Cerrar los puertos que no usas y abrir el 22 solo cuando haga falta

Un servidor en internet recibe miles de intentos de entrada al día. No son hackers mirándote a ti: son programas automáticos que recorren todas las direcciones de internet probando puertas. Si encuentran una abierta, prueban contraseñas; si encuentran un programa antiguo, prueban fallos conocidos. Cada puerto abierto que no necesitas es una puerta más para esos programas, y cerrarla no cuesta nada.

La mayoría de las máquinas que ve Simplio tienen el puerto 22 (el de administración) abierto a todo el mundo desde el día que se crearon, porque así viene por defecto. Es como dejar la puerta del cuarto de contadores abierta a la calle. Esta guía enseña a mirar qué puertas tiene abiertas tu máquina, cerrar las que sobran y abrir la de administración solo desde tu oficina y solo mientras la usas.

Paso a paso

1. Decide qué puertos necesita tu máquina de verdad

   Para una web, la lista es corta: 80 (HTTP, para redirigir a HTTPS) y 443 (HTTPS). Nada más. Todo lo que no sea eso es para administrar, y lo administras tú, no el mundo.

   Puertos que no deberían estar abiertos a todo internet nunca:

   • 22 (SSH) y 3389 (escritorio remoto de Windows): administración. Solo a tu IP, y mejor solo cuando lo uses.
   • 3306 (MySQL/MariaDB) y 5432 (PostgreSQL): la base de datos. Si la web está en la misma máquina, no necesita el puerto abierto hacia fuera en absoluto. Si hay otra máquina que se conecta, ábrelo solo a la IP de esa máquina.
   • 21 (FTP): sube ficheros sin cifrar. Si necesitas subir cosas, usa SFTP, que va por el 22.
   • 10000 (Webmin), 8080 y 8443 (paneles y entornos de prueba), 9090, 5000: paneles de administración que a menudo tienen contraseñas débiles o versiones viejas.
   • 25 (correo saliente): AWS lo tiene limitado por defecto y casi ninguna web lo necesita abierto hacia dentro.

   Si en tu cortafuegos hay un puerto que no sabes para qué es, la respuesta correcta es cerrarlo y ver si algo deja de funcionar. Normalmente, nada.

2. Revisa el cortafuegos de una máquina Lightsail

   Entra en Lightsail, pulsa el nombre de la máquina y abre la pestaña Redes. En Cortafuegos IPv4 está la lista de reglas, cada una con aplicación, protocolo, puerto y la columna Restringido a. Si esa columna dice "Cualquier dirección IPv4", ese puerto está abierto al mundo.

   Lo que debería quedar:

   • HTTP, TCP, 80, cualquier dirección.
   • HTTPS, TCP, 443, cualquier dirección.
   • SSH, TCP, 22, restringido a tu IP (paso 4), o directamente sin regla cuando no lo uses.

   Para borrar una regla, pulsa el icono de la papelera a la derecha. Para editarla, el lápiz. Los cambios se aplican al momento, sin reiniciar. Si tienes activado IPv6, repite en el bloque Cortafuegos IPv6: es una lista aparte y a menudo se olvida.

   Haz esto en cada máquina: el cortafuegos de Lightsail es por instancia y no se comparte.

3. Revisa los grupos de seguridad de una máquina EC2

   Entra en EC2, Instancias, pulsa la máquina y abre la pestaña Seguridad. Verás los grupos de seguridad que tiene asignados (puede haber varios; sus reglas se suman) y debajo las Reglas de entrada combinadas. Fíjate en la columna Origen: 0.0.0.0/0 o ::/0 significa abierto al mundo.

   Para cambiar algo, pulsa el nombre del grupo, pestaña Reglas de entrada, botón Editar reglas de entrada. Borra las que sobren con Eliminar y pulsa Guardar reglas. Las reglas de salida déjalas como están: por defecto permiten todo hacia fuera y eso es lo normal.

   Dos cosas que pasan mucho en EC2:

   • Un grupo llamado launch-wizard-3 o parecido, creado al vuelo al lanzar la máquina, con el 22 abierto a todos. Es el que hay que corregir.
   • Un mismo grupo asignado a la web y a la base de datos. Entonces la base de datos tiene el 80 abierto y la web el 3306. Haz un grupo por función: web con 80 y 443, bbdd con 3306 solo desde el grupo web (en Origen puedes escribir el identificador de otro grupo en vez de una IP).

   Mira también Grupos de seguridad en el menú de la izquierda: a menudo hay grupos antiguos sin ninguna máquina asignada. Bórralos para no confundirte.

4. Abre el 22 solo a tu IP, y solo mientras lo usas

   Averigua tu IP pública buscando "cuál es mi IP" en el navegador desde la red en la que vas a trabajar. En Lightsail, pestaña Redes, en la regla SSH pulsa el lápiz, marca Restringir a dirección IP y escribe la tuya. En EC2, al editar la regla del 22, en Origen elige Mi IP y AWS la rellena sola.

   Si trabajas desde varios sitios (oficina y casa), añade una regla por sitio, no una abierta a todos. Y si tu conexión cambia de IP a menudo (es habitual en fibra doméstica y siempre con datos móviles), asume que tendrás que actualizarla de vez en cuando: es un minuto.

   La costumbre buena de verdad: borra la regla del 22 cuando termines. Entras en la máquina unas pocas veces al mes; el resto del tiempo esa puerta puede no existir. Cuando la necesites, la añades con tu IP, trabajas y la quitas. Sin puerto 22 no hay ataques de contraseña por SSH, sin más programas que vigilar.

5. Comprueba desde fuera que no queda nada abierto

   Confía, pero comprueba. Desde una terminal de tu ordenador (en Windows, PowerShell), ejecuta contra la IP de tu máquina:

   Test-NetConnection 83.45.120.7 -Port 3306

   En Mac o Linux, nc -zv 83.45.120.7 3306. Si responde que ha conectado, el puerto está abierto hacia fuera y hay que revisar el paso anterior. Haz la prueba con 22, 3306, 3389, 10000 y 8080. También hay páginas que lo comprueban por ti (busca "comprobar puertos abiertos"); procura hacerlo desde una red distinta a la que tiene el 22 permitido, por ejemplo con el móvil.

   Aunque un puerto esté abierto en el cortafuegos, el programa de dentro puede no responder (MySQL suele escuchar solo en local). No cuentes con ello: ciérralo en el cortafuegos igualmente.

6. Alternativas para no tener el 22 abierto nunca

   Si entrar en la máquina te resulta frecuente, hay formas de hacerlo sin ningún puerto abierto:

   • Terminal en el navegador de Lightsail: botón Conectar mediante SSH en la página de la máquina. Lightsail conecta por su cuenta aunque hayas borrado la regla del 22 del cortafuegos; lo hace por una vía interna de AWS. Para tareas puntuales, es suficiente.
   • Session Manager en EC2: en la máquina, botón Conectar, pestaña Administrador de sesiones. Requiere que la máquina tenga el agente de SSM (viene en las imágenes de Amazon Linux y Ubuntu de AWS) y un rol con la política AmazonSSMManagedInstanceCore. A cambio, cero puertos abiertos, y cada sesión queda registrada en CloudTrail con quién entró.
   • EC2 Instance Connect: la pestaña Cliente de EC2 Instance Connect en el mismo botón Conectar. Sigue necesitando el 22 abierto, pero solo al rango de IPs de AWS que publica para tu región, no a todo internet.

   Con cualquiera de ellas, el 22 abierto al mundo deja de tener excusa.

Qué puede salir mal