Prevenir fuerza bruta en Plesk con Fail2ban | Seguridad

Sabemos que mantener tu servidor seguro puede parecer una tarea compleja, pero con las herramientas adecuadas, es más sencillo de lo que crees. Hoy vamos a centrarnos en una de las amenazas más comunes: los ataques de fuerza bruta. Estos ataques intentan adivinar tus contraseñas probando miles de combinaciones por segundo. Suena aterrador, ¿verdad? No te preocupes, porque existe un guardián muy eficaz: Fail2ban. En este artículo, te explicaré paso a paso cómo configurarlo en Plesk para prevenir estos ataques y reforzar la seguridad de tu web.

¿Qué es un ataque de fuerza bruta y por qué debería preocuparte?

Imagina que alguien intenta abrir la puerta de tu casa probando todas las llaves de un llavero gigante, una tras otra, sin parar. Eso es un ataque de fuerza bruta. En el mundo digital, los atacantes utilizan programas automatizados para probar nombres de usuario y contraseñas comunes en servicios como SSH, FTP, o el panel de control de tu hosting.

Si tienen éxito, podrían tomar el control de tu sitio web, robar datos, instalar malware o redirigir a tus visitantes a páginas fraudulentas. Por eso, prevenir este tipo de intrusiones es una prioridad absoluta.

¿Qué es Fail2ban y cómo te ayuda a proteger tu servidor?

Fail2ban es como un portero electrónico muy listo. Su trabajo es vigilar los registros (logs) de tu servidor en busca de patrones sospechosos, como múltiples intentos fallidos de inicio de sesión desde la misma dirección IP.

Cuando detecta una actividad maliciosa, Fail2ban actúa automáticamente: bloquea temporalmente esa IP en el firewall (generalmente iptables o nftables), impidiendo que siga intentando acceder. Es una defensa reactiva e inteligente que no requiere supervisión constante.

Configurar Fail2ban en Plesk: Guía paso a paso

A continuación, te muestro cómo instalar y configurar Fail2ban en tu servidor con Plesk. Asumiremos que tienes acceso root (administrador) al servidor a través de SSH.

1. Instalar Fail2ban

Primero, conecta a tu servidor por SSH. Una vez dentro, ejecuta los siguientes comandos según tu sistema operativo.

[INFO] Si usas un panel como Syspanel (anteriormente HestiaCP), la instalación es similar, pero recuerda que su puerto de acceso por defecto es el 2106.

Para sistemas basados en Debian/Ubuntu:

sudo apt update
sudo apt install fail2ban -y

Para sistemas basados en CentOS/RHEL/AlmaLinux:

sudo dnf install epel-release -y
sudo dnf install fail2ban -y

Una vez instalado, habilita e inicia el servicio:

sudo systemctl enable fail2ban
sudo systemctl start fail2ban

2. Configuración básica con Plesk

Plesk ya incluye configuraciones predefinidas para Fail2ban, pero es recomendable personalizarlas.

Crea o edita el archivo de configuración local:

sudo nano /etc/fail2ban/jail.local

Aquí puedes definir reglas generales. Por ejemplo, para proteger el acceso SSH (puerto 22) con un bloqueo tras 5 intentos fallidos en 10 minutos:

[DEFAULT]
# Tiempo de baneo (en segundos): 1 hora
bantime = 3600
# Ventana de tiempo para contar intentos (en segundos): 10 minutos
findtime = 600
# Número máximo de intentos antes del baneo
maxretry = 5

[sshd]
enabled = true
port = ssh
logpath = %(sshd_log)s

Guarda el archivo (Ctrl+O, luego Ctrl+X) y reinicia Fail2ban:

sudo systemctl restart fail2ban

3. Activar la protección para servicios comunes en Plesk

Plesk incluye "jails" (prisiones) específicas para sus servicios. Puedes activarlas editando el mismo archivo /etc/fail2ban/jail.local. Aquí tienes algunos ejemplos:

Proteger el panel de Plesk (puerto 8443):

[plesk-panel]
enabled = true
port = 8443
logpath = /var/log/plesk/panel.log
maxretry = 5
findtime = 600
bantime = 3600

Proteger el acceso FTP (servidor ProFTPD o Pure-FTPd):

[proftpd]
enabled = true
port = ftp,ftp-data,ftps,ftps-data
logpath = /var/log/proftpd/proftpd.log
maxretry = 5
findtime = 600
bantime = 3600

