Protege tu VPN en un VPS: fail2ban, SSH y puertos

Para proteger un servidor VPN en un VPS de forma fiable, solo se necesitan 15-20 minutos de configuración básica, que incluye la generación y el uso de claves SSH en lugar de contraseñas, el cambio del puerto SSH estándar 22 a uno no estándar, la instalación y configuración de fail2ban para bloquear automáticamente a los atacantes, y la configuración de un firewall UFW con una lista blanca de puertos permitidos.

¿Por qué es crucial proteger tu VPS y servidor VPN? Fundamentos de seguridad

Tu VPS es el cimiento de tu servidor VPN y, como cualquier cimiento, debe ser sólido. Cada día, millones de intentos de hackeo de servidores ocurren en internet, y tu nuevo VPS con una dirección IP pública se convierte en un objetivo tan pronto como se activa. Bots automatizados escanean rangos de direcciones IP, buscando puertos estándar abiertos (por ejemplo, 22 para SSH, 80/443 para servidores web) e intentando adivinar contraseñas. Si tu VPS se utiliza para una VPN, la intrusión en el servidor no solo significa la pérdida de tus datos, sino también su posible uso para actividades ilegales, lo que podría llevar al bloqueo de la dirección IP por parte del proveedor de hosting y, en el peor de los casos, a consecuencias legales.

Por lo tanto, la protección del VPS contra ataques no es una opción, sino una necesidad. Incluso si usas tu VPS exclusivamente para fines personales, su seguridad es fundamental. Las medidas sencillas pero efectivas que describiremos a continuación aumentarán significativamente el nivel de protección de tu servidor, sin requerir conocimientos profundos en ciberseguridad. Este es el VPS security hardening básico que todo usuario debe implementar.

Principales amenazas para servidores VPS y VPN

• Ataques de fuerza bruta: Intentos de adivinar contraseñas para SSH, servicios VPN, paneles de control.
• Escaneo de puertos: Detección de servicios abiertos y sus vulnerabilidades.
• Exploits: Uso de vulnerabilidades conocidas en el software (sistema operativo, servidor VPN, servidor web, etc.).
• Ataques DDoS: Sobrecarga del servidor con tráfico para denegar el servicio.
• Acceso no autorizado: Obtención de control sobre el servidor a través de credenciales comprometidas o vulnerabilidades.

Por eso, recomendamos encarecidamente prestar atención a la seguridad desde el principio. Si solo estás planeando implementar tu VPN, consulta nuestra guía completa para configurar una VPN en tu propio VPS para considerar los aspectos de seguridad de inmediato.

Primeros pasos de seguridad: Claves SSH en lugar de contraseñas y cambio del puerto SSH

SSH (Secure Shell) es la herramienta principal para la administración remota de tu VPS. Por defecto, la mayoría de los proveedores de VPS configuran el acceso por contraseña a través del puerto estándar 22. Esto es conveniente, pero extremadamente inseguro. Las contraseñas pueden ser adivinadas, especialmente si son simples. Las claves SSH, por el contrario, representan un método de autenticación mucho más robusto.

Generación y uso de claves SSH

Las claves SSH constan de dos partes: una clave pública (que se almacena en el servidor) y una clave privada (que se almacena en tu ordenador local). Funcionan en conjunto, proporcionando una autenticación criptográficamente fuerte.

Paso 1: Generar claves en tu ordenador local

Abre una terminal (Linux/macOS) o Git Bash/WSL (Windows) y ejecuta el comando:

ssh-keygen -t rsa -b 4096 -C "[email protected]"

Se te pedirá que especifiques una ruta para guardar las claves (por defecto ~/.ssh/id_rsa) y que ingreses una frase de contraseña (passphrase). Recomendamos encarecidamente usar una frase de contraseña; es una capa adicional de protección para tu clave privada. Incluso si alguien obtiene acceso a tu clave privada, no podrá usarla sin esta frase.

