Cómo asegurar tu VPS nuevo: primeros pasos de seguridad

Un VPS nuevo es accesible desde internet a los pocos minutos, y los bots empiezan a probar contraseñas en el puerto 22 casi de inmediato. Para asegurarlo, actualiza el sistema, crea un usuario normal con sudo, entra con una clave SSH, desactiva el acceso de root y por contraseña en SSH, activa un firewall e instala fail2ban. Esta lista lleva unos 20 minutos y sirve para Ubuntu, Debian, AlmaLinux y Rocky Linux.

Antes de empezar

• Debes estar conectado a tu servidor por SSH. Si no, lee Cómo conectarte por SSH a tu VPS.
• Los comandos siguientes suponen que eres root, que es como empieza un servidor nuevo. Cuando crees tu propio usuario, antepón sudo a los comandos.
• Haz los pasos en orden. Varios pueden dejarte fuera si te los saltas, así que mantén una sesión SSH abierta mientras pruebas la siguiente.
• Si alguna vez te quedas fuera, la consola Pantalla del panel te sigue permitiendo entrar. Consulta la consola VNC del VPS.

1. Actualiza el sistema

Las actualizaciones corrigen vulnerabilidades conocidas. Hazlo primero:

apt update && apt upgrade -y

dnf upgrade -y

Si la actualización instaló un kernel nuevo, reinicia el servidor con reboot (o con Reiniciar en el panel) y vuelve a conectarte.

2. Crea un usuario normal con sudo

Trabajar siempre como root es arriesgado. Crea tu propio usuario:

adduser deploy
usermod -aG sudo deploy

adduser deploy
passwd deploy
usermod -aG wheel deploy

Cambia deploy por el nombre que prefieras y define una contraseña robusta cuando te la pidan. Para probarlo, ejecuta su - deploy y después sudo whoami: debe imprimir root. Escribe exit para volver.

3. Entra con una clave SSH

Las claves son mucho más seguras que las contraseñas. En tu propia computadora, crea una clave si no tienes ninguna (consulta Cómo agregar una clave SSH a tu VPS) y cópiala a tu usuario nuevo:

ssh-copy-id [email protected]

type $env:USERPROFILE\.ssh\id_ed25519.pub | ssh deploy@203.0.113.10 "mkdir -p ~/.ssh && chmod 700 ~/.ssh && cat >> ~/.ssh/authorized_keys && chmod 600 ~/.ssh/authorized_keys"

Ahora abre una terminal nueva y comprueba que ssh [email protected] entra sin pedir la contraseña del servidor (puede pedirte la frase de contraseña de tu clave).

4. Refuerza SSH

Continúa solo cuando el paso 3 funcione. Crea un pequeño archivo de configuración que desactive el acceso de root y por contraseña:

cat > /etc/ssh/sshd_config.d/00-hardening.conf <<'EOF'
PermitRootLogin no
PasswordAuthentication no
EOF
sshd -t

El nombre empieza por 00 a propósito: SSH usa el primer valor que lee, y algunas imágenes traen en esa carpeta otros archivos que podrían anular el tuyo. sshd -t comprueba la sintaxis; si no imprime nada, es válida. Después recarga el servicio:

systemctl reload ssh

systemctl reload sshd

Confirma qué está activo con sshd -T | grep -E "permitrootlogin|passwordauthentication". Si no muestra no en ambos, tu imagen no lee esa carpeta: pon las mismas dos líneas en /etc/ssh/sshd_config y recarga de nuevo. No cierres tu sesión actual hasta que una terminal totalmente nueva pueda entrar como deploy con la clave.

Si cambiaste el puerto de SSH, recuerda permitir el puerto nuevo en los pasos de firewall siguientes.

5. Activa el firewall dentro del servidor

Un firewall cierra todos los puertos que no usas. Permite primero SSH y activa el firewall después, o cortarás tu propia conexión.

apt install ufw -y
ufw default deny incoming
ufw default allow outgoing
ufw allow 22/tcp
ufw enable
ufw status verbose

systemctl enable --now firewalld
firewall-cmd --permanent --add-service=ssh
firewall-cmd --reload
firewall-cmd --list-all

Cuando instales un sitio web o un servidor de juegos, abre también sus puertos, por ejemplo ufw allow 80,443/tcp. Este firewall es distinto del que hay en el panel; lee Cómo abrir un puerto en el firewall de tu VPS para entender cómo trabajan juntos.

