Configurar Firewall en Syspanel | Protección Básica

¿Por qué necesitas un firewall en tu servidor?

Si tienes un servidor, ya sea para alojar una web, una tienda online o una aplicación, este está expuesto a Internet las 24 horas del día. Eso significa que cualquier persona en el mundo podría intentar acceder a él. Sin un firewall, es como dejar la puerta de tu casa abierta de par en par: cualquiera podría entrar, mirar tus cosas y llevarse lo que quiera.

Un firewall actúa como un portero de seguridad que revisa cada paquete de datos que intenta entrar o salir de tu servidor. Decide quién puede pasar y quién no, basándose en reglas que tú mismo defines. Es la primera línea de defensa para tu seguridad servidor, y configurarlo correctamente es una de las tareas más importantes que puedes hacer.

En esta guía, te enseñaré paso a paso cómo configurar un firewall básico en tu servidor usando Syspanel. No necesitas ser un experto en redes, solo seguir las instrucciones con calma. Al final, tendrás tu servidor mucho más protegido contra accesos no autorizados.

¿Qué es Syspanel y por qué usarlo?

Syspanel es un panel de control para servidores que simplifica enormemente la gestión de tu infraestructura. Es una herramienta todo-en-uno que te permite administrar sitios web, bases de datos, cuentas de correo y, por supuesto, la seguridad de tu servidor.

Una de las grandes ventajas de Syspanel es que integra un gestor de firewall visual. No necesitas escribir comandos complicados en la terminal para crear reglas firewall. Todo se hace desde una interfaz gráfica limpia y ordenada, lo que reduce muchísimo el margen de error.

Para acceder a Syspanel, simplemente abre tu navegador y escribe la dirección https://tu-servidor:2106. Recuerda siempre el puerto 2106, es la puerta de entrada a tu panel de control. Una vez dentro, verás un menú lateral con diferentes opciones. Busca la sección que dice "Firewall" o "Seguridad".

Primeros pasos: Conoce el estado de tu firewall

Antes de empezar a crear reglas, es fundamental que sepas cuál es el estado actual de tu firewall. En Syspanel, ve a la sección Firewall. Verás una pantalla con un resumen general.

[INFO] Si el firewall está desactivado, verás un aviso en rojo o amarillo indicándolo. En ese caso, lo primero que debes hacer es activarlo pulsando el botón correspondiente.

Una vez activado, te mostrará una lista de reglas existentes (si las hay) y el estado de los puertos más comunes. Es posible que ya haya algunas reglas predefinidas, como permitir el tráfico SSH (puerto 22) o HTTP (puerto 80). No las borres si no estás seguro de lo que hacen.

Ahora, vamos a construir nuestro firewall desde cero, pero de forma segura. La lógica es simple: primero bloqueamos todo, y luego permitimos solo lo que necesitamos. Esto se conoce como "política por defecto denegar".

Paso 1: Configurar las políticas por defecto

En Syspanel, dentro de la sección de Firewall, busca la opción de Políticas por Defecto o Default Policies. Aquí podrás elegir qué hacer con el tráfico que no coincida con ninguna regla.

Lo más seguro es establecer:

Tráfico entrante (Input): Denegar.
Tráfico saliente (Output): Permitir (para que tu servidor pueda actualizarse y comunicarse con el exterior).
Tráfico de reenvío (Forward): Denegar (a menos que uses tu servidor como router).

[WARNING] Si deniegas el tráfico saliente, tu servidor no podrá actualizar sus paquetes de software ni enviar correos. Por eso, te recomiendo que solo deniegues el entrante y el de reenvío.

Esta configuración inicial ya te protege de la mayoría de escaneos automáticos que se hacen en Internet. Cualquier intento de conexión a un puerto que no hayas abierto explícitamente será rechazado.

Paso 2: Crear reglas para los servicios esenciales

Ahora viene la parte interesante: configurar firewall para que tu servidor siga funcionando correctamente. Necesitas abrir los puertos de los servicios que usas. Aquí tienes una tabla con los más comunes:

Servicio	Puerto	Protocolo	Descripción
SSH	22	TCP	Acceso remoto seguro a tu servidor.
HTTP	80	TCP	Tráfico web normal.
HTTPS	443	TCP	Tráfico web cifrado (imprescindible).
DNS	53	UDP	Resolución de nombres (si usas tu servidor como DNS).
MySQL	3306	TCP	Base de datos (¡cuidado! mejor no exponerlo a Internet).
FTP	21	TCP	Transferencia de archivos (inseguro, usa SFTP).
Syspanel	2106	TCP	Acceso a tu panel de control.

