Cortafuegos del servidor y Host Access

El panel puede gestionar por usted el propio cortafuegos del servidor, de modo que no necesita una sesión SSH para abrir un puerto o bloquear una dirección. Funciona con ufw (Debian y Ubuntu) y firewalld (la familia RHEL: AlmaLinux, Rocky, CloudLinux). Es solo para el administrador del servidor y aparece en Sistema → Seguridad → Cortafuegos. Si el servidor no tiene ningún cortafuegos activo, la tarjeta lo indica y no ofrece nada que cambiar.

El cortafuegos del servidor es una capa más. La mayoría de los proveedores tienen además un cortafuegos en la nube aparte, que se gestiona en el propio proveedor. Un puerto tiene que estar permitido en ambos. Consulte las notas sobre proveedores de VPS.

La red de seguridad: cada cambio se deshace solo

Un error en un cortafuegos es la forma clásica de quedarse fuera de su propio servidor. Por eso cada cambio que haga aquí es provisional:

1. Abre un puerto, bloquea una dirección o guarda una lista. El cambio surte efecto de inmediato.
2. Aparece un recuadro: ¿Conservar estos cambios del cortafuegos?, con una cuenta atrás de 3 minutos.
3. Compruebe que este panel sigue funcionando y que todavía puede iniciar sesión por SSH. Después pulse Conservar cambios. Pulse Deshacer ahora para volver atrás de inmediato.
4. Si no hace nada, al terminar la cuenta atrás el cortafuegos vuelve a como estaba.

La cuenta atrás se guarda en el servidor, no en su navegador, y sobrevive a un reinicio del panel o de todo el servidor. Si la propia reversión no puede completarse (por ejemplo, porque el cortafuegos está ocupado), el servidor sigue intentándolo por sí mismo y la tarjeta avisa de que algunos cambios aún no han podido deshacerse.

Si el servidor se detiene mientras hay cambios en espera y el registro de lo que hay que deshacer está dañado, el panel no adivina. Muestra Revise el cortafuegos, le pide que mire las listas y devuelva a su estado lo que no quería conservar, y no hace ningún cambio nuevo hasta que usted pulse Ya lo revisé.

Puertos abiertos y direcciones bloqueadas

Puertos abiertos muestra lo que el cortafuegos deja pasar. Para abrir un puerto, escriba un puerto como 8080 o un rango como 3000-3010, elija TCP o UDP y pulse el botón. Cada puerto de la lista tiene un botón para cerrarlo.

Direcciones bloqueadas muestra las direcciones a las que se rechaza. Escriba una dirección IP, o una red como 203.0.113.0/24, y pulse Bloquear. La tarjeta muestra su propia dirección para que pueda ver cuál es.

Lo que el panel se niega a hacer

Estas reglas no se pueden desactivar. Existen para que un error de tecleo no pueda tumbar el servidor.

Si intenta	El panel dice que no porque
Cerrar SSH, el puerto 80 o el puerto 443	Mantienen el servidor accesible. SSH se lee de la propia configuración del servidor SSH, así que también se protege un puerto SSH no estándar.
Abrir un puerto privado: 6379 (Redis), 11211 (Memcached), 27017 (MongoDB), 9080 (el propio back-end del panel), 8891 (el firmador DKIM) o 8100-8999 (los back-ends web por cuenta)	Escuchan sin contraseña o están detrás del servidor web frontal. Abrirlos permitiría a los visitantes saltarse sus protecciones.
Bloquear su propia dirección	Se dejaría fuera a sí mismo. Si el panel no puede ver su dirección, no bloquea nada.
Bloquear una dirección que pertenece a este servidor	El servidor se bloquearía a sí mismo.
Bloquear una red muy amplia	Se rechaza todo lo más amplio que /8 en IPv4 o /16 en IPv6.

Host Access: quién puede conectarse

En Quién puede conectarse (Host Access) puede indicar que solo las direcciones de una lista pueden llegar a uno de cuatro servicios. El cortafuegos rechaza a todos los demás.

Servicio	Puertos que cubre
SSH	El puerto o puertos SSH de este servidor (nunca el 80 ni el 443, aunque SSH los comparta)
FTP	21, 990 y el rango pasivo 30000-30100
Inicios de sesión de correo	110, 143, 465, 587, 993, 995
Base de datos	3306

Los sitios web y el correo entrante (puerto 25) nunca se limitan. «Inicios de sesión de correo» se refiere a los lugares donde las personas leen y envían su correo; los demás servidores de correo siguen llegando a usted por el puerto 25.

Para limitar un servicio, pulse Limitar a una lista…, escriba una dirección o red por línea (como máximo 15) y pulse Guardar lista. Las reglas:

• Para SSH, su propia dirección debe estar en la lista, o el panel no la guardará. Si también inicia sesión desde otro ordenador o a través de una VPN, añada también esa dirección. El botón Añadir mi dirección rellena la suya.
• Se rechaza una red demasiado amplia para ser un límite real (más amplia que /8 en IPv4, /16 en IPv6).
• Permitir a todos… (o Quitar lista… para la base de datos, que por defecto está cerrada al exterior) levanta la lista. En firewalld devuelve el servicio a todo el mundo tal como lo dejó el instalador al principio.
• Como cualquier otro cambio, una lista es provisional durante 3 minutos hasta que pulse Conservar cambios.

Cuando no se puede guardar una lista

• «Este cortafuegos deja pasar toda conexión que ninguna regla menciona»: una lista no limitaría nada, porque el cortafuegos acepta todo lo que no está prohibido. Configure primero el cortafuegos para rechazar por defecto las conexiones entrantes (en ufw, ufw default deny incoming; en firewalld, ponga el target de la zona activa en default o REJECT).
• «Otra regla, creada fuera del panel, también abre estos puertos»: por ejemplo, una regla con límite de frecuencia, con registro o más amplia que añadió a mano. El panel no la toca y muestra el servicio como no gestionable. Elimine usted esa regla primero, o la lista no limitaría nada.

Al volver a ejecutar el instalador

Volver a ejecutar install.sh, o actualizar el panel, no reabre un puerto que haya limitado con Host Access. Las listas se quedan como las dejó.

Lo que esto no hace

• No sustituye las protecciones a nivel de cuenta: el bloqueo de fuerza bruta, las listas de bloqueo de IP de cada cuenta y el firewall de aplicaciones web son funciones distintas.
• No gestiona un cortafuegos que usted haya desactivado, ni reglas de herramientas distintas de ufw y firewalld.
• Nada de esto cambia el cortafuegos en la nube de su proveedor.

Relacionado: Solución de problemas · Notas sobre proveedores de VPS