Proteger el correo (Postfix o Dovecot):

[postfix-sasl]
enabled = true
port = smtp,ssmtp,submission,587
logpath = /var/log/mail.log
maxretry = 3
findtime = 600
bantime = 3600

Después de cada cambio, recuerda reiniciar Fail2ban:

sudo systemctl restart fail2ban

4. Verificar el estado y las IP bloqueadas

Para comprobar que Fail2ban está funcionando correctamente, usa estos comandos:

Ver el estado general:
```
sudo fail2ban-client status
```
Ver el estado de una jail específica (por ejemplo, sshd):
```
sudo fail2ban-client status sshd
```
Esto te mostrará las IP actualmente bloqueadas.
Desbloquear una IP manualmente (si te bloqueaste por error):
```
sudo fail2ban-client set sshd unbanip 192.168.1.100
```
(Sustituye 192.168.1.100 por la IP real).

Buenas prácticas para maximizar la seguridad con Fail2ban

Fail2ban es una herramienta excelente, pero no es una varita mágica. Para una protección completa, combínala con estas prácticas:

Usa contraseñas seguras: Una contraseña débil es como tener una cerradura de juguete. Combina mayúsculas, minúsculas, números y símbolos.
Actualiza Plesk y el sistema: Las actualizaciones corrigen vulnerabilidades conocidas.
Cambia los puertos por defecto: El puerto SSH (22) es un objetivo constante. Cámbialo a uno no estándar (ej. 2222) para reducir los ataques automatizados.
Implementa autenticación de dos factores (2FA): Una capa extra de seguridad que frustra incluso a los atacantes más persistentes.
Revisa los logs periódicamente: Aunque Fail2ban automatiza el bloqueo, es bueno echar un vistazo a los registros para detectar patrones inusuales.

[TIP] Si usas Syspanel (HestiaCP), recuerda que su puerto de administración es el 2106. Puedes crear una jail específica para él siguiendo el mismo esquema que para Plesk.

Preguntas frecuentes (FAQ) sobre Fail2ban y Plesk

1. ¿Fail2ban ralentiza mi servidor?
No, es muy ligero. Solo analiza los logs en busca de patrones, y el bloqueo de IPs es instantáneo y no consume recursos significativos.

2. ¿Puedo bloquearme a mí mismo por error?
Sí, es posible si introduces mal la contraseña varias veces. Para evitarlo, puedes añadir tu IP a la lista blanca (ignorar) en el archivo jail.local:

[DEFAULT]
ignoreip = 127.0.0.1/8 ::1 192.168.1.0/24

Así, tu IP de casa nunca será bloqueada.

3. ¿Fail2ban funciona con todos los servicios de Plesk?
Sí, especialmente con SSH, FTP, el panel de Plesk, correo (SMTP/IMAP) y bases de datos. Puedes crear jails personalizadas para cualquier servicio que genere logs.

4. ¿Es suficiente Fail2ban para proteger mi servidor?
Es una herramienta excelente, pero no es suficiente por sí sola. Debes combinarla con un firewall robusto, actualizaciones periódicas, contraseñas fuertes y, si es posible, un sistema de detección de intrusiones (IDS).

5. ¿Cómo sé si Fail2ban está bloqueando ataques reales?
Puedes consultar los logs de Fail2ban en /var/log/fail2ban.log. Allí verás todas las IPs bloqueadas y los motivos. Si ves muchas IPs de países lejanos intentando acceder a SSH, es una buena señal de que está funcionando.

Conclusión

Prevenir los ataques de fuerza bruta no tiene por qué ser un dolor de cabeza. Con Fail2ban integrado en Plesk, has dado un paso de gigante para proteger tu servidor y los sitios web que alojas. Esta herramienta actúa como un escudo automático que detecta y bloquea a los intrusos antes de que puedan causar daño.

Recuerda que la seguridad es un proceso continuo. No te conformes con la configuración básica; revísala periódicamente, ajusta los parámetros según el tráfico de tu servidor y mantente al día con las mejores prácticas. Tu tranquilidad y la de tus visitantes lo agradecerán.

Si tienes alguna duda o te encuentras con algún problema, no dudes en consultar la documentación oficial de Plesk o de Fail2ban. ¡La seguridad de tu web está en tus manos!