Paso 2: Copiar la clave pública al VPS

Después de la generación, tendrás dos archivos: `id_rsa` (clave privada) e `id_rsa.pub` (clave pública). Ahora necesitas copiar la clave pública a tu VPS. La forma más sencilla es:

ssh-copy-id -i ~/.ssh/id_rsa.pub user@your_vps_ip

Reemplaza `user` por el nombre de usuario (generalmente `root` o `admin`) y `your_vps_ip` por la dirección IP de tu VPS. Se te pedirá que ingreses la contraseña del usuario en el VPS. Después de copiarla con éxito, podrás iniciar sesión en el servidor sin contraseña, usando solo la clave SSH.

Paso 3: Deshabilitar la autenticación por contraseña

Una vez que te hayas asegurado de que puedes iniciar sesión con la clave SSH, es necesario deshabilitar el inicio de sesión por contraseña para aumentar la protección del VPS contra intrusiones. Edita el archivo de configuración del servidor SSH en el VPS:

sudo nano /etc/ssh/sshd_config

Encuentra y cambia las siguientes líneas (o agrégalas si no existen):

PasswordAuthentication no
ChallengeResponseAuthentication no
UsePAM no

Guarda los cambios y reinicia el servicio SSH:

sudo systemctl restart sshd

Ahora, el acceso a tu VPS solo es posible utilizando claves SSH. Esto mejora significativamente la seguridad.

Cambio del puerto SSH estándar

El puerto SSH estándar — 22 — es el primer objetivo para la mayoría de los escáneres y bots automáticos. El cambio del puerto SSH a uno no estándar (por ejemplo, 2222, 22022 o cualquier otro en el rango 1024-65535 que no sea utilizado por otros servicios) reducirá el número de ataques automáticos a tu servidor.

Edita el mismo archivo de configuración `sshd_config`:

sudo nano /etc/ssh/sshd_config

Encuentra la línea `Port 22` y cámbiala por algo como:

Port 22022

Guarda los cambios. IMPORTANTE: Antes de reiniciar SSH, asegúrate de que el nuevo puerto esté permitido en tu firewall (configuraremos UFW más adelante, pero si ya tienes otro firewall, añade una regla para el nuevo puerto). De lo contrario, perderás el acceso al servidor.

Reinicia el servidor SSH:

sudo systemctl restart sshd

Ahora, para conectarte al servidor, deberás especificar el nuevo puerto:

ssh -p 22022 user@your_vps_ip

Protección automática contra fuerza bruta: Configuración de fail2ban en VPS

Incluso después de cambiar el puerto SSH y usar claves, los intentos de adivinar contraseñas aún pueden ocurrir si no has deshabilitado la autenticación por contraseña para todos los usuarios o si utilizas otros servicios vulnerables a la fuerza bruta. Aquí es donde entra en juego fail2ban, una potente herramienta que escanea los logs del servidor en busca de actividades sospechosas (por ejemplo, múltiples intentos de inicio de sesión fallidos) y bloquea automáticamente las direcciones IP de los atacantes utilizando reglas de firewall.

Instalación y configuración básica de fail2ban

La instalación de fail2ban en la mayoría de las distribuciones de Linux es sencilla:

# Para Debian/Ubuntu
sudo apt update
sudo apt install fail2ban

# Para CentOS/RHEL
sudo yum install epel-release
sudo yum install fail2ban

Después de la instalación, fail2ban funciona "de fábrica" con protección básica para SSH. Sin embargo, para una configuración óptima de fail2ban en VPS, es mejor crear un archivo de configuración local.

Copia el archivo de configuración por defecto:

sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

Edita `jail.local`:

sudo nano /etc/fail2ban/jail.local

En este archivo, busca la sección `[DEFAULT]`. Aquí puedes configurar parámetros globales:

• `bantime`: Tiempo de bloqueo de la dirección IP en segundos (por defecto 10 minutos = 600 segundos). Se puede aumentar a 1h (3600), 1d (86400) o incluso -1 para un bloqueo permanente.
• `findtime`: Período de tiempo durante el cual deben ocurrir los intentos fallidos para que la IP sea bloqueada (por defecto 10 minutos = 600 segundos).
• `maxretry`: Número de intentos fallidos antes del bloqueo (por defecto 5).

