Proteger un servidor HestiaCP

• Las reglas que defines en la página Firewall de Hestia (o con v-add-firewall-rule) las aplica `v-update-firewall`. Vacía la cadena INPUT, la reconstruye a partir de las reglas de Hestia y pone la política de INPUT en DROP.
• Las jails de fail2ban de Hestia bloquean mediante los propios comandos de Hestia, en cadenas fail2ban-<name> que Hestia engancha a INPUT para cada servicio.
• Hestia también gestiona listas ipset, para listas negras y blancas. Su documentación del firewall advierte de que borra las reglas de iptables que no se añadieron a través de Hestia o de su script custom.sh.

Así que una regla añadida a mano con iptables no sobrevive al siguiente cambio del firewall en Hestia. Cualquier herramienta que añada sus propias reglas tiene que volver a ponerlas.

• Sus reglas viven en sus propias cadenas (INFRAFENCE y las demás), que la reconstrucción de INPUT de Hestia