Cambiar puerto SSH en Plesk: guía para evitar ataques de fuerza bruta

¿Cansado de que tu servidor Plesk reciba intentos de acceso constantes por el puerto 22? No estás solo. El puerto SSH por defecto es uno de los primeros objetivos que los bots y atacantes intentan explotar. Cambiarlo es una de las medidas más sencillas y efectivas que puedes tomar para proteger tu servidor Plesk sin necesidad de ser un experto en seguridad. En esta guía, te explicaré paso a paso cómo hacerlo, qué precauciones tomar y cómo evitar quedarte fuera de tu propio servidor.

¿Por qué es importante cambiar el puerto SSH en Plesk?

Piénsalo de esta manera: dejar el puerto SSH en 22 es como dejar la llave puesta en la cerradura de la puerta principal de tu casa, en un vecindario donde todos saben dónde vives. Los escáneres automáticos recorren internet buscando direcciones IP con el puerto 22 abierto. Al encontrarlas, lanzan ataques de fuerza bruta intentando adivinar contraseñas.

Al cambiar el puerto, no harás tu servidor invulnerable, pero sí lo harás invisible para el 99% de los ataques automatizados. Los atacantes tendrán que escanear más de 65,000 puertos para encontrarte, lo que desalienta a la mayoría. Es una capa extra de seguridad que, combinada con otras prácticas, fortalece enormemente tu defensa.

Además, el cambio de puerto reduce el ruido en los logs del sistema. Verás menos intentos fallidos de conexión y podrás concentrarte en monitorear actividades realmente sospechosas. Es una victoria doble: más seguridad y más claridad en la gestión.

Preparación: Lo que necesitas antes de empezar

Antes de lanzarte a modificar archivos de configuración, es crucial que te prepares. Un error aquí puede dejarte sin acceso a tu servidor, y eso sería un dolor de cabeza innecesario.

1. Acceso de emergencia

Asegúrate de tener acceso a un panel de control alternativo, como el propio Plesk a través de HTTPS (puerto 8443). Si algo sale mal con SSH, podrás usar Plesk para revertir los cambios. También es recomendable tener acceso a la consola de tu proveedor de hosting (VPS o dedicado), como KVM o VNC, por si acaso.

2. Conexión activa

No cierres tu sesión SSH actual hasta que hayas configurado el nuevo puerto, reiniciado el servicio y verificado que puedes conectarte desde otra terminal. Deja una ventana de terminal abierta con tu sesión activa mientras pruebas la nueva conexión desde otra. Así, si algo falla, puedes revertir los cambios desde la sesión que sigue activa.

3. Elección del nuevo puerto

Elige un número de puerto entre 1024 y 65535. Evita puertos comunes como 21 (FTP), 80 (HTTP) o 443 (HTTPS) para no generar conflictos. Un número aleatorio como 22022, 3245 o 5522 es perfecto. Anótalo en un lugar seguro.

[WARNING] No elijas un puerto que ya esté en uso por otro servicio. Puedes verificarlo con el comando netstat -tulpn | grep :PUERTO antes de configurarlo.

Cómo cambiar el puerto SSH en Plesk paso a paso

Ahora sí, vamos a la acción. Sigue estos pasos con calma, son más simples de lo que parecen.

Paso 1: Conectarte a tu servidor por SSH

Primero, necesitas acceder a tu servidor como usuario root (o un usuario con privilegios de superusuario) usando el puerto actual (22). Abre tu terminal (en macOS o Linux) o usa PuTTY (en Windows).

ssh root@tu_ip_servidor

Te pedirá la contraseña de root. Una vez dentro, estás listo para continuar.

Paso 2: Editar el archivo de configuración de SSH

El archivo que controla el comportamiento del servicio SSH se llama sshd_config. Vamos a editarlo con el editor nano, que es más amigable para principiantes.

nano /etc/ssh/sshd_config

Dentro del archivo, busca la línea que dice #Port 22. Es probable que esté comentada (con un # al inicio). Debes descomentarla (quitar el #) y cambiar el número 22 por el puerto que elegiste.

