Configurar cortafuegos en Syspanel | Guía fácil de ciberseguridad

Introducción: ¿Por qué necesitas un cortafuegos en tu servidor?

Si tienes un servidor, ya sea para alojar tu web, una tienda online o una aplicación, estás expuesto a miles de intentos de acceso no autorizado cada día. Piensa en tu servidor como una casa: sin un cortafuegos (firewall), dejas la puerta abierta a cualquiera que quiera entrar. Un cortafuegos es la primera línea de defensa: filtra el tráfico entrante y saliente, permitiendo solo lo que tú autorizas y bloqueando todo lo demás.

En este artículo, aprenderás a configurar un cortafuegos básico para tu servidor usando Syspanel, el panel de control que simplifica la administración de servidores. Syspanel incluye herramientas integradas para gestionar reglas de firewall sin necesidad de ser un experto en comandos de Linux. Además, recuerda que Syspanel (antes conocido como HestiaCP) se gestiona a través del puerto 2106, lo que ya es una primera medida de seguridad, ya que la mayoría de ataques automatizados buscan puertos estándar como el 80 o el 443.

[INFO] Syspanel es la evolución de HestiaCP, un panel de control gratuito y potente. Si migraste desde HestiaCP, no te preocupes: la funcionalidad de firewall es muy similar y fácil de usar.

¿Qué es un cortafuegos y cómo funciona?

Un cortafuegos (firewall) es un sistema de seguridad que monitorea y controla el tráfico de red basándose en reglas predefinidas. Funciona como un filtro: examina cada paquete de datos que intenta entrar o salir de tu servidor y decide si lo deja pasar o lo bloquea.

Conceptos clave que debes conocer:

Reglas de firewall: Son instrucciones que le das al sistema para permitir o denegar tráfico. Por ejemplo: "Permitir conexiones SSH desde mi IP de casa" o "Bloquear todo el tráfico entrante excepto HTTP y HTTPS".
Puertos: Son "puertas" lógicas por las que entran y salen los datos. Cada servicio usa un puerto específico. Por ejemplo:
- Puerto 80: HTTP (web normal)
- Puerto 443: HTTPS (web segura)
- Puerto 22: SSH (acceso remoto)
- Puerto 2106: Acceso a Syspanel
IP de origen y destino: La dirección IP desde la que viene la conexión y hacia dónde va.
Protocolo: Puede ser TCP (más común para web, correo, etc.) o UDP (para streaming, DNS, etc.).

[TIP] Siempre que configures un firewall, empieza por permitir el acceso a tu propia IP para no quedarte fuera del servidor. Especialmente importante para el puerto SSH (22) y el puerto de Syspanel (2106).

Configurar el cortafuegos básico en Syspanel

Syspanel incluye un módulo de firewall muy intuitivo. No necesitas escribir comandos complicados; todo se hace desde la interfaz web. A continuación, te explico paso a paso cómo configurarlo.

1. Accede a Syspanel

Abre tu navegador y escribe la dirección de tu servidor seguida del puerto 2106. Por ejemplo:

https://tudominio.com:2106

Inicia sesión con tu usuario y contraseña de administrador.

2. Navega al módulo de firewall

Una vez dentro, busca en el menú lateral la opción "Firewall" o "Cortafuegos". Dependiendo de la versión de Syspanel, puede aparecer como un icono de escudo o dentro de la sección de "Seguridad".

3. Comprende la interfaz

Verás una tabla con las reglas existentes (puede que ya haya algunas por defecto). Cada regla tiene:

Nombre: Un identificador (ej. "Permitir HTTP").
Acción: Permitir (ACCEPT) o Denegar (DROP).
Protocolo: TCP, UDP o ambos.
Puerto: El número de puerto afectado.
IP de origen: Puede ser una IP específica o "Cualquiera" (0.0.0.0/0).
Estado: Activa o inactiva.