[DEFAULT]
bantime = 1h
findtime = 10m
maxretry = 3
destemail = [email protected] ; Opcional: para recibir notificaciones
sendername = Fail2ban Alert
mta = sendmail

Configuración de protección para SSH y otros servicios

Para activar la protección SSH (y otros servicios), busca las secciones correspondientes en `jail.local`. Asegúrate de que la opción `enabled = true` esté configurada para `sshd`:

[sshd]
enabled = true
port = ssh,22022 ; Especifica tu nuevo puerto SSH, si lo has cambiado
filter = sshd
logpath = /var/log/auth.log
maxretry = 3
bantime = 1d

Si tu servidor VPN (por ejemplo, OpenVPN o WireGuard) también registra intentos de conexión fallidos, puedes configurar una "jail" separada para él. Esto podría requerir la creación de un filtro personalizado `filter.d/yourvpn.conf` y una sección correspondiente en `jail.local`.

Después de realizar los cambios, reinicia fail2ban:

sudo systemctl restart fail2ban

Puedes verificar el estado de fail2ban y las "jails" activas con el comando:

sudo fail2ban-client status

Y el estado de una "jail" específica, por ejemplo, `sshd`:

sudo fail2ban-client status sshd

Esto mostrará las direcciones IP bloqueadas y otra información útil. La configuración de fail2ban en VPS es un elemento clave en la protección automática contra ataques de fuerza bruta.

Firewall UFW: Una lista blanca para tu servidor

Un firewall (cortafuegos) es tu primera línea de defensa. UFW (Uncomplicated Firewall) es una interfaz fácil de usar para iptables que simplifica significativamente la configuración de reglas de firewall en sistemas Linux. Con él, puedes implementar fácilmente el concepto de "lista blanca": denegar todo el tráfico entrante por defecto y permitir solo lo que realmente necesitas.

Activación de UFW y reglas por defecto

Instalación de UFW:

# Para Debian/Ubuntu
sudo apt update
sudo apt install ufw

# Para CentOS/RHEL (usa firewalld o iptables)
# Para CentOS, firewalld es por defecto, UFW no se recomienda. Si aún así quieres UFW, es a través de Snap o compilación.
# Para simplificar, esta sección está orientada a Ubuntu/Debian.

Después de la instalación, es necesario configurar las reglas por defecto. El firewall UFW del servidor debe configurarse para denegar todo el tráfico entrante y permitir todo el saliente. Esta es la práctica estándar y más segura.

sudo ufw default deny incoming
sudo ufw default allow outgoing

Configuración de reglas para VPN y SSH

Ahora, permitiremos el acceso a los servicios necesarios. Si cambiaste el puerto SSH a 22022, permítelo:

sudo ufw allow 22022/tcp

Si usas OpenVPN, generalmente funciona en el puerto 1194 (UDP) o 443 (TCP). Para WireGuard se utilizan diferentes puertos, por ejemplo, 51820 (UDP). Permite el(los) puerto(s) de tu servidor VPN:

# Para OpenVPN (UDP)
sudo ufw allow 1194/udp

# Para OpenVPN (TCP, si se usa)
sudo ufw allow 443/tcp

# Para WireGuard (ejemplo de puerto)
sudo ufw allow 51820/udp

Si utilizas un servidor web (por ejemplo, para un panel de control VPN) en los puertos 80 (HTTP) y 443 (HTTPS), permítelos también:

sudo ufw allow 80/tcp
sudo ufw allow 443/tcp

Después de configurar todas las reglas necesarias, activa UFW. Se te preguntará si deseas continuar, ya que esto puede interrumpir las conexiones SSH existentes:

sudo ufw enable

Verifica el estado del firewall:

sudo ufw status verbose

Verás una lista de las reglas permitidas. Ahora, el firewall UFW de tu servidor protege de forma fiable tu VPS, permitiendo solo el tráfico necesario. Este es un componente crucial para la protección del VPS contra ataques.

Seguridad del servidor VPN: Medidas adicionales

Además del hardening básico del VPS, es necesario prestar atención al propio servidor VPN. La seguridad del servidor VPN depende de muchos factores, incluida la elección del protocolo, las actualizaciones regulares y la configuración correcta.

