Cómo asegurar un VPS nuevo: SSH, firewall y fail2ban

Para asegurar un VPS nuevo, haz seis cosas en la primera hora: actualiza el sistema, crea un usuario que no sea root, entra con claves SSH y desactiva el acceso por contraseña y como root, activa un firewall que solo permita los puertos que uses, instala fail2ban para bloquear intentos repetidos de acceso y activa las actualizaciones de seguridad automáticas. Después, haz una copia. Un servidor recién creado en internet empieza a recibir escaneos en cuestión de minutos, así que no lo dejes para después.

Los comandos de abajo asumen Ubuntu o Debian. Adapta los de paquetes si usas otra distribución.

Antes de empezar: deja una vía de vuelta

Endurecer SSH puede dejarte fuera si te equivocas. Dos salvaguardas:

• Mantén abierta tu sesión SSH actual mientras pruebas los cambios en una segunda.
• Conoce tu vía de rescate. En SolumeCore puedes usar la terminal web del panel, y puedes crear un snapshot antes de cambios arriesgados.

1. Actualiza todo

sudo apt update && sudo apt full-upgrade -y
sudo reboot

Las imágenes nuevas rara vez están del todo parcheadas. Haz esto primero.

2. Crea un usuario que no sea root

Trabajar como root significa que cada error de tecleo tiene el máximo poder.

adduser deploy
usermod -aG sudo deploy

A partir de ahora, entra como deploy y usa sudo cuando haga falta.

3. Usa claves SSH en lugar de contraseñas

Una contraseña se puede adivinar; un par de claves, en la práctica, no. En tu equipo:

ssh-keygen -t ed25519 -C "mi-portatil"
ssh-copy-id deploy@IP_DE_TU_SERVIDOR

Mantén la clave privada en secreto, protégela con una frase de paso y guarda una copia en un lugar seguro. Si añadiste tu clave pública al crear el servidor, puede que ya esté instalada. Un VPS de SolumeCore puede crearse con tu clave SSH configurada.

Pruébalo desde una terminal nueva: debes entrar sin que te pida la contraseña de la cuenta del servidor.

4. Blinda SSH

Edita /etc/ssh/sshd_config (o un archivo en /etc/ssh/sshd_config.d/) y define:

PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes

Luego verifica y recarga:

sudo sshd -t
sudo systemctl reload ssh

Abre una segunda terminal y confirma que aún puedes entrar antes de cerrar la primera.

Cambiar el puerto de SSH es opcional. Reduce el ruido en los registros, pero no es seguridad real; lo que te protege son las claves.

5. Activa un firewall

Un firewall impide que algo llegue a un servicio que no querías exponer. Con ufw:

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow OpenSSH
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
sudo ufw enable

Abre solo lo que necesites. Para un servidor de juegos, añade su puerto en lugar del 80 y el 443. El panel de SolumeCore también incluye un firewall de red con plantillas listas, que filtra el tráfico a nivel de red, fuera de tu máquina. Usa ambos: el de red como primera línea, ufw como segunda.

6. Instala fail2ban

fail2ban vigila los registros y bloquea durante un tiempo las direcciones que fallan repetidamente al iniciar sesión.

sudo apt install fail2ban -y
sudo systemctl enable --now fail2ban
sudo fail2ban-client status sshd

La configuración por defecto protege SSH. Con acceso solo por clave, sobre todo reduce el ruido y protege cualquier otro servicio que expongas más adelante.

7. Actualizaciones de seguridad automáticas

sudo apt install unattended-upgrades -y
sudo dpkg-reconfigure --priority=low unattended-upgrades

Esto instala los parches de seguridad sin que tengas que acordarte. Aun así, reinicia de vez en cuando por las actualizaciones del kernel.

8. Reduce lo que se ejecuta

Lista lo que escucha en la red:

sudo ss -tulpn

Todo lo que no reconozcas o no necesites debe desactivarse o eliminarse. Cada servicio abierto es una posible puerta de entrada.

9. Copia de seguridad y snapshot

La seguridad no es solo mantener fuera a los atacantes; también es recuperarte cuando algo sale mal.

• Haz un snapshot antes de actualizar o de cambios arriesgados: congela el disco al instante, así que volver atrás lleva segundos. Un snapshot vive en el mismo disco, por lo que no sobrevive a una reinstalación.
• Usa copias de seguridad para las copias a largo plazo. SolumeCore las guarda aparte de tu servidor, y sobreviven a una reinstalación.

Para una estrategia más amplia, lee copias de seguridad de servidores de juegos con la regla 3-2-1; los principios valen para cualquier servidor.

10. Hábitos que te mantienen seguro

• Revisa quién tiene acceso SSH y elimina las claves antiguas.
• No expongas nunca las bases de datos a toda internet; enlázalas a localhost o restringe por IP.
• Usa contraseñas fuertes y únicas para paneles y aplicaciones, y un gestor de contraseñas.
• Mantén actualizadas tus aplicaciones, no solo el sistema.
• Echa un vistazo de vez en cuando a /var/log/auth.log.

Lista rápida

FAQ

¿Vale la pena cambiar el puerto de SSH?

Reduce el ruido de los registros, pero no es una defensa. Lo que importa son las claves y un firewall.

¿Necesito fail2ban si uso claves SSH?

No es imprescindible para SSH, pero sigue ayudando con otros servicios y reduce el ruido de la fuerza bruta.

¿Mi VPS está protegido contra DDoS?

El filtrado a nivel de red es independiente del endurecimiento del equipo. Lee protección DDoS para servidores de juegos para entender qué hace cada capa.

¿Y si me quedé fuera?

Usa la terminal web o la opción de recuperación del proveedor. En SolumeCore, el panel incluye una terminal web.

¿Esto vale para Windows?

Las ideas sí (actualizaciones, autenticación fuerte, firewall), pero las herramientas son distintas. En los planes VPS con Windows, restringe el acceso al Escritorio remoto con una regla de firewall.

Parte de una base sólida

Consigue un VPS con acceso root completo y firewall en el panel, o mira cómo se compara en VPS vs VDS vs hosting compartido. La documentación y el centro de ayuda cubren el panel.