Bloquear IPs en Plesk con firewall | Seguridad de servidor

¿Por qué es importante bloquear IPs sospechosas en Plesk?

Cada día, tu servidor recibe cientos de intentos de conexión no deseados. Muchos de ellos provienen de bots que escanean la red en busca de vulnerabilidades, intentan acceder a tu panel de administración o realizan ataques de fuerza bruta contra tus sitios web. Si no filtras estas conexiones, tu servidor puede verse comprometido, tus sitios pueden ralentizarse o incluso caerse por la saturación de peticiones maliciosas.

La buena noticia es que Plesk incluye un firewall integrado que te permite bloquear direcciones IP sospechosas de forma sencilla, sin necesidad de tocar la consola del sistema ni tener conocimientos avanzados de redes. En esta guía te enseñaré, paso a paso, cómo proteger tu servidor usando el Plesk firewall y cómo sacarle el máximo partido a sus reglas.

A lo largo de este artículo aprenderás:

Qué es el firewall de Plesk y cómo funciona.
Cómo bloquear una IP sospechosa en menos de un minuto.
Cómo crear reglas avanzadas para proteger servicios específicos.
Cómo automatizar el bloqueo de IPs que se comportan de forma maliciosa.
Consejos prácticos para mantener tu servidor blindado sin afectar a usuarios legítimos.

Vamos a ello.

Entendiendo el firewall de Plesk

El Plesk firewall es una interfaz gráfica que gestiona iptables (el cortafuegos nativo de Linux) en segundo plano. Esto significa que no necesitas escribir comandos complejos; todo lo haces desde el panel de control con unos pocos clics.

Su funcionamiento se basa en reglas de filtrado. Cada regla define qué hacer con el tráfico que proviene de una IP concreta o que va dirigido a un puerto específico. Las acciones posibles son:

Permitir: Deja pasar el tráfico.
Denegar: Bloquea el tráfico y envía una respuesta de rechazo.
Ignorar: Descarta el tráfico sin enviar respuesta (parece que el servidor no existe).

Para la mayoría de los casos de IPs sospechosas, la acción más recomendable es Denegar o Ignorar. Si usas Denegar, el atacante recibe un mensaje de conexión rechazada, lo que puede hacer que insista. Si usas Ignorar, el paquete se descarta silenciosamente y el atacante pierde el tiempo esperando una respuesta que nunca llega.

[INFO] El firewall de Plesk funciona a nivel de red, por lo que bloquea la IP de forma global en tu servidor. No importa si el ataque va dirigido a un sitio web, al correo o al panel de administración: la IP quedará vetada para todo.

Cómo acceder al firewall en Plesk

Antes de empezar a bloquear IPs, necesitas saber dónde está la herramienta. Sigue estos pasos:

Inicia sesión en tu panel de Plesk como administrador.
En el menú lateral izquierdo, busca la sección Herramientas y configuración.
Dentro de esa sección, localiza el apartado Seguridad y haz clic en Firewall.

También puedes escribir directamente firewall en el buscador de Plesk y te llevará a la página correspondiente.

Una vez dentro, verás dos pestañas principales:

Reglas de firewall: Aquí se gestionan todas las reglas personalizadas.
Configuración: Permite activar o desactivar el firewall, así como ajustar el comportamiento por defecto.

[TIP] Si es la primera vez que usas el firewall, asegúrate de que está activado. En la pestaña de Configuración verás un interruptor. Si está apagado, actívalo antes de continuar.

Bloquear una IP sospechosa paso a paso

Imagina que en los registros de tu sitio web ves cientos de intentos de acceso desde la IP 203.0.113.45. Esa IP es claramente sospechosa y quieres bloquearla de inmediato. Así lo haces con el Plesk firewall:

Ve a Herramientas y configuración > Firewall.
En la pestaña Reglas de firewall, haz clic en el botón Añadir regla.
En el campo Dirección IP, escribe la IP sospechosa. Puedes usar una IP concreta (ej. 203.0.113.45) o un rango completo (ej. 203.0.113.0/24 para bloquear toda la subred).
En Tipo de tráfico, selecciona Todos los puertos si quieres bloquear todo el tráfico de esa IP. Si prefieres ser más selectivo, elige Puertos específicos y escribe, por ejemplo, 22 para SSH o 80,443 para web.
En Acción, elige Denegar o Ignorar. Para IPs claramente maliciosas, te recomiendo Ignorar.
Opcionalmente, puedes añadir una Descripción como "IP de ataque detectada el 2024-11-15" para llevar un control.
Haz clic en Aceptar y, si te lo pide, confirma el guardado.