En Syspanel, para crear una regla, busca el botón "Añadir Regla" o "Nueva Regla". Se te pedirá:

Nombre: Ponle un nombre descriptivo, por ejemplo "SSH desde mi casa".
Puerto o rango de puertos: Por ejemplo, 22.
Protocolo: TCP, UDP o ambos.
IP de origen: Puedes dejarlo en 0.0.0.0/0 (todos) o restringirlo a tu IP fija. Esto es mucho más seguro.
Acción: Aceptar.

Regla básica para SSH:

Nombre: SSH permitido.
Puerto: 22.
Protocolo: TCP.
IP Origen: 0.0.0.0/0 (si no tienes IP fija) o tu IP específica.
Acción: Aceptar.

[TIP] Si solo tú accedes al servidor por SSH, restringe el origen a tu IP. Así, aunque alguien adivine tu contraseña, no podrá conectarse desde otra dirección.

Regla para web (HTTP y HTTPS):

Crea dos reglas:

Nombre: HTTP público. Puerto: 80. Protocolo: TCP. Origen: Todos. Acción: Aceptar.
Nombre: HTTPS público. Puerto: 443. Protocolo: TCP. Origen: Todos. Acción: Aceptar.

Regla para Syspanel:

Nombre: Panel de control. Puerto: 2106. Protocolo: TCP. Origen: Restringido a tu IP (muy recomendable). Acción: Aceptar.

[WARNING] No expongas el puerto 2106 a todo Internet. Es el acceso a tu panel de control, y es un objetivo muy jugoso para los atacantes. Limítalo a tu IP de casa o a una VPN.

Paso 3: Proteger puertos sensibles

Hay puertos que nunca deberías abrir al público a menos que sepas exactamente lo que estás haciendo. Por ejemplo, el puerto 3306 (MySQL) o el 21 (FTP).

Si necesitas acceder a tu base de datos desde fuera, es mucho más seguro hacerlo a través de una VPN o usando un túnel SSH. En el firewall, asegúrate de que estos puertos estén en Denegar o simplemente no crees reglas para ellos. Al tener la política por defecto en "Denegar", ya estarán bloqueados.

Sin embargo, a veces es útil crear una regla explícita de denegación para puertos problemáticos, solo para tener un registro claro en el panel. Puedes crear una regla como:

Nombre: Bloquear MySQL externo.
Puerto: 3306.
Protocolo: TCP.
Origen: Todos.
Acción: Denegar.

Esto no cambia el comportamiento, pero te ayuda a documentar tu configuración.

Paso 4: Usar la función de "Protección contra el escaneo de puertos"

Syspanel incluye herramientas de seguridad avanzadas. Una de ellas es la detección y bloqueo de escaneo de puertos. Un escaneo es cuando un atacante prueba rápidamente todos los puertos de tu servidor para ver cuáles están abiertos.

Activa esta opción en la configuración del firewall. Lo que hace es monitorear el número de conexiones fallidas en un corto período de tiempo. Si detecta un patrón de escaneo, bloquea automáticamente la IP del atacante durante un tiempo determinado.

Esta es una característica excelente para la seguridad servidor, ya que añade una capa de protección proactiva sin que tengas que hacer nada manualmente.

[INFO] La protección contra escaneos es una defensa pasiva. No sustituye a un buen firewall, pero complementa perfectamente las reglas que has creado.

Paso 5: Verificar y probar tu configuración

Una vez que hayas creado todas tus reglas, es hora de probar que todo funciona. En Syspanel, asegúrate de que el estado del firewall sea "Activo" y que todas tus reglas estén habilitadas.

Aquí tienes una lista de comprobación:

El firewall está activo.
La política por defecto es "Denegar" para entrada.
Tienes reglas para SSH, HTTP y HTTPS.
La regla para Syspanel (puerto 2106) está restringida a tu IP.
La protección contra escaneos está activada.

Para probar, puedes intentar acceder a tu sitio web desde tu navegador. Si la web carga correctamente, las reglas de HTTP/HTTPS funcionan. Si no puedes acceder, revisa que los puertos 80 y 443 estén abiertos en la lista de reglas.

Para probar SSH, abre una terminal en tu ordenador y escribe ssh usuario@tu-servidor. Si la conexión se establece, la regla del puerto 22 es correcta.

Solución de problemas comunes (FAQ)

Aquí tienes las respuestas a las dudas más frecuentes que nos llegan al soporte:

1. He activado el firewall y ahora no puedo acceder a mi web. ¿Qué hago?

Lo más probable es que hayas bloqueado el puerto 80 o el 443. Ve a la lista de reglas y verifica que existen reglas con acción "Aceptar" para estos puertos y que el origen sea 0.0.0.0/0. Si no las tienes, créalas y guarda los cambios. El firewall se aplica al instante, así que debería funcionar en unos segundos.

