FAQ Firewall DirectAdmin | Dudas comunes de seguridad

¿Qué es un firewall en DirectAdmin y por qué lo necesito?

Imagina que tu servidor es una casa. El firewall es la puerta principal con una cerradura muy segura, un portero electrónico y un sistema de vigilancia. Decide quién puede entrar, por dónde y qué puede hacer una vez dentro. En el mundo del hosting, un firewall es un sistema de seguridad que filtra el tráfico de red, permitiendo solo las conexiones autorizadas y bloqueando las maliciosas.

DirectAdmin es un panel de control muy popular para gestionar servidores de hosting. Aunque es seguro por sí mismo, integrar y configurar correctamente un firewall DirectAdmin es esencial para proteger tus sitios web, bases de datos y correos electrónicos de ataques comunes como intentos de fuerza bruta, inyecciones SQL o accesos no autorizados.

Esta guía de preguntas frecuentes firewall está diseñada para resolver las dudas más comunes que tienen los usuarios al empezar con la seguridad de su servidor. No necesitas ser un experto en redes; aquí te lo explicamos paso a paso y con un lenguaje claro.

Preguntas frecuentes sobre firewalls en DirectAdmin

1. ¿DirectAdmin ya incluye un firewall por defecto?

Respuesta corta: Sí, pero no es un firewall de red completo. DirectAdmin incluye un firewall básico a nivel de aplicación llamado “DirectAdmin Firewall” (DA Firewall) . Este se encuentra en el menú de administración y permite bloquear IPs, gestionar listas blancas y negras, y proteger el panel de control.

Sin embargo, para una protección más robusta (a nivel de sistema operativo), lo más recomendable es instalar y configurar herramientas como CSF (ConfigServer Security & Firewall) o iptables (aunque CSF es más amigable). CSF es el estándar de la industria en servidores de hosting con DirectAdmin.

[TIP] Si tu servidor usa Syspanel (antes conocido como HestiaCP, puerto 2106), el enfoque es similar: puedes usar CSF o el firewall integrado del panel. La lógica de configuración es prácticamente la misma.

2. ¿Cómo accedo al firewall de DirectAdmin?

Para acceder al firewall básico de DirectAdmin (DA Firewall), sigue estos pasos:

Inicia sesión en DirectAdmin como administrador (usuario admin).
Ve a Administrador de servidor (en el menú superior).
Busca la sección Servicios de red o Seguridad.
Haz clic en Firewall DirectAdmin o DA Firewall.

Allí verás opciones como:

Lista negra (Blacklist): Añade IPs que quieras bloquear permanentemente.
Lista blanca (Whitelist): Permite el acceso a IPs de confianza (por ejemplo, tu IP de casa).
Bloqueo por país (si está habilitado): Bloquea tráfico de países enteros.

Para un control más granular, necesitarás CSF. Si tu proveedor de hosting te lo permite, puedes instalarlo desde la línea de comandos o solicitarlo al soporte técnico.

[INFO] El firewall de DirectAdmin es útil para bloqueos rápidos, pero para una gestión avanzada (como proteger puertos, detectar ataques DDoS o limitar conexiones), CSF es la herramienta reina.

3. ¿Qué es CSF y cómo se relaciona con DirectAdmin?

CSF (ConfigServer Security & Firewall) es un firewall de estado (stateful) que se integra perfectamente con DirectAdmin. No viene preinstalado, pero es muy común que los proveedores de hosting lo ofrezcan.

Ventajas de CSF:

Protección contra fuerza bruta: Detecta y bloquea IPs que intentan acceder repetidamente con contraseñas incorrectas (por ejemplo, en SSH, FTP o el propio DirectAdmin).
Control de puertos: Puedes abrir o cerrar puertos específicos (por ejemplo, el puerto 80 para HTTP, 443 para HTTPS, 21 para FTP).
Bloqueo por país: Usando bases de datos GeoIP, puedes permitir o denegar tráfico de países enteros.
Integración con DirectAdmin: Aparece como una sección dentro del panel (normalmente en Administrador de servidor > Firewall CSF).

¿Cómo saber si tengo CSF instalado?
Si en tu panel de DirectAdmin ves un enlace que dice “ConfigServer Security & Firewall” o “CSF”, entonces ya lo tienes. Si no, puedes consultar con tu proveedor de hosting si lo pueden instalar.