6. Instala fail2ban

fail2ban vigila tus registros y bloquea temporalmente las direcciones que fallan demasiadas veces al iniciar sesión.

apt install fail2ban -y

dnf install epel-release -y
dnf install fail2ban -y

Crea /etc/fail2ban/jail.local:

[sshd]
enabled = true
maxretry = 5
findtime = 10m
bantime = 1h

Inícialo y comprueba que funciona:

systemctl enable --now fail2ban
fail2ban-client status sshd

En imágenes que guardan los registros solo en el diario del sistema y no tienen /var/log/auth.log, agrega backend = systemd bajo [sshd].

7. Instala las actualizaciones de seguridad automáticamente

apt install unattended-upgrades -y
dpkg-reconfigure --priority=low unattended-upgrades

dnf install dnf-automatic -y
systemctl enable --now dnf-automatic-install.timer

8. Usa las protecciones del panel

• Página Firewall: todo servidor con IP dedicada tiene protección DDoS desde el primer momento. Abre Firewall en el menú de la izquierda, elige tu servidor y, en la pestaña Resumen, mira Protecciones automáticas. Activa Guardia de SSH para frenar a los bots que prueban miles de contraseñas. El nivel de protección Reforzado agrega controles extra al acceso remoto.
• Lista de direcciones siempre permitidas: en la pestaña Listas, agrega tu propia IP a Siempre permitidas para que los filtros nunca te bloqueen por error.
• Backups: si tu plan incluye backups, crea uno antes de hacer cambios importantes. Consulta Backups y snapshots del VPS.
• Tu cuenta: activa la autenticación en dos factores (Cómo activar la autenticación en dos factores), porque quien entre a tu cuenta puede abrir la consola de tu servidor.

Lista de comprobación rápida

• Sistema actualizado.
• Usuario normal con sudo.
• El acceso con clave SSH funciona.
• Acceso de root y por contraseña desactivados.
• Firewall del servidor activado.
• fail2ban en marcha.
• Actualizaciones de seguridad automáticas activadas.
• Guardia de SSH activada en el panel.
• Autenticación en dos factores activada en tu cuenta.

Solución de problemas

• No puedes entrar después del paso 4: usa la consola Pantalla, inicia sesión con la contraseña de tu usuario normal y corrige /etc/ssh/sshd_config.d/00-hardening.conf, o elimina el archivo y ejecuta de nuevo el comando de recarga.
• La consola web falla después de reforzar SSH: indica el usuario y la credencial en Cómo entra la consola como se describe arriba.
• Activaste ufw y perdiste la conexión: abre la consola Pantalla y ejecuta ufw allow 22/tcp, o ufw disable para empezar de nuevo.
• fail2ban te bloqueó a ti: desde la consola Pantalla ejecuta fail2ban-client set sshd unbanip TU_IP.

Preguntas frecuentes

¿Qué es lo primero que debo hacer en un VPS nuevo?

Actualizar el sistema. Después, crear un usuario normal, configurar una clave SSH y desactivar el acceso por contraseña.

¿Es seguro desactivar el acceso de root?

Sí, siempre que antes tengas otro usuario con sudo y una clave que funcione. Prueba siempre en una segunda terminal antes de cerrar tu sesión.

¿Necesito un firewall si el panel ya tiene uno?

Sí, los dos ayudan. El firewall del panel protege contra ataques en el borde de la red. El del servidor controla qué servicios escuchan hacia el exterior.

¿Debo cambiar el puerto de SSH?

Reduce el ruido en los registros, pero no es seguridad real. Importan más las claves y fail2ban. Si lo cambias, actualiza los firewalls y el puerto en los ajustes de la consola web.

¿Cómo sé si alguien intenta entrar a la fuerza?

Ejecuta fail2ban-client status sshd para ver las direcciones bloqueadas y journalctl -u ssh (Ubuntu y Debian) para leer los intentos de inicio de sesión.

Artículos relacionados

• Cómo agregar una clave SSH a tu VPS
• Cómo abrir un puerto en el firewall de tu VPS
• Consola SSH web del VPS
• Cómo activar la autenticación en dos factores
• Backups y snapshots del VPS

¿Quieres un VPS donde aplicar todo esto? Echa un vistazo a nuestros planes de VPS.