Qué es y cómo configurar un firewall en DirectAdmin (CSF)

¿Qué es CSF y por qué tu servidor lo necesita?

Si tienes un servidor con DirectAdmin, seguramente has escuchado sobre el CSF (ConfigServer Security & Firewall). Es una de las herramientas de seguridad más potentes y utilizadas en el mundo del hosting. Pero, ¿qué es exactamente y por qué es tan importante?

CSF es un firewall de nivel de aplicación y red que se integra perfectamente con DirectAdmin. En términos simples, actúa como un guardián de tu servidor, decidiendo qué tráfico entra, qué tráfico sale y qué conexiones deben ser bloqueadas inmediatamente. Piensa en él como un portero muy estricto que solo deja pasar a las personas autorizadas y expulsa a los sospechosos.

La razón principal por la que necesitas CSF es la seguridad DirectAdmin. Los servidores son objetivos constantes de ataques automatizados, bots que intentan adivinar contraseñas, fuerza bruta, inyecciones SQL y otras amenazas. Sin un firewall configurado correctamente, tu servidor está expuesto a estos riesgos. Con CSF, puedes bloquear ataques servidor de manera proactiva, protegiendo tus sitios web y los datos de tus clientes.

Además, CSF no solo bloquea, sino que aprende y se adapta. Por ejemplo, si alguien intenta conectarse por SSH (puerto 22) y falla 5 veces en 10 minutos, CSF lo detecta y bloquea su IP automáticamente. Esto se hace mediante un sistema de "conexiones fallidas" que tú mismo puedes personalizar.

En este artículo, te guiaré paso a paso para que configures tu firewall DirectAdmin con CSF, incluso si nunca has tocado un servidor antes.

Requisitos previos antes de instalar CSF

Antes de lanzarnos a la instalación, debemos asegurarnos de que tu servidor cumpla con los requisitos mínimos. No queremos que el proceso falle a mitad de camino.

Verifica tu acceso al servidor

Necesitas acceso root al servidor, ya sea a través de SSH (terminal) o mediante el panel de control de tu proveedor de hosting. Si usas un VPS o un servidor dedicado, normalmente tienes acceso root. Si no sabes cómo conectarte por SSH, puedes usar herramientas como PuTTY (en Windows) o la terminal nativa (en macOS/Linux).

Compatibilidad con tu sistema operativo

CSF es compatible con la mayoría de distribuciones Linux como CentOS, AlmaLinux, Rocky Linux, Ubuntu y Debian. Si tu servidor usa uno de estos sistemas, estás listo. En caso de duda, revisa la documentación de tu proveedor.

Desactiva otros firewalls

Si tienes otro firewall activo (como firewalld o iptables configurado manualmente), es recomendable desactivarlo para evitar conflictos. CSF gestionará todo el tráfico por sí mismo, así que necesitamos un lienzo limpio.

[WARNING] Desactivar un firewall existente puede dejar tu servidor expuesto temporalmente. Realiza este paso justo antes de instalar CSF para minimizar el riesgo.

Instalación de CSF en DirectAdmin paso a paso

La instalación es bastante sencilla, pero requiere que ejecutes algunos comandos en la terminal. No te preocupes, te explico cada uno.

Paso 1: Conéctate por SSH

Abre tu terminal y conéctate a tu servidor con el siguiente comando:

ssh root@tu_ip_del_servidor

Te pedirá tu contraseña (o clave SSH) y ya estarás dentro.

Paso 2: Descarga e instala CSF

Ejecuta estos comandos en orden:

cd /usr/src
wget https://download.configserver.com/csf.tgz
tar -xzf csf.tgz
cd csf
sh install.sh

El script de instalación se encargará de colocar todos los archivos en su lugar y de configurar los módulos necesarios de Perl. Verás una salida en pantalla con el progreso.