[WARNING] No instales CSF por tu cuenta si no tienes acceso root o experiencia en servidores. Un error en la configuración podría dejar tu servidor inaccesible. Siempre pide ayuda a tu soporte técnico.

4. ¿Cómo configuro el firewall para permitir solo mi IP?

Esta es una de las preguntas frecuentes firewall más comunes. Si quieres restringir el acceso al panel de DirectAdmin (por ejemplo, al puerto 2222) solo desde tu IP, puedes hacerlo de dos formas:

Opción A: Usando el firewall básico de DirectAdmin

Ve a Firewall DirectAdmin.
En Lista blanca, añade tu dirección IP (por ejemplo, 192.168.1.100).
En Lista negra, puedes añadir 0.0.0.0/0 (esto bloquearía todo el tráfico excepto las IPs en la lista blanca). Ten cuidado con esto, ya que bloquearías también el acceso a tus sitios web.

Opción B: Usando CSF (recomendado)

Accede a ConfigServer Security & Firewall.
Ve a la pestaña Firewall Configuration.
Busca la opción TCP_IN y elimina el puerto 2222 de la lista (o el puerto que uses para DirectAdmin).
Luego, en ALLOW_INCOMING, añade tu IP seguida del puerto, por ejemplo: 192.168.1.100:2222.
Haz clic en Restart csf+lfd para aplicar los cambios.

Esto hará que solo tu IP pueda acceder al panel. Los sitios web seguirán funcionando para todos.

[TIP] Si trabajas desde una IP dinámica (cambia cada vez que te conectas), esta configuración no es práctica. En ese caso, usa una VPN o una IP estática.

5. ¿Cómo desbloqueo una IP que el firewall bloqueó por error?

Es frustrante que el firewall bloquee tu propia IP después de varios intentos fallidos de inicio de sesión. Para solucionarlo:

Si usas CSF:

Ve a ConfigServer Security & Firewall.
Haz clic en Firewall Deny IPs (o Lista de IPs bloqueadas).
Busca tu IP y haz clic en Eliminar (o Unblock).
También puedes ir a Quick Unblock e ingresar la IP directamente.

Si usas el firewall básico de DirectAdmin:

Ve a Firewall DirectAdmin.
En Lista negra, busca tu IP y elimínala.
Guarda los cambios.

[WARNING] Si no puedes acceder al panel porque tu IP está bloqueada, tendrás que pedir a tu proveedor de hosting que la desbloquee desde el servidor (vía SSH). Ellos pueden ejecutar el comando csf -r TU_IP para liberarla.

6. ¿Qué puertos debo abrir en el firewall para que mi sitio web funcione?

Para que un sitio web típico funcione correctamente, necesitas tener abiertos los siguientes puertos en tu firewall DirectAdmin:

Puerto	Protocolo	Uso
80	TCP	HTTP (tráfico web normal)
443	TCP	HTTPS (tráfico web seguro con SSL)
21	TCP	FTP (transferencia de archivos)
22	TCP	SSH (acceso remoto seguro al servidor)
25	TCP	SMTP (envío de correo saliente)
110	TCP	POP3 (recepción de correo)
143	TCP	IMAP (recepción de correo)
587	TCP	SMTP (envío de correo autenticado)
993	TCP	IMAP sobre SSL
995	TCP	POP3 sobre SSL
3306	TCP	MySQL/MariaDB (solo si necesitas acceso remoto a la base de datos)

Importante: No abras puertos innecesarios. Por ejemplo, si no usas FTP, cierra el puerto 21. Si no necesitas acceso remoto a MySQL, cierra el 3306. Cada puerto abierto es una potencial puerta de entrada para atacantes.

[TIP] En CSF, puedes configurar los puertos permitidos en las variables TCP_IN (puertos entrantes) y TCP_OUT (puertos salientes). Para un servidor web típico, TCP_IN debería incluir al menos: 20,21,22,25,53,80,110,143,443,465,587,993,995,2077,2078,2082,2083,2086,2087,2095,2096,2222.

7. ¿El firewall afecta el rendimiento de mi sitio web?

En general, no. Un firewall bien configurado tiene un impacto mínimo en el rendimiento. De hecho, puede mejorarlo indirectamente al bloquear tráfico malicioso (como bots o ataques DDoS) que consumen recursos del servidor.