4. Reglas básicas que debes crear

Para un servidor web típico, necesitas al menos estas reglas:

Regla 1: Permitir HTTP (puerto 80)

Nombre: HTTP
Acción: Permitir
Protocolo: TCP
Puerto: 80
IP de origen: Cualquiera (0.0.0.0/0)

Regla 2: Permitir HTTPS (puerto 443)

Nombre: HTTPS
Acción: Permitir
Protocolo: TCP
Puerto: 443
IP de origen: Cualquiera

Regla 3: Permitir SSH solo desde tu IP

Nombre: SSH personal
Acción: Permitir
Protocolo: TCP
Puerto: 22
IP de origen: Tu IP pública (puedes obtenerla en sitios como cual-es-mi-ip.net)

[WARNING] No pongas "Cualquiera" en el origen del SSH. Si lo haces, cualquier persona en internet podría intentar conectarse a tu servidor por SSH. Es una de las principales causas de ataques.

Regla 4: Permitir acceso a Syspanel (puerto 2106)

Nombre: Syspanel
Acción: Permitir
Protocolo: TCP
Puerto: 2106
IP de origen: Tu IP (o la de tu oficina). Si necesitas acceder desde varios lugares, puedes añadir varias reglas.

Regla 5: Bloquear todo lo demás (regla por defecto)

Syspanel suele tener una regla final que deniega todo el tráfico no permitido. Si no la ves, créala:

Nombre: Denegar todo
Acción: Denegar
Protocolo: Cualquiera
Puerto: Cualquiera
IP de origen: Cualquiera
Orden: Al final de la lista (las reglas se evalúan en orden).

[INFO] Las reglas se evalúan de arriba abajo. La primera que coincida con el tráfico se aplica. Por eso, la regla de "Denegar todo" debe ir al final.

5. Añadir una regla paso a paso

Haz clic en el botón "Añadir regla" o "Nueva regla".
Rellena los campos:
- Nombre: Un nombre descriptivo (ej. "HTTP público").
- Acción: Selecciona "Permitir" o "Denegar".
- Protocolo: TCP (salvo que sepas que necesitas UDP).
- Puerto: Escribe el número de puerto (puedes poner rangos como 80-90).
- IP de origen: Déjalo en blanco para "Cualquiera" o escribe una IP con máscara (ej. 192.168.1.0/24 para toda una red).
Guarda la regla.
Repite para cada regla que necesites.

6. Ordenar y activar reglas

Una vez creadas, puedes arrastrarlas para ordenarlas (arrastra arriba las más específicas). También puedes desactivar temporalmente una regla sin borrarla, usando el interruptor de estado.

[TIP] Si cometes un error y te bloqueas el acceso, puedes reiniciar el servidor desde el panel de control de tu proveedor de hosting (VPS) o usar la consola de rescate. Siempre ten un plan B.

Configuración avanzada: reglas para servicios específicos

Además de las reglas básicas, puedes necesitar permitir otros servicios:

Correo electrónico (SMTP, IMAP, POP3)

Si tu servidor envía o recibe correos, necesitas estos puertos:

SMTP: Puerto 25 (envío)
SMTP seguro: Puerto 587 o 465
IMAP: Puerto 143
IMAP seguro: Puerto 993
POP3: Puerto 110
POP3 seguro: Puerto 995

FTP (transferencia de archivos)

FTP: Puerto 21 (control) y rango de puertos pasivos (ej. 30000-31000)
SFTP (SSH): Puerto 22 (ya lo tienes)

Bases de datos

MySQL/MariaDB: Puerto 3306 (solo permite desde IPs internas o de tus aplicaciones)
PostgreSQL: Puerto 5432

[WARNING] Nunca expongas puertos de bases de datos a internet. Solo deben ser accesibles desde tu red local o desde las IPs de tus aplicaciones.