Actualización de software y minimalismo en los servicios

Actualizaciones regulares: Mantén siempre tu sistema operativo y todo el software instalado actualizados. Las actualizaciones a menudo contienen parches de seguridad. Configura actualizaciones automáticas o realízalas manualmente de forma regular:

sudo apt update && sudo apt upgrade -y # Debian/Ubuntu
sudo yum update -y # CentOS/RHEL

Minimalismo: Instala solo los servicios y paquetes que sean absolutamente necesarios para el funcionamiento de la VPN. Cuanto menos software instalado, menos puntos de entrada potenciales para los atacantes. Elimina los paquetes innecesarios.

Uso de protocolos y cifrado fiables

Elige protocolos VPN modernos y seguros, como OpenVPN con TLS o WireGuard. Evita protocolos obsoletos como PPTP. Asegúrate de que tu servidor VPN utilice algoritmos de cifrado fuertes (por ejemplo, AES-256) y de hash (por ejemplo, SHA256).

• OpenVPN: Utiliza autenticación TLS, claves largas (por ejemplo, 2048-bit o 4096-bit para RSA), algoritmos de cifrado fuertes.
• WireGuard: El protocolo es inherentemente más seguro debido a su base de código simplificada y al uso de primitivas criptográficas modernas. Asegúrate de que las claves privadas se almacenen de forma segura y no tengan permisos de acceso innecesarios.

No olvides la copia de seguridad automática de las configuraciones de VPN desde tu VPS. Esto permitirá restaurar rápidamente la funcionalidad del servidor en caso de problemas imprevistos o compromiso.

Paneles de control y separación de privilegios: Limitando el acceso

Muchos usuarios instalan paneles de control en sus VPS (por ejemplo, VestaCP, ISPManager, cPanel, o paneles especializados para VPN, como Pritunl, OpenVPN Access Server, WireGuard UI). Estos paneles simplifican significativamente la administración, pero pueden convertirse en una vulnerabilidad grave si no se protegen adecuadamente.

Restricción de acceso a paneles de control y separación de privilegios

¡Nunca mantengas un panel de control en un puerto público sin restricciones! Este es uno de los errores más comunes. Si tu panel es accesible desde cualquier parte del mundo, se convertirá inmediatamente en un objetivo para ataques de fuerza bruta e intentos de uso de exploits.

Soluciones:

1. Restricción por dirección IP: Utiliza UFW (u otro firewall) para permitir el acceso al puerto del panel de control solo desde tu dirección IP de casa u oficina.

sudo ufw allow from your_home_ip to any port 8080 # Ejemplo para un panel en el puerto 8080

2. Túnel VPN: El mejor enfoque es no abrir el panel de control a internet en absoluto. Conéctate a él a través del túnel VPN que ya has configurado en este VPS. Es decir, primero te conectas a tu VPN y luego accedes al panel de control a través de la dirección IP local o mediante loopback (127.0.0.1), si el panel solo escucha en esa dirección.
3. Autenticación de dos factores (2FA): Si el panel lo soporta, asegúrate de activar 2FA.
4. Contraseñas fuertes: Utiliza contraseñas complejas y únicas para acceder al panel.

Separación de privilegios de usuario:

Nunca uses el usuario `root` para tareas diarias. Crea un usuario separado con privilegios limitados y usa `sudo` para ejecutar comandos administrativos. Esto reduce el riesgo si la cuenta de un usuario normal se ve comprometida.

sudo adduser newuser
sudo usermod -aG sudo newuser # Para otorgar permisos de sudo en Debian/Ubuntu

Con estas medidas, el VPS security hardening se vuelve más efectivo, especialmente cuando se trata de interfaces de administración críticas.

Monitoreo y registro de logs: Señales de compromiso

Incluso con las medidas de seguridad más estrictas, el riesgo de compromiso nunca es cero. Es importante saber reconocer las señales de un ataque y tener un sistema de registro para investigar incidentes. El monitoreo del servidor VPN en un VPS no se trata solo del tiempo de actividad, sino también de la seguridad.

Qué registrar y cómo detectar un compromiso

Qué registrar:

• Logs de autenticación: `auth.log` (Debian/Ubuntu) o `secure` (CentOS/RHEL) — registra todos los intentos de inicio de sesión SSH, sudo y otras autenticaciones.
• Logs del servidor VPN: Logs de OpenVPN, WireGuard u otros servicios VPN — rastrean conexiones, errores de autenticación, tráfico transmitido.
• Logs del firewall: UFW o iptables pueden registrar paquetes descartados, lo que ayuda a detectar escaneo de puertos o ataques.
• Logs de eventos del sistema: `syslog`, `kern.log` — mensajes generales del sistema, errores, advertencias.

