Instalar DirectAdmin y el firewall CSF en un VPS

Antes de empezar

Si el VPS lo contratás con nosotros y querés el panel, decilo al pedirlo: se entrega instalado y con la licencia en la misma factura.

• Sistema limpio y actualizado. DirectAdmin toma Apache, Exim, MySQL y el DNS del servidor: instalarlo sobre una máquina con servicios ya configurados es pedir problemas.
• Una licencia de DirectAdmin asociada a la IP del servidor.
• El hostname definido y resolviendo: server1.tudominio.com, no localhost.
• Al menos 2 GB de memoria; con 4 GB trabaja cómodo.

La instalación

El instalador oficial descarga y configura todo. Se corre como root, sobre el sistema recién instalado:

bash <(curl -fsSL https://download.directadmin.com/setup.sh)

Pide la licencia y el hostname, y tarda entre veinte minutos y una hora según el servidor. Al terminar muestra el usuario administrador y su contraseña: guardalos antes de cerrar la consola.

Lo primero después de instalar

1. Entrá al panel en el puerto 2222 y cambiá la contraseña del administrador.
2. Activá Let’s Encrypt para que el propio panel y el correo usen certificados válidos.
3. Definí el hostname y los servidores de nombres que va a usar el servidor.
4. Revisá qué servicios quedaron corriendo y apagá los que no vayas a usar.
5. Configurá el respaldo del sistema y probá una restauración.

CSF, el firewall

CSF es el firewall que suele acompañar a DirectAdmin: administra iptables con una configuración legible y trae detección de fuerza bruta. Se instala así:

cd /usr/local/src
curl -fsSL https://download.configserver.com/csf.tgz -o csf.tgz
tar -xzf csf.tgz
cd csf
sh install.sh

Y lo más importante: dejalo en modo de prueba hasta comprobar que no te deja afuera. En /etc/csf/csf.conf, la línea TESTING = "1" hace que las reglas se limpien solas cada cinco minutos.

Configuración mínima de CSF

1. Abrí /etc/csf/csf.conf.
2. En TCP_IN dejá solo los puertos que usás: 20, 21, 22 o el que hayas elegido para SSH, 25, 53, 80, 110, 143, 443, 465, 587, 993, 995 y 2222 del panel.
3. Agregá tu IP fija a /etc/csf/csf.allow para no bloquearte nunca.
4. Aplicá con csf -r y probá una conexión nueva desde otra terminal.
5. Cuando estés seguro, poné TESTING = "0" y volvé a aplicar.

Bloqueos por fuerza bruta

CSF incluye LFD, que mira los logs y bloquea la IP que falla varias veces seguidas: SSH, correo, FTP y el panel. Es lo que hace que una IP legítima quede afuera cuando alguien puso mal la contraseña en el celular.

csf -g 203.0.113.45        # ver si una IP está bloqueada y por qué
csf -dr 203.0.113.45      # desbloquearla
csf -a 203.0.113.45       # dejarla en lista blanca

Del lado de los clientes, el desbloqueo se pide desde el formulario de IP del sitio, que toma la dirección de la propia conexión y evita el ida y vuelta.