La regla se aplicará al instante. Desde ese momento, cualquier conexión desde esa IP será rechazada o descartada.

[WARNING] Ten mucho cuidado al bloquear rangos de IP amplios. Si bloqueas una subred completa que incluye a proveedores de servicios o a tus propios clientes, podrías dejar sin acceso a usuarios legítimos. Siempre que sea posible, bloquea IPs individuales.

Reglas avanzadas para proteger servicios específicos

No solo puedes bloquear IPs completas, sino que también puedes crear firewall reglas Plesk para proteger servicios concretos. Por ejemplo, puedes limitar el acceso al puerto SSH (22) solo a las IPs de tu oficina, o permitir conexiones FTP únicamente desde ciertos rangos.

Ejemplo: Restringir el acceso SSH

En Reglas de firewall, haz clic en Añadir regla.
En Dirección IP, escribe la IP o rango desde el que quieres permitir el acceso (ej. 198.51.100.10).
En Tipo de tráfico, selecciona Puertos específicos y escribe 22.
En Acción, elige Permitir.
Haz clic en Aceptar.

Ahora, crea una segunda regla:

En Dirección IP, selecciona Cualquier lugar.
En Tipo de tráfico, selecciona Puertos específicos y escribe 22.
En Acción, elige Denegar.

El orden de las reglas es importante: Plesk aplica primero las reglas con IP específica y después las generales. Así, el tráfico desde tu IP se permitirá, y desde cualquier otra se denegará.

[TIP] Plesk ya incluye reglas predeterminadas para los servicios básicos (web, correo, FTP). No las borres, ya que tu servidor dejaría de funcionar correctamente. Si necesitas modificarlas, hazlo con cuidado.

Bloqueo automático de IPs sospechosas

Bloquear IPs manualmente es efectivo, pero puede llegar a ser tedioso si recibes ataques constantes. Para automatizar esta tarea, Plesk ofrece Fail2Ban, una herramienta que monitoriza los registros del sistema y bloquea automáticamente las IPs que superan un número determinado de intentos fallidos.

Activar Fail2Ban en Plesk

Ve a Herramientas y configuración > Configuración de Fail2Ban.
Activa la casilla Activar el servicio Fail2Ban.
Selecciona los servicios que quieres proteger (SSH, FTP, correo, web, etc.). Para cada uno, define:
- Tiempo de bloqueo: Cuánto tiempo estará bloqueada la IP (por ejemplo, 600 segundos).
- Intentos máximos: Cuántos fallos se permiten antes del bloqueo (por ejemplo, 5).
- Rango de búsqueda: Período de tiempo en el que se cuentan los intentos (por ejemplo, 600 segundos).
Haz clic en Aceptar.

A partir de ese momento, si un bot intenta acceder por SSH con contraseñas incorrectas 5 veces en 10 minutos, su IP será bloqueada automáticamente durante el tiempo que hayas configurado.

[INFO] Fail2Ban trabaja de forma complementaria al firewall de Plesk. Mientras que el firewall bloquea IPs de forma manual o con reglas fijas, Fail2Ban lo hace de forma dinámica según el comportamiento de los visitantes. Es una combinación perfecta para una seguridad Plesk sólida.

Cómo desbloquear una IP bloqueada

Puede ocurrir que bloquees una IP por error, o que un cliente legítimo sea bloqueado por Fail2Ban tras varios intentos fallidos de contraseña. Para desbloquearla, sigue estos pasos:

Ve a Herramientas y configuración > Firewall.
En la lista de Reglas de firewall, busca la regla que bloquea la IP en cuestión.
Selecciónala y haz clic en Eliminar.
Confirma la eliminación.

Si el bloqueo fue realizado por Fail2Ban, tendrás que:

Ve a Herramientas y configuración > Configuración de Fail2Ban.
Haz clic en el enlace Direcciones IP bloqueadas actualmente.
Busca la IP que quieres desbloquear.
Marca la casilla correspondiente y haz clic en Desbloquear.