Señales de compromiso a las que prestar atención:

1. Actividad SSH inusual: Múltiples intentos de inicio de sesión fallidos (fail2ban debería manejarlos, pero si son demasiados, es motivo de preocupación), inicio de sesión desde direcciones IP desconocidas, horas de inicio de sesión inusuales.
2. Procesos desconocidos: Procesos en ejecución que no instalaste y cuyo propósito desconoces. Verifica con el comando `ps aux` o `top`.
3. Tráfico de red inusual: Picos de tráfico saliente (especialmente a direcciones IP desconocidas), puertos abiertos inusuales (`netstat -tulnp`). Un servidor comprometido a menudo se utiliza para ataques DDoS, envío de spam o minería de criptomonedas.
4. Cambios en el sistema de archivos: Archivos o directorios desconocidos, cambios en los permisos de archivos críticos, modificación de archivos del sistema. Utiliza utilidades como `aide` o `rkhunter` para verificar la integridad de los archivos.
5. Alta carga de CPU/RAM/disco: Carga de recursos inexplicablemente alta, especialmente si tu VPN no atiende a muchos usuarios.
6. Comportamiento extraño de la VPN: Desconexiones inesperadas, disminución de la velocidad, imposibilidad de conectarse. Esto también puede ser un signo de compromiso o de que disminuye la velocidad de la VPN en el VPS debido a una carga anómala.
7. Recepción de informes de abuso: Si tu proveedor de hosting te envía notificaciones sobre spam, ataques DDoS u otra actividad no deseada que se origina desde tu dirección IP, es una clara señal de que tu servidor está comprometido y se está utilizando para abuso.

Para el monitoreo y las alertas automáticas, puedes usar herramientas como Prometheus/Grafana, Zabbix o scripts simples que envíen notificaciones por correo electrónico o Telegram.

¿Qué hacer si tu VPS ya ha sido comprometido?

Si detectas señales de compromiso, debes actuar rápida y decisivamente. Cada minuto cuenta para el daño potencial.

1. Desconecta el servidor de la red: El primer paso es evitar que los atacantes sigan utilizando el servidor. Esto se puede hacer a través del panel de control de tu proveedor de hosting (por ejemplo, Valebyte.com).
2. Crea una instantánea del disco (snapshot): Si es posible, crea una instantánea (snapshot) del disco del servidor. Esto te permitirá guardar el estado actual para un análisis posterior, si es necesario.
3. Cambia todas las credenciales: Cambia las contraseñas de acceso al VPS (si se usaron), restablece las claves SSH, cambia las contraseñas de todos los servicios que funcionaban en el servidor (VPN, paneles de control, bases de datos, etc.).
4. Restaura desde una copia de seguridad fiable: Si tienes una copia de seguridad actualizada y limpia, esta es la mejor opción. Restaura el servidor desde ella. Si no hay copia de seguridad, o está desactualizada, tendrás que reinstalar el sistema operativo.
5. Realiza un análisis (si tienes la posibilidad y los conocimientos): Si tienes los conocimientos suficientes, intenta analizar los logs y el sistema de archivos de la instantánea del disco para entender cómo ocurrió el ataque y qué se hizo.
6. Refuerza las medidas de seguridad: Después de la restauración o reinstalación, aplica obligatoriamente todas las medidas de protección del VPS contra ataques descritas en este artículo: claves SSH, cambio de puerto, fail2ban, UFW.
7. Notifica al proveedor de hosting: Informa a tu proveedor de hosting sobre el compromiso. Ellos pueden ayudarte con la recuperación o proporcionarte información adicional.

Recuerda que la restauración desde una copia de seguridad y el posterior hardening es el camino más fiable. Los intentos de "limpiar" un servidor comprometido sin una reinstalación completa a menudo terminan en un nuevo ataque, ya que se pueden pasar por alto backdoors ocultos.