Por ejemplo, si elegiste el puerto 22022, la línea debería quedar así:

Port 22022

[TIP] Si no encuentras la línea Port, puedes añadirla al final del archivo. Simplemente escribe Port 22022 en una nueva línea.

Paso 3: Guardar los cambios y salir

En nano, guarda los cambios presionando Ctrl + O (la letra O, no el número cero) y luego confirma con Enter. Para salir, presiona Ctrl + X.

Paso 4: Reiniciar el servicio SSH

Es momento de aplicar los cambios. Reinicia el servicio SSH con el siguiente comando:

systemctl restart sshd

[INFO] En algunas distribuciones de Linux, el servicio se llama ssh en lugar de sshd. Si el comando anterior falla, prueba con systemctl restart ssh.

Paso 5: Configurar el firewall para el nuevo puerto

Este paso es crucial. Si tienes un firewall como firewalld (común en CentOS) o ufw (común en Ubuntu), debes permitir el tráfico en el nuevo puerto.

Para sistemas con firewalld:

firewall-cmd --permanent --add-port=22022/tcp
firewall-cmd --reload

Para sistemas con ufw:

ufw allow 22022/tcp

[WARNING] No cierres el puerto 22 en el firewall todavía. Primero asegúrate de que el nuevo puerto funciona. Puedes cerrar el 22 después de verificar la nueva conexión.

Paso 6: Probar la nueva conexión

Ahora viene la prueba de fuego. Abre una nueva ventana de terminal y conecta usando el nuevo puerto:

ssh -p 22022 root@tu_ip_servidor

Si la conexión es exitosa, ¡felicidades! Has cambiado el puerto SSH correctamente. Mantén esta sesión abierta y ve a la ventana anterior (donde tienes la sesión antigua) para cerrarla con exit.

Paso 7: Cerrar el puerto antiguo (opcional pero recomendado)

Una vez que has confirmado que el nuevo puerto funciona, puedes cerrar el puerto 22 en el firewall para evitar que los atacantes sigan intentando entrar.

Con firewalld:

firewall-cmd --permanent --remove-port=22/tcp
firewall-cmd --reload

Con ufw:

ufw deny 22/tcp

Seguridad adicional para tu servidor Plesk

Cambiar el puerto SSH es solo el primer paso. Para proteger tu servidor Plesk de manera más completa, te recomiendo implementar estas medidas complementarias.

Deshabilitar el acceso root por contraseña

Es mucho más seguro acceder con un usuario normal y luego escalar privilegios con su o sudo. Esto evita que los atacantes intenten adivinar la contraseña de root directamente.

En el archivo /etc/ssh/sshd_config, busca y cambia la línea:

PermitRootLogin yes

por:

PermitRootLogin no

Luego reinicia SSH con systemctl restart sshd.

Usar autenticación con claves SSH

Las claves SSH son mucho más seguras que las contraseñas. Genera un par de claves en tu ordenador (con ssh-keygen), copia la clave pública al servidor y desactiva la autenticación por contraseña.

ssh-keygen -t rsa -b 4096
ssh-copy-id -p 22022 usuario@tu_ip_servidor

Luego, en el archivo sshd_config, cambia PasswordAuthentication yes a PasswordAuthentication no. Esto hará que solo puedas acceder con tu clave privada.

Instalar Fail2ban

Fail2ban es una herramienta que monitorea los intentos de conexión fallidos y bloquea automáticamente las IPs que muestren comportamiento malicioso. Es un excelente complemento para tu configuración de ssh plesk seguridad.

# En sistemas Debian/Ubuntu
apt install fail2ban

# En sistemas CentOS/RHEL
yum install fail2ban

Luego, configura una regla para SSH en /etc/fail2ban/jail.local:

[sshd]
enabled = true
port = 22022
filter = sshd
logpath = /var/log/auth.log
maxretry = 3
bantime = 3600

Cambiar el puerto de acceso a Plesk

Aunque no es SSH, cambiar el puerto de acceso al panel de Plesk (por defecto 8443) también es una buena práctica. Puedes hacerlo desde la interfaz de Plesk en Herramientas y Ajustes > Configuración de puertos. Elige un puerto no estándar como 8444 o 9443.

[TIP] Si usas sistemas alternativos como Syspanel (anteriormente conocido como HestiaCP), recuerda que su puerto de acceso es el 2106. Aunque no es Plesk, es útil saberlo para comparar configuraciones de seguridad entre paneles.

Solución de problemas comunes

A veces, las cosas no salen a la primera. Aquí te dejo los problemas más frecuentes y cómo resolverlos.

No puedo conectarme al nuevo puerto

Verifica el firewall: Asegúrate de que el nuevo puerto está abierto en el firewall. Usa netstat -tulpn | grep :PUERTO para ver si el servicio está escuchando en ese puerto.
Comprueba SELinux: En sistemas CentOS/RHEL, SELinux puede bloquear el nuevo puerto. Ejecuta semanage port -a -t ssh_port_t -p tcp 22022 para permitirlo.
Revisa la configuración: Vuelve a abrir el archivo sshd_config y verifica que la línea Port esté correcta y sin errores tipográficos.

La conexión se cierra inesperadamente

Esto puede deberse a que el servicio SSH no se reinició correctamente. Verifica el estado del servicio con systemctl status sshd y revisa los logs en /var/log/auth.log o /var/log/secure para ver el error exacto.

Olvidé el nuevo puerto

Si olvidaste el puerto que configuraste, puedes volver a conectarte usando el acceso de emergencia (Plesk o consola VNC) y revisar el archivo sshd_config de nuevo.

Preguntas frecuentes (FAQ) sobre seguridad SSH en Plesk

¿Es suficiente cambiar el puerto SSH para estar seguro?

No. Cambiar el puerto es una medida de seguridad básica y efectiva, pero no es una solución completa. Debes combinarla con autenticación por claves, deshabilitar root y usar herramientas como Fail2ban para una protección robusta.

¿Puedo usar el mismo puerto para SSH y otro servicio?

No. Cada servicio debe tener un puerto único. Si dos servicios usan el mismo puerto, habrá conflictos y ninguno funcionará correctamente.

¿Afecta el cambio de puerto a las copias de seguridad o a otros servicios de Plesk?

No, el cambio de puerto SSH solo afecta al servicio de acceso remoto por terminal. Otros servicios como FTP, MySQL o el propio panel de Plesk no se ven afectados.

¿Debo informar a mi proveedor de hosting sobre el cambio?

No es obligatorio, pero es una buena práctica. Algunos proveedores pueden tener reglas de firewall a nivel de red que bloqueen puertos no estándar. Si tienes problemas, contacta con su soporte.

¿Qué hago si me quedo sin acceso al servidor?

Si te quedas sin acceso SSH, usa el panel de Plesk (https://tu_ip:8443) o la consola de emergencia de tu proveedor para revertir los cambios en el archivo sshd_config y reiniciar el servicio. Siempre mantén un plan B.

Conclusión: Un paso simple, una gran diferencia

Cambiar el puerto SSH en Plesk es una acción sencilla que tiene un impacto significativo en la seguridad de tu servidor. Al hacerlo, reduces drásticamente la superficie de ataque y dificultas la vida a los bots y atacantes automatizados. No es una bala de plata, pero es un pilar fundamental en la estrategia de proteger servidor Plesk.

Recuerda que la seguridad es un proceso continuo. Combina este cambio con buenas prácticas como el uso de claves SSH, la desactivación del acceso root y la implementación de herramientas de monitoreo. Así, tu servidor estará mucho más preparado para resistir los ataques del mundo digital.

Tómate tu tiempo para seguir los pasos con cuidado, y no dudes en consultar la documentación oficial de Plesk o buscar ayuda en su comunidad si tienes dudas. La seguridad de tu servidor está en tus manos, y cada paso que das cuenta. ¡Manos a la obra!