2. No puedo conectarme por SSH después de configurar el firewall.

Revisa la regla para el puerto 22. Asegúrate de que el protocolo es TCP y que la acción es "Aceptar". Si restringiste el origen a una IP específica, verifica que la IP desde la que te conectas es la correcta. Puedes buscar "cuál es mi IP" en Google para confirmarlo.

3. ¿Debo abrir el puerto 21 para FTP?

No, te recomiendo encarecidamente que no lo hagas. El protocolo FTP es inseguro porque envía las contraseñas en texto plano. Usa SFTP (que viaja por SSH, puerto 22) o configura un servicio FTPS con cifrado. En Syspanel, puedes gestionar usuarios y accesos SFTP desde la sección de usuarios.

4. ¿Qué pasa si me bloqueo a mí mismo? ¿Cómo puedo revertir el firewall?

Syspanel tiene una función de "fallback" o "modo de emergencia". Si te bloqueas accidentalmente, puedes acceder al servidor a través del proveedor (como un VPS) usando una consola web (VNC). Desde ahí, puedes desactivar el firewall o eliminar la regla problemática. También puedes reiniciar el servidor con el firewall desactivado en la configuración de arranque.

5. ¿Cómo puedo ver los intentos de conexión bloqueados?

Syspanel registra los eventos del firewall. En la sección de firewall, busca la pestaña de "Logs" o "Registros". Allí podrás ver las IPs que han sido bloqueadas, qué puertos intentaban alcanzar y cuándo. Esto es muy útil para entender quién te ataca y cómo.

6. ¿Es necesario reiniciar el servidor después de cambiar las reglas?

No. Las reglas del firewall se aplican en caliente. En cuanto guardas los cambios en Syspanel, el sistema los procesa y los activa al instante. No necesitas reiniciar nada.

7. ¿Qué es el puerto 2106 y por qué es especial?

El puerto 2106 es el puerto de acceso a Syspanel. Es un puerto no estándar, lo que ya dificulta los ataques automatizados que buscan puertos comunes como el 8080 o el 8443. Es importante que lo mantengas protegido y no lo cambies a menos que sepas muy bien lo que haces.

8. ¿Puedo configurar el firewall desde la línea de comandos?

Sí, Syspanel también te permite ejecutar comandos personalizados, pero no es necesario para una configuración básica. La interfaz gráfica es más segura y menos propensa a errores. Si quieres aprender más, puedes consultar la documentación de iptables o nftables, que son los sistemas subyacentes.

Buenas prácticas adicionales para tu seguridad servidor

Configurar el firewall es un gran paso, pero no es lo único que debes hacer. Aquí tienes algunas recomendaciones extra:

Cambia el puerto SSH por defecto: Aunque configures el firewall, cambiar el puerto 22 por otro (como el 2222) reduce los ataques de fuerza bruta. Recuerda actualizar la regla del firewall si haces esto.
Usa claves SSH en lugar de contraseñas: Es más seguro y evita que alguien adivine tu contraseña.
Mantén el sistema actualizado: Syspanel te notificará de actualizaciones de seguridad. Aplícalas cuanto antes.
Activa el bloqueo automático de IPs tras varios intentos fallidos: Syspanel tiene un módulo para esto. Configúralo con un máximo de 5 intentos y un bloqueo de 15 minutos.
Realiza copias de seguridad periódicas: Si algo sale mal, podrás restaurar tu sistema sin perder datos.

Conclusión

Configurar un firewall básico en tu servidor con Syspanel es un proceso sencillo y muy gratificante. Con solo unos pocos clics, has cerrado la puerta a la mayoría de los ataques automatizados y has puesto una barrera sólida para los atacantes más decididos.

Hemos visto cómo:

Activar el firewall y establecer políticas seguras.
Crear reglas firewall para los servicios esenciales (SSH, HTTP, HTTPS).
Proteger el acceso a Syspanel restringiendo el puerto 2106.
Bloquear puertos sensibles como el de MySQL.
Activar la protección contra escaneos.
Probar y verificar nuestra configuración.

Recuerda que la seguridad es un proceso continuo. No configures el firewall y te olvides. Revisa los logs de vez en cuando, mantén el sistema actualizado y adapta tus reglas a medida que cambien tus necesidades.

[TIP] Si te surge cualquier duda, no dudes en contactar con nuestro soporte técnico. Estamos aquí para ayudarte a mantener tu servidor seguro y funcionando perfectamente.

Con esta guía, ya tienes una base sólida de seguridad servidor. El firewall es tu primera línea de defensa, pero la conciencia y la buena administración son tus mejores aliados. ¡A navegar seguro!