Firewall DirectAdmin: Configuración básica de seguridad

Imagina que tu servidor de hosting es como una casa. Tienes puertas y ventanas (los puertos) por donde entran y salen datos. Sin protección, cualquiera podría intentar forzar la cerradura. Un firewall es el guardia de seguridad que se coloca en la entrada, revisando quién entra, qué quiere y si tiene permiso. En el mundo del hosting, configurar un firewall en DirectAdmin es una de las medidas más efectivas para proteger tu web de ataques.

DirectAdmin es un panel de control muy popular, pero su configuración de seguridad por defecto puede ser mejorada. Por defecto, permite ciertos puertos (como el 80 para HTTP o el 21 para FTP) pero un atacante podría aprovechar vulnerabilidades si no limitamos el acceso. Aquí es donde entra el firewall DirectAdmin: una herramienta que filtra el tráfico y bloquea direcciones IP sospechosas, evitando accesos no autorizados.

En este artículo, te explicaré paso a paso qué es, por qué es crucial y cómo configurarlo para que tu sitio esté blindado. Además, incluiremos consejos prácticos para que, incluso si no eres un experto, puedas hacerlo tú mismo. Recuerda que la seguridad DirectAdmin no es opcional: es la base para mantener tus datos y los de tus visitantes a salvo.

¿Qué es un firewall en DirectAdmin?

Un firewall es un sistema de seguridad que controla el tráfico de red basándose en reglas predefinidas. En el contexto de DirectAdmin, actúa como un filtro que decide qué paquetes de datos pueden entrar o salir de tu servidor. Piensa en él como un portero de discoteca: solo deja pasar a quienes están en la lista de invitados (reglas permitidas) y bloquea a los que no.

Tipos de firewall comunes en DirectAdmin

CSF (ConfigServer Security & Firewall): Es el más utilizado. Ofrece protección contra ataques de fuerza bruta, bloqueo de IPs, y detección de puertos abiertos. Es gratuito y muy potente.
iptables: Es el firewall nativo de Linux. DirectAdmin puede gestionarlo, pero CSF es más amigable.
FirewallD: Menos común en DirectAdmin, pero también funcional.

[TIP] La mayoría de los administradores recomiendan CSF porque tiene una interfaz web dentro de DirectAdmin y es fácil de configurar incluso para principiantes.

¿Por qué necesitas un firewall en tu hosting?

Bloquea ataques de fuerza bruta: Por ejemplo, si alguien intenta adivinar tu contraseña de SSH o FTP.
Evita accesos no autorizados: Solo permite conexiones desde IPs de confianza.
Protege contra DDoS: Aunque no es un sustituto completo, ayuda a mitigar tráfico malicioso.
Cumple normativas: Si manejas datos sensibles, un firewall es obligatorio.

Requisitos previos antes de configurar el firewall

Antes de lanzarte, asegúrate de tener lo siguiente:

Acceso a DirectAdmin como administrador (usuario "admin").
Acceso SSH al servidor (por si algo sale mal, puedas restaurar el acceso).
Conocimiento básico de puertos: Saber qué puertos usas (80 para web, 443 para HTTPS, 21 para FTP, etc.).
Una IP estática (si no es así, ten cuidado al bloquear tu propia IP).

[WARNING] Si bloqueas tu propia IP por error, podrías quedarte fuera del servidor. Siempre ten un plan B, como acceso por consola o un usuario con permisos especiales.

Cómo instalar CSF en DirectAdmin (paso a paso)

CSF es el firewall más recomendado para DirectAdmin. Aquí te explico cómo instalarlo:

Paso 1: Accede a tu servidor por SSH

Usa un cliente como PuTTY (Windows) o Terminal (Mac/Linux). Conéctate con tu usuario root.

ssh root@tu-servidor.com

Paso 2: Descarga e instala CSF

Ejecuta los siguientes comandos:

cd /usr/src
wget https://download.configserver.com/csf.tgz
tar -xzf csf.tgz
cd csf
sh install.sh

Paso 3: Verifica la instalación

Una vez instalado, comprueba que los módulos de iptables estén activos:

perl /usr/local/csf/bin/csftest.pl

Si ves mensajes de error, deberás instalar dependencias (como iptables). Normalmente, en servidores modernos ya están presentes.

Paso 4: Activa el firewall

Edita el archivo de configuración principal:

nano /etc/csf/csf.conf

Busca la línea TESTING = "1" y cámbiala a TESTING = "0". Esto activa el firewall.

Luego, guarda y cierra (Ctrl+O, Ctrl+X). Reinicia CSF:

csf -r

[INFO] Durante la instalación, CSF bloquea todo el tráfico excepto los puertos esenciales. No te preocupes, luego los configurarás.

Configuración básica del firewall en DirectAdmin

Ahora que CSF está instalado, vamos a personalizarlo desde el panel de DirectAdmin.

