Toda máquina Lightsail nace con el puerto 22 (SSH) abierto a todo el mundo. En cuanto tiene IP pública, empiezan los intentos de entrada automáticos desde medio planeta: miles al día. Con una clave SSH fuerte no entrarán, pero llenan los registros, consumen recursos y cualquier fallo futuro en el servicio SSH queda expuesto. La solución correcta es sencilla: permitir el puerto 22 solo desde la IP desde la que te conectas tú.
Lightsail tiene un cortafuegos propio, por máquina, que se gestiona desde la consola sin tocar nada dentro del servidor. Eso lo hace muy cómodo y también muy fácil de quedarse fuera si te equivocas, así que sigue el orden de los pasos.
Antes de empezar: qué significa cada cosa
- Cortafuegos
- El portero de tu máquina: una lista de qué puertas (puertos) están abiertas y para quién. En Lightsail se gestiona desde la consola web, sin entrar en la máquina.
- Puerto 22 y SSH
- SSH es la forma en que un técnico entra en la máquina para administrarla desde una terminal. Usa la "puerta" número 22. Si está abierta a todo el mundo, todo el mundo intentará entrar.
- IP pública
- La dirección numérica con la que tu conexión sale a internet. La ves buscando "cuál es mi IP". Es distinta de la dirección interna de tu ordenador en casa o en la oficina.
- IP dinámica o fija
- Dinámica: tu operador te cambia la dirección cada cierto tiempo (lo habitual en casa). Fija: siempre la misma (habitual en empresas, a veces previo pago).
- CIDR (/32, /24)
- Una forma abreviada de escribir un rango de direcciones. "/32" es una sola dirección; "/24" son 256 seguidas. Si solo quieres tu IP, no necesitas escribir nada: basta la dirección.
- IPv4 e IPv6
- Dos tipos de direcciones de internet, la clásica (cuatro números con puntos) y la nueva (más larga, con letras y dos puntos). La máquina puede tener las dos, y cada una tiene su propio cortafuegos.
Paso a paso
Averigua tu IP pública
Desde el ordenador con el que te conectas, busca "cuál es mi IP" en el navegador o pregunta a tu router. Apunta la dirección IPv4, cuatro números separados por puntos. Si trabajas desde la oficina y desde casa, necesitarás las dos.
Importante: si tu conexión tiene IP dinámica (la mayoría de las domésticas), cambiará cada cierto tiempo y tendrás que actualizar la regla. Lo vemos al final.
Abre el cortafuegos de la máquina
En la consola de Lightsail, pestaña Instancias, pulsa tu máquina y luego la pestaña Redes (Networking). Debajo de la IP pública está el bloque Cortafuegos IPv4 con las reglas actuales. Verás la de SSH con "Cualquier dirección IP" como origen.
Edita la regla de SSH y restringe el origen
Pulsa el lápiz de la regla SSH, TCP 22. Marca la casilla Restringir a dirección IP y escribe tu IP del paso 1. Puedes añadir varias direcciones separadas en la misma regla, o crear una regla por cada sitio desde el que te conectas. Si quieres un rango, usa notación CIDR, por ejemplo
203.0.113.0/24.Deja marcada la opción Permitir SSH desde el navegador de Lightsail si aparece: así, aunque tu IP cambie, siempre podrás entrar con la terminal web de la consola de Lightsail, que viene desde direcciones propias de AWS. Es tu red de seguridad.
Guarda y prueba sin cerrar la sesión actual
Guarda la regla. El cambio es inmediato. Antes de dar nada por hecho, abre una sesión SSH nueva desde tu ordenador y comprueba que entras. Si ya tenías una sesión abierta, no la cierres hasta confirmar que la nueva funciona: las conexiones establecidas no se cortan, pero las nuevas sí se filtran.
Revisa el cortafuegos IPv6 también
Si la máquina tiene IPv6 activado, un poco más abajo hay un bloque Cortafuegos IPv6 separado, con su propia regla de SSH abierta a todo. Si no usas IPv6 para conectarte, elimina esa regla o restríngela a tu dirección IPv6. Es el descuido más habitual: se cierra la puerta de IPv4 y se deja la de IPv6 de par en par.
Decide qué hacer cuando cambie tu IP
Con IP dinámica, un día no entrarás. Tienes tres opciones razonables: entrar por la terminal del navegador de Lightsail y no cambiar nada (sirve para una urgencia); actualizar la regla con tu nueva IP desde la consola, que lleva un minuto; o pedir a tu operador una IP fija, que en conexiones de empresa suele estar disponible.
Qué puede salir mal
Me he quedado fuera por SSH
Tranquilidad: el cortafuegos de Lightsail se cambia desde la consola web, no desde dentro de la máquina. Entra en Lightsail, pestaña Redes, y corrige la IP de la regla. Si lo necesitas ya, usa la terminal del navegador de Lightsail (botón "Conectar mediante SSH" en la máquina), que no pasa por tu IP.
Sigue sin entrar aunque la IP es correcta
Comprueba que la máquina también tiene un cortafuegos interno (ufw en Ubuntu, firewalld en Amazon Linux) y que ese permite el 22. Los dos cortafuegos, el de Lightsail y el del sistema, tienen que dejar pasar. Y verifica que estás usando la IP del ordenador desde el que te conectas, no la de una VPN o la de otra sede.
He puesto la IP de mi red local
Las direcciones que empiezan por 192.168, 10. o 172.16 a 172.31 son de tu red interna y no sirven: el cortafuegos de Lightsail ve tu IP pública, la que te da el operador. Vuelve al paso 1.
Un compañero necesita entrar desde otro sitio
Añade su IP como otra entrada de la misma regla en lugar de volver a abrirla a todo el mundo. Y si la lista crece, es el momento de pensar en una VPN o en un bastión: una sola IP de entrada que gestionas tú.
En Simplio
En Simplio el cortafuegos de cada máquina Lightsail es una lista editable: añades el puerto, eliges "solo mi IP" (Simplio ya sabe cuál es la tuya) y guardas, con confirmación de doble factor para cambios delicados. Además cada persona de tu equipo ve solo las máquinas que le has asignado, y cada cambio queda en el registro de actividad con quién, cuándo y desde dónde.
Lo mismo, en AWS y en Simplio
| En la consola de AWS | En Simplio | |
|---|---|---|
| Cerrar el puerto 22 a tu IP | Averiguar tu IP, consola de Lightsail, pestaña Redes, editar regla, repetir en IPv6: 5 pasos, 5 minutos por máquina | Regla "solo mi IP" (Simplio ya sabe cuál es): 1 clic por máquina |
| Cuando cambia tu IP | Volver a la consola y editar la regla | Mismo clic; o entrar por la terminal de Simplio sin tocar nada |
| Saber quién abrió qué | CloudTrail, si lo buscas | Cada cambio en el registro de actividad con usuario, fecha e IP |