Paso 3: Verifica que CSF se haya instalado correctamente

Una vez terminada la instalación, ejecuta:

csf -v

Esto te mostrará la versión instalada. Si aparece un número de versión (por ejemplo, v14.20), todo ha ido bien.

Paso 4: Prueba el firewall en modo de prueba

CSF tiene un modo de prueba que te permite verificar que todo funciona antes de activarlo por completo. Ejecuta:

csf -t

Esto simula las reglas de firewall sin aplicarlas definitivamente. Si no ves errores graves, estás listo para activarlo.

Paso 5: Activa el firewall

Para habilitar CSF definitivamente, ejecuta:

csf -e

¡Felicidades! Tu firewall DirectAdmin ya está activo. Pero esto es solo el comienzo. Ahora viene la parte importante: la configuración.

Configuración básica del firewall DirectAdmin

La configuración de CSF se realiza principalmente a través de un archivo de texto llamado csf.conf. Puedes editarlo directamente desde la terminal o, más fácilmente, desde el panel de DirectAdmin.

Acceso desde DirectAdmin

DirectAdmin incluye una interfaz gráfica para CSF. Simplemente inicia sesión en tu panel y busca la sección "Plugins" o "Seguridad". Verás la opción "ConfigServer Security & Firewall". Haz clic ahí y se abrirá una interfaz web muy intuitiva.

Configuración de puertos permitidos

Lo primero que debes revisar son los puertos que están abiertos. Por defecto, CSF abre los puertos más comunes (80 para HTTP, 443 para HTTPS, 22 para SSH, 21 para FTP, etc.). Puedes ver la lista en la sección "Firewall Configuration" dentro del archivo csf.conf.

La línea clave es:

TCP_IN = "20,21,22,25,53,80,110,143,443,465,587,993,995"

Esta línea define los puertos entrantes permitidos. No deberías abrir puertos innecesarios, ya que cada puerto abierto es una posible puerta de entrada para un atacante.

[TIP] Si tienes un panel de control como Syspanel (recuerda que el puerto de acceso es el 2106), asegúrate de incluir ese puerto en la lista TCP_IN para poder acceder a él.

Configuración de puertos salientes

De igual manera, la línea TCP_OUT define los puertos salientes. Por defecto, suele incluir todos los puertos (TCP_OUT = "1:65535"), pero puedes restringirlos si quieres un control más estricto.

Habilitar la protección contra fuerza bruta

CSF incluye un módulo llamado LF (Login Failure) que bloquea IPs tras varios intentos fallidos de conexión. Para activarlo, busca en el archivo de configuración estas líneas:

LF_SSH = "5"
LF_FTP = "5"
LF_CPANEL = "5"
LF_POP3D = "5"

El número indica la cantidad de intentos fallidos permitidos antes del bloqueo. Te recomiendo dejarlo en 3 o 5 para una protección óptima.

Configurar el bloqueo temporal

Cuando una IP es bloqueada, CSF lo hace durante un tiempo determinado. Puedes ajustar este tiempo en:

LF_TRIGGER = "300"

Ese valor está en segundos (300 segundos = 5 minutos). Si quieres bloqueos más largos, aumenta el número.

Protección avanzada contra ataques DDoS

Uno de los grandes beneficios de CSF es su capacidad para mitigar ataques DDoS (Denegación de Servicio). Aunque no es un sistema completo como Cloudflare, sí puede ayudar a absorber el impacto.

Configuración de límites de conexión

En el archivo csf.conf, busca la sección "Connection Tracking". Ahí puedes establecer límites de conexiones por IP:

CONNLIMIT = "22:5,80:20,443:20"

Este ejemplo limita a 5 conexiones simultáneas por IP en el puerto 22 (SSH), 20 en el puerto 80 (HTTP) y 20 en el 443 (HTTPS). Esto evita que una sola IP acapare todos los recursos.