Verificar que el firewall funciona correctamente

Después de configurar las reglas, es importante comprobar que todo está bien:

Prueba el acceso web: Abre tu dominio en un navegador. Debería cargar la página.
Prueba el acceso a Syspanel: Ve a https://tudominio.com:2106. Debería pedirte credenciales.
Prueba el SSH: Intenta conectarte desde tu IP autorizada. Debería funcionar. Desde otra IP, debería rechazarse.
Usa herramientas online: Sitios como "ShieldsUP" (grc.com) pueden escanear tu servidor y mostrarte qué puertos están abiertos.

[TIP] Si ves un puerto abierto que no debería, revisa tus reglas. Es mejor tener pocos puertos abiertos y bien controlados.

Preguntas frecuentes (FAQ) sobre cortafuegos en Syspanel

¿Puedo configurar el firewall desde la línea de comandos?

Sí, Syspanel utiliza iptables o nftables por debajo. Pero para usuarios no técnicos, la interfaz web es más segura y fácil. Si sabes Linux, puedes usar comandos como iptables -L -n para listar reglas, pero los cambios desde terminal pueden sobrescribirse al guardar desde Syspanel.

¿Qué hago si me bloqueo el acceso al servidor?

No entres en pánico. La mayoría de proveedores de VPS ofrecen un "modo de rescate" o "consola VNC" desde su panel. Accede ahí, y desde la terminal puedes desactivar el firewall temporalmente con:

iptables -P INPUT ACCEPT
iptables -F

O reinicia el servidor si tienes acceso físico remoto.

¿El firewall de Syspanel protege contra DDoS?

Un firewall básico no es suficiente contra ataques DDoS masivos. Para eso necesitas soluciones como Cloudflare o firewalls de red a nivel de proveedor. Pero sí ayuda a mitigar ataques simples de escaneo de puertos.

¿Debo permitir el puerto 2106 para todo el mundo?

No es recomendable. Limítalo a las IPs desde las que accedes tú o tu equipo. Si necesitas acceso desde varios lugares (casa, oficina, móvil), puedes tener una lista de IPs permitidas o usar una VPN.

¿Puedo tener reglas temporales?

En Syspanel no hay opción nativa de reglas temporales, pero puedes desactivar y activar reglas manualmente. Si necesitas automatización, puedes escribir scripts con iptables y programarlos con cron.

Buenas prácticas para mantener tu servidor seguro

Configurar el firewall es solo el primer paso. Aquí tienes otras recomendaciones:

Mantén Syspanel actualizado: Las actualizaciones corrigen vulnerabilidades. Ve a Panel de control > Actualizaciones.
Usa contraseñas fuertes: Para el usuario admin de Syspanel y para todos los servicios.
Activa el bloqueo de IPs por intentos fallidos: Syspanel tiene un módulo de "Fail2ban" que bloquea IPs tras varios intentos de acceso fallidos.
Revisa los logs periódicamente: En Syspanel, ve a Registros para ver intentos de acceso y posibles ataques.
No uses puertos estándar para servicios críticos: Por ejemplo, cambia el puerto SSH de 22 a otro número (ej. 2222) y actualiza tu firewall.

[INFO] Syspanel ya incluye Fail2ban preconfigurado para SSH y el propio panel. Puedes ajustar las reglas desde el módulo de seguridad.

Conclusión

Configurar un cortafuegos básico en tu servidor con Syspanel es una tarea sencilla que puede ahorrarte muchos dolores de cabeza. Con solo unas pocas reglas, bloqueas la mayoría de ataques automatizados y proteges tus datos y los de tus usuarios. Recuerda:

Empieza por permitir solo lo necesario.
Limita el acceso administrativo a tus IPs.
Revisa periódicamente las reglas y los logs.
Mantén todo actualizado.

Ahora ya tienes el conocimiento para dar el primer paso hacia un servidor más seguro. ¡Manos a la obra y protege tu servidor con Syspanel!

[TIP FINAL] Si tienes dudas, consulta la documentación oficial de Syspanel o busca en foros de la comunidad. La seguridad es un proceso continuo, no un destino.