Accede a la interfaz de CSF en DirectAdmin

Inicia sesión en DirectAdmin como admin.
Ve a "Plugins" > "ConfigServer Security & Firewall".
Verás una interfaz con pestañas: Firewall Configuration, Firewall Allow/Deny, etc.

Configura los puertos permitidos

En la pestaña "Firewall Configuration", busca la sección "TCP_IN" y "TCP_OUT". Aquí defines qué puertos están abiertos.

Puertos comunes que debes permitir:

80 (HTTP)
443 (HTTPS)
21 (FTP)
22 (SSH)
25 (SMTP) - si usas correo
110 (POP3)
143 (IMAP)
3306 (MySQL) - solo si necesitas acceso remoto
2082 y 2083 (DirectAdmin)
2106 (Syspanel, si usas este panel de control)

[TIP] Si usas Syspanel (antes llamado HestiaCP), recuerda que el puerto de acceso es el 2106. Asegúrate de incluirlo en TCP_IN.

Ejemplo de configuración:

TCP_IN = "20,21,22,25,53,80,110,143,443,465,587,993,995,2082,2083,2106,3306"
TCP_OUT = "20,21,22,25,53,80,110,113,443,587,993,995,2082,2083,2106"

Bloquea direcciones IP sospechosas

En la pestaña "Firewall Allow/Deny", puedes añadir IPs a la lista negra (deny) o blanca (allow).

Para bloquear una IP: Ve a "IP Deny" y añade la dirección.
Para permitir una IP de confianza: Ve a "IP Allow" y añádela.

[WARNING] No bloquees tu propia IP o la de tu oficina, o te quedarás sin acceso.

Activa la protección contra fuerza bruta

CSF incluye Login Failure Daemon (LFD). En la configuración, busca:

LF_TRIGGER: Número de intentos fallidos antes de bloquear (por ejemplo, 5).
LF_INTERVAL: Tiempo en segundos para contar los intentos.

Configúralo así:

LF_TRIGGER = "5"
LF_INTERVAL = "300"

Esto significa que si alguien falla 5 veces en 5 minutos, su IP será bloqueada temporalmente.

Cómo verificar que el firewall está funcionando

Después de configurar, es importante comprobar que todo va bien.

Desde DirectAdmin

Ve a "Plugins" > "CSF" > "Firewall Status". Deberías ver un mensaje verde indicando que CSF está activo.

Desde la línea de comandos

Ejecuta:

csf -l

Esto muestra las reglas activas de iptables. Si ves muchas líneas, está funcionando.

Prueba un puerto

Usa un sitio web como "What's My IP" o "Port Checker" para verificar que los puertos esenciales (80, 443) estén abiertos.

Solución de problemas comunes

Error: No puedo acceder al servidor después de activar CSF

Causa: Bloqueaste tu propia IP.
Solución: Si tienes acceso SSH desde otra IP, desbloquéala con csf -a tu-ip. Si no, contacta a tu proveedor de hosting para acceso por consola.

Error: CSF no se inicia

Causa: Módulos de iptables no cargados.
Solución: Ejecuta modprobe iptable_filter y modprobe ip_tables. Luego reinicia CSF.

Error: Puertos no se abren

Causa: La configuración de TCP_IN no incluye el puerto.
Solución: Edita /etc/csf/csf.conf y añade el puerto. Luego reinicia con csf -r.

Preguntas frecuentes (FAQ)

¿Puedo usar otro firewall en lugar de CSF?

Sí, pero CSF es el más compatible con DirectAdmin. Otros como FirewallD requieren más configuración manual.

¿Qué pasa si desactivo el firewall?

Tu servidor queda expuesto a ataques. No lo recomiendo a menos que estés haciendo pruebas controladas.

¿Cómo sé si una IP está bloqueada?

En DirectAdmin, ve a "CSF" > "Firewall Deny". También puedes ver los logs en /var/log/lfd.log.

¿El firewall afecta el rendimiento de mi web?

Mínimamente. CSF es ligero y no debería ralentizar tu sitio. Si notas lentitud, revisa reglas mal configuradas.

¿Puedo configurar el firewall desde SSH sin DirectAdmin?

Sí, editando /etc/csf/csf.conf y usando comandos como csf -a o csf -d. Pero la interfaz web es más fácil.

Conclusión: Tu servidor más seguro con firewall DirectAdmin

Configurar un firewall en DirectAdmin no es complicado y te da una capa de seguridad esencial. Con CSF, puedes bloquear ataques, controlar accesos y dormir tranquilo sabiendo que tu web está protegida. Recuerda:

Siempre permite los puertos que usas (incluyendo el 2106 si usas Syspanel).
No bloquees tu propia IP.
Monitorea los logs para detectar intentos de intrusión.

Ahora que sabes cómo hacerlo, ¡ponte manos a la obra! La seguridad DirectAdmin está en tus manos. Si tienes dudas, revisa la documentación oficial de CSF o consulta con tu proveedor de hosting.