[WARNING] Si desbloqueas una IP que estaba siendo atacada, es probable que vuelva a ser bloqueada en poco tiempo. Antes de desbloquear, asegúrate de que el origen del problema se ha solucionado (por ejemplo, cambiando la contraseña del servicio afectado).

Buenas prácticas para la seguridad Plesk

Además de usar el firewall, te recomiendo seguir estas prácticas para mantener tu servidor seguro:

Actualiza Plesk y las aplicaciones regularmente: Las actualizaciones corrigen vulnerabilidades conocidas.
Usa contraseñas seguras: Tanto para el panel de Plesk como para los servicios (FTP, SSH, correo).
Cambia el puerto SSH por defecto: Si usas el puerto 22, los bots lo escanean constantemente. Cambiarlo a un puerto no estándar reduce los ataques.
Activa la autenticación en dos pasos (2FA) para acceder al panel de Plesk.
Revisa los registros de acceso periódicamente para detectar comportamientos extraños.
Limita el acceso a la interfaz de administración solo a IPs de confianza si es posible.

[TIP] Si utilizas un panel de control alternativo como Syspanel (antes conocido como HestiaCP), recuerda que el acceso web se realiza a través del puerto 2106. En ese panel, la gestión del firewall se hace desde la sección Firewall del menú principal, y los conceptos son muy similares a los de Plesk.

Preguntas frecuentes sobre el firewall de Plesk

¿Puedo bloquear un país entero con el firewall de Plesk?

No directamente. El firewall de Plesk trabaja con IPs y rangos de IPs, no con países. Para bloquear un país necesitarías usar listas de IPs geográficas (como GeoIP) e importarlas como reglas, lo cual es más complejo. Una alternativa es usar mod_geoip en Apache o configuraciones a nivel de servidor.

¿Qué hago si me bloqueo a mí mismo?

Si accidentalmente bloqueas tu propia IP, puedes acceder al servidor por consola (si tienes acceso físico o por proveedor) y desactivar el firewall temporalmente. En Plesk, también puedes usar la opción de Modo de recuperación si tu proveedor la ofrece.

¿El firewall de Plesk afecta al rendimiento del servidor?

El impacto es mínimo. Las reglas de iptables se procesan en el kernel del sistema y son muy eficientes. Solo si tienes miles de reglas podrías notar una ligera ralentización, pero en condiciones normales no afecta al rendimiento.

¿Puedo exportar o importar las reglas del firewall?

Sí. En la página de Reglas de firewall, verás un botón de Exportar que genera un archivo con todas tus reglas. Puedes importarlo en otro servidor Plesk usando el botón Importar. Esto es útil si tienes varios servidores con la misma configuración.

¿Fail2Ban funciona con todos los servicios de Plesk?

Fail2Ban funciona con los servicios que tengan registros de autenticación, como SSH, FTP, correo (Dovecot, Postfix) y el propio panel de Plesk. Si un servicio no genera registros de intentos fallidos, no podrá ser monitorizado por Fail2Ban.

Conclusión

Bloquear direcciones IP sospechosas es una de las tareas más importantes para garantizar la seguridad Plesk de tu servidor. Gracias al Plesk firewall, no necesitas ser un experto en redes para proteger tus sitios web, tu correo y tu panel de administración.

En este artículo has aprendido:

Cómo acceder al firewall y crear reglas de bloqueo.
Cómo proteger servicios específicos con reglas avanzadas.
Cómo automatizar el bloqueo con Fail2Ban.
Cómo desbloquear IPs y evitar errores comunes.
Buenas prácticas adicionales para mantener tu servidor blindado.

Recuerda siempre ser cuidadoso al bloquear rangos amplios y revisar periódicamente tus reglas para asegurarte de que no estás dejando fuera a usuarios legítimos. La seguridad es un proceso continuo, y el firewall de Plesk es una herramienta excelente para empezar.

Si tienes dudas o necesitas ayuda, no dudes en consultar la documentación oficial de Plesk o contactar con tu proveedor de hosting. ¡Tu servidor te lo agradecerá!