Especificaciones de VPS para un servidor VPN: Escala y recursos

La elección de un VPS adecuado para un servidor VPN también influye en su rendimiento y capacidad para manejar la carga, lo que indirectamente afecta la seguridad (por ejemplo, en ataques DDoS). A continuación, se presenta una tabla con recomendaciones de características de VPS según el número de usuarios VPN simultáneos.

Para 50 usuarios simultáneos, es suficiente con 4 vCPU, 8 GB de RAM y un disco NVMe de 80 GB.

Usuarios VPN (simultáneos)	vCPU	RAM	Disco	Ancho de banda	Precio aproximado ($/mes)
1-5 (personal)	1	1 GB	20 GB SSD	1 Gbps	$3-5
5-20 (equipo pequeño)	2	2-4 GB	40 GB NVMe	1 Gbps	$7-12
20-50 (equipo mediano)	4	8 GB	80 GB NVMe	1 Gbps	$15-25
50-100 (equipo grande/pequeña empresa)	6-8	16 GB	160 GB NVMe	1-10 Gbps	$30-50
100+ (corporativo)	8+	32+ GB	320+ GB NVMe	10 Gbps	$60+

Ten en cuenta que estas son recomendaciones generales. Los requisitos reales pueden variar según el protocolo VPN elegido, la intensidad de uso (streaming constante o revisión ocasional de correo) y el software adicional que se ejecute en el VPS. Para una elección más detallada, considera los factores que influyen en el rendimiento, por ejemplo, NVMe, RAM o red: qué es realmente importante para un VPS para proxies y VPN.

Preguntas frecuentes

¿Cuánto tiempo lleva la protección básica de un VPS contra ataques?

El hardening básico de un VPS, que incluye la configuración de claves SSH, el cambio del puerto SSH, la instalación de fail2ban y la configuración del firewall UFW, toma en promedio de 15 a 30 minutos. La mayor parte de este tiempo se dedica a introducir comandos y esperar la instalación de paquetes. Estas medidas aumentan significativamente la protección del VPS contra ataques y son cruciales para cualquier servidor.

¿Se puede usar fail2ban para proteger otros servicios además de SSH?

Sí, fail2ban es muy flexible y puede configurarse para proteger varios servicios. Además de SSH, se utiliza a menudo para proteger servidores web (Apache, Nginx), servidores de correo (Postfix, Dovecot), servidores FTP (vsftpd) e incluso servidores VPN, si estos registran información sobre intentos de autenticación fallidos. Para ello, es necesario crear o utilizar un filtro ya existente y activar la "jail" correspondiente en el archivo `jail.local`.

¿Qué hacer si olvidé el nuevo puerto SSH después de cambiarlo?

Si olvidaste el nuevo puerto SSH y no puedes conectarte al servidor, lo primero es verificar la configuración `sshd_config` a través del panel de control de tu proveedor de hosting, si este proporciona acceso al sistema de archivos o a la consola. En el peor de los casos, puedes usar la función de recuperación o la consola de emergencia que ofrece Valebyte.com para acceder al servidor y editar el archivo `/etc/ssh/sshd_config`, restaurando el puerto estándar 22 o estableciendo uno nuevo que recuerdes. Asegúrate de que UFW permita este puerto.

¿Por qué no se recomienda mantener los paneles de control en un puerto público?

Colocar un panel de control en un puerto público sin restricciones adicionales lo convierte en un blanco fácil para ataques automatizados. Estos paneles a menudo tienen una interfaz web que puede ser vulnerable a la fuerza bruta, así como al uso de exploits conocidos. Abrir dicho puerto a todo internet aumenta sustancialmente la superficie de ataque en tu VPS. Restringir el acceso por IP o usar un túnel VPN antes de conectarse al panel es la mejor práctica de VPS security hardening.

Conclusiones

Garantizar la protección básica del VPS contra ataques es una tarea fundamental para cualquier propietario de servidor. La implementación de claves SSH, un puerto SSH no estándar, fail2ban y un firewall UFW con una lista blanca toma un tiempo mínimo, pero aumenta drásticamente la seguridad de tu servidor VPN. No descuides estas medidas simples pero efectivas para que tu VPS permanezca fiable e inaccesible para los atacantes, asegurando el funcionamiento estable de tu VPN.