteger bases de datos que solo deben ser accesibles desde ciertos servidores.

Paso 5: Proteger DirectAdmin contra ataques de fuerza bruta

Los ataques de fuerza bruta son intentos repetidos de adivinar contraseñas. DirectAdmin tiene protecciones integradas, pero puedes reforzarlas con el firewall.

Opciones de protección:

Limitar intentos de conexión SSH: Puedes configurar fail2ban (si está instalado) para que bloquee automáticamente IPs tras varios intentos fallidos.
Restringir el acceso al panel de DirectAdmin (puerto 2222): Si solo tú y tu equipo acceden al panel, limita el acceso a unas pocas IPs.
Cambiar el puerto SSH: Aunque esto no es estrictamente del firewall, reduce drásticamente los intentos de acceso automatizados.

Ejemplo de regla para limitar SSH:

En el administrador de firewall, agrega una regla que solo permita el puerto 22 desde tu IP:

Protocolo: TCP
Puerto: 22
Dirección IP: TU_IP_PUBLICA
Acción: Permitir
Luego agrega otra regla que deniegue el puerto 22 para todas las demás IPs.

[INFO] Si no sabes cuál es tu IP pública, puedes visitar sitios como whatismyip.com o usar el comando curl ifconfig.me desde tu terminal local.

Paso 6: Verificar y probar la configuración del firewall

Una vez que hayas configurado las reglas, es fundamental verificar que todo funcione correctamente.

Desde DirectAdmin:

Ve a la pestaña "Reglas actuales".
Revisa que las reglas aparezcan con el estado "Activa".
Comprueba que no haya conflictos entre reglas (por ejemplo, una regla que permita y otra que bloquee el mismo puerto).

Desde SSH:

Ejecuta el siguiente comando para ver las reglas de iptables:

iptables -L -n -v

O si usas firewalld:

firewall-cmd --list-all

Prueba de conectividad:

Intenta acceder a tu sitio web (http://tu-dominio.com).
Conéctate por SSH desde tu IP.
Intenta acceder desde una IP bloqueada (puedes usar un proxy o VPN) y verifica que la conexión sea rechazada.

[TIP] Si algo falla, revisa el orden de las reglas. En iptables, las reglas se evalúan en orden, así que coloca las reglas más específicas primero.

Paso 7: Mantenimiento y monitoreo continuo

Configurar un firewall no es un trabajo de una sola vez. Debes monitorear el tráfico y ajustar las reglas según sea necesario.

Recomendaciones:

Revisa los registros del firewall periódicamente (en /var/log/messages o /var/log/firewall.log).
Elimina reglas obsoletas que ya no necesites.
Mantén actualizado DirectAdmin y el sistema operativo para que las reglas del firewall se apliquen correctamente.
Considera instalar herramientas como CSF (ConfigServer Security & Firewall), que es un firewall más avanzado y popular en servidores con DirectAdmin.

¿Cómo instalar CSF en DirectAdmin?

CSF es una solución más robusta que el firewall básico. Para instalarlo desde SSH:

cd /usr/src
wget https://download.configserver.com/csf.tgz
tar -xzf csf.tgz
cd csf
sh install.sh

Luego activa el modo de prueba y configúralo desde /etc/csf/csf.conf.

[INFO] CSF ofrece funciones adicionales como detección de intrusiones, protección contra ataques DDoS y monitoreo en tiempo real. Si tu servidor maneja mucho tráfico o es crítico, vale la pena considerarlo.

Preguntas frecuentes sobre el firewall en DirectAdmin

¿Qué diferencia hay entre DROP y REJECT?

DROP: Descarta el paquete sin enviar respuesta. El atacante no sabe si el puerto está abierto o cerrado.
REJECT: Envía una respuesta de error (ICMP). Es útil para diagnóstico, pero revela que el firewall está activo.

Para seguridad, se recomienda DROP.

¿Puedo bloquear un rango de IPs?

Sí, puedes usar notación CIDR. Por ejemplo, para bloquear toda la subred 192.168.1.0 a 192.168.1.255, usa 192.168.1.0/24.

¿Qué hago si bloqueo mi propia IP?

Si tienes acceso SSH desde otra IP, desbloquea la regla. Si no, usa el panel de tu proveedor de hosting (VNC, KVM) para acceder al servidor y eliminar la regla.

¿El firewall afecta el rendimiento del servidor?

Un firewall básico con pocas reglas tiene un impacto mínimo. Sin embargo, si tienes cientos de reglas complejas, podría notarse una pequeña latencia.

¿Debo usar el firewall de DirectAdmin o uno externo?

El firewall de DirectAdmin es suficiente para la mayoría de los casos. Para mayor seguridad, puedes combinar con un firewall a nivel de red (como los que ofrecen algunos proveedores de hosting).

Conclusión

Configurar un firewall básico en DirectAdmin es una tarea sencilla pero crucial para garantizar la seguridad de tu servidor. Siguiendo esta guía paso a paso, has aprendido a:

Acceder al administrador de firewall de DirectAdmin.
Agregar reglas básicas de tráfico.
Bloquear IPs no deseadas.
Crear listas blancas.
Proteger tu servidor contra ataques de fuerza bruta.
Verificar y mantener tu configuración.

Recuerda que la seguridad es un proceso continuo. Revisa periódicamente los registros y ajusta las reglas según las amenazas que detectes. Con un firewall bien configurado, tu servidor estará mucho más protegido contra accesos no autorizados y ataques maliciosos.

[TIP] Comparte esta guía con otros administradores de servidores. La seguridad es responsabilidad de todos. Y si tienes dudas, no dudes en consultar la documentación oficial de DirectAdmin o buscar ayuda en foros especializados.