Activar la protección SYN Flood

Los ataques SYN Flood son comunes. CSF tiene una opción específica para esto. Busca:

SYNFLOOD = "1"
SYNFLOOD_RATE = "100/s"

Esto activa la protección y limita la tasa de paquetes SYN a 100 por segundo. Si se supera, la IP es bloqueada temporalmente.

Uso de la lista de IPs permitidas y bloqueadas

CSF te permite gestionar listas personalizadas de IPs. Desde la terminal puedes usar comandos como:

csf -a 1.2.3.4  # Permite una IP
csf -d 5.6.7.8  # Bloquea una IP
csf -dr 5.6.7.8 # Elimina un bloqueo

También puedes hacerlo desde la interfaz web de DirectAdmin, en la sección "IP Lists". Esto es muy útil si tienes clientes con IPs fijas que quieres asegurar o bloqueas a un usuario problemático.

[INFO] Si bloqueas una IP por error, puedes desbloquearla con csf -dr seguido de la IP. No entres en pánico, es reversible.

Mantenimiento y monitoreo del firewall

Una vez configurado, no debes olvidarte de tu firewall. Debes revisarlo periódicamente para asegurarte de que todo funciona bien.

Ver el estado del firewall

Para ver si CSF está activo y qué reglas tiene, usa:

csf -l

Esto te mostrará todas las reglas de iptables que CSF ha aplicado.

Revisar los registros de ataques

CSF registra todos los eventos en /var/log/lfd.log. Puedes revisarlo con:

tail -f /var/log/lfd.log

Esto te mostrará en tiempo real los intentos de ataque y los bloqueos. Es una excelente manera de entender qué está pasando en tu servidor.

Actualizar CSF regularmente

ConfigServer Security & Firewall recibe actualizaciones frecuentes. Para actualizarlo, simplemente ejecuta:

csf -u

Mantenerlo actualizado es crucial para protegerte contra nuevas vulnerabilidades.

Preguntas frecuentes (FAQ)

¿CSF afectará el rendimiento de mi servidor?

No, CSF está diseñado para ser muy eficiente. El impacto en el rendimiento es mínimo, especialmente en servidores modernos. De hecho, al bloquear ataques, puede mejorar el rendimiento al liberar recursos.

¿Puedo desactivar CSF si tengo problemas?

Sí, puedes apagarlo temporalmente con:

csf -x

Para volver a activarlo:

csf -e

Solo hazlo si es absolutamente necesario y mientras resuelves el problema.

¿Qué hago si bloqueo mi propia IP?

Esto puede pasar si configuras mal las reglas. Si no puedes acceder al servidor por SSH, contacta con tu proveedor de hosting para que te desbloqueen. Una vez dentro, usa csf -dr tu_ip para eliminar el bloqueo.

¿CSF es compatible con Syspanel?

Sí, CSF es compatible con Syspanel (anteriormente conocido como HestiaCP). Solo asegúrate de que el puerto 2106 esté abierto en la configuración de puertos para poder acceder al panel.

¿Necesito conocimientos avanzados para usar CSF?

No, con esta guía y la interfaz de DirectAdmin, puedes gestionar la mayoría de las funciones. Para configuraciones avanzadas, siempre puedes consultar la documentación oficial.

Conclusión

Configurar el firewall DirectAdmin con CSF es una de las mejores decisiones que puedes tomar para proteger tu servidor. No solo bloquea ataques servidor, sino que te da una visibilidad increíble sobre lo que ocurre en tu infraestructura.

Recuerda que la seguridad es un proceso continuo. Revisa tus registros, mantén tu firewall actualizado y no dudes en ajustar las reglas según las necesidades de tu negocio. Con CSF, tienes una herramienta poderosa y flexible que te dará tranquilidad.

[TIP] Si eres nuevo en esto, comienza con la configuración básica y ve ajustando poco a poco. No querrás bloquear accidentalmente el acceso a tus propios servicios.

Ahora que sabes cómo configurarlo, ¡manos a la obra! Tu servidor te lo agradecerá.