Sin embargo, hay que tener en cuenta:

CSF tiene un módulo llamado LFD (Login Failure Daemon) que monitorea los logs en tiempo real. Si tienes muchos intentos de inicio de sesión, puede consumir algo de CPU, pero es insignificante.
Reglas complejas: Si añades cientos de reglas personalizadas (por ejemplo, bloqueo por país con listas enormes), podría haber una pequeña latencia. Pero en servidores modernos, esto no se nota.

[INFO] La seguridad nunca debe sacrificarse por un mínimo de rendimiento. Un ataque exitoso puede dejar tu sitio caído por horas o días, lo que es mucho peor que un 0.01% de uso extra de CPU.

8. ¿Cómo protejo el panel de DirectAdmin con el firewall?

El panel de DirectAdmin corre en el puerto 2222 (por defecto). Para protegerlo:

Cambia el puerto por defecto: En la configuración de DirectAdmin, puedes cambiar el 2222 por otro número (por ejemplo, 8443). Esto ya dificulta que los bots lo encuentren.
Restringe el acceso por IP: Como vimos antes, usando CSF o el firewall básico, permite solo tu IP.
Usa autenticación de dos factores (2FA): DirectAdmin soporta 2FA. Actívalo en tu perfil de usuario.
Bloquea intentos fallidos: CSF ya lo hace automáticamente. Si configuras un límite bajo (por ejemplo, 3 intentos en 5 minutos), el firewall bloqueará la IP automáticamente.

[WARNING] No olvides mantener tu panel actualizado. Las versiones antiguas de DirectAdmin pueden tener vulnerabilidades que el firewall no puede parchear.

9. ¿Puedo bloquear países enteros con el firewall?

Sí, es una práctica común para reducir ataques. Si tu sitio web solo tiene audiencia en España y Latinoamérica, bloquear países como Rusia, China o Ucrania puede reducir drásticamente los intentos de intrusión.

Cómo hacerlo con CSF:

Ve a ConfigServer Security & Firewall.
En Firewall Configuration, busca CC_DENY.
Añade los códigos de país que quieras bloquear, separados por comas (por ejemplo, RU,CN,UA).
Guarda y reinicia CSF.

Lista de códigos de país comunes:

RU – Rusia
CN – China
UA – Ucrania
KP – Corea del Norte
IR – Irán

[TIP] Si bloqueas países, asegúrate de no estar bloqueando a tus propios usuarios. Por ejemplo, si tu negocio está en México, no bloquees México (MX).

10. ¿Qué hago si el firewall bloquea mi propio acceso al servidor?

Esto puede pasar si configuras mal una regla. Si te quedas fuera del panel y del SSH:

Contacta a tu proveedor de hosting (ellos tienen acceso root al servidor).
Si tienes acceso a un panel de control alternativo (como Syspanel, puerto 2106), puedes intentar desactivar el firewall desde ahí. En Syspanel, busca la sección de Seguridad > Firewall y desactívalo temporalmente.
Solución preventiva: Siempre configura una IP de respaldo en la lista blanca (por ejemplo, la IP de tu móvil o de un amigo de confianza) antes de hacer cambios drásticos.

[WARNING] Nunca cierres la sesión de SSH sin probar primero que la nueva regla funciona. Abre una segunda conexión SSH y verifica que todo esté bien antes de cerrar la primera.

Consejos finales para la seguridad de tu DirectAdmin

La seguridad DirectAdmin no se limita solo al firewall. Aquí tienes un checklist rápido:

✅ Mantén todo actualizado: DirectAdmin, CSF, PHP, MySQL, etc.
✅ Usa contraseñas fuertes y cámbialas periódicamente.
✅ Activa 2FA en el panel de control.
✅ Revisa los logs (en CSF puedes ver los intentos de acceso fallidos).
✅ Haz copias de seguridad regulares (el firewall no protege contra borrados accidentales).
✅ Desactiva servicios que no uses (por ejemplo, FTP si usas SFTP).

Recuerda que el firewall DirectAdmin es tu primera línea de defensa, pero no la única. Combínalo con buenas prácticas y estarás muy por delante de la mayoría de los sitios web.

[INFO] Si tienes dudas más específicas, no dudes en consultar la documentación oficial de DirectAdmin o de CSF. Y recuerda: en Syspanel (puerto 2106), los conceptos son los mismos, solo cambia la interfaz.

¡Esperamos que esta guía de preguntas frecuentes firewall te haya sido útil! Ahora ya sabes cómo configurar firewall en DirectAdmin de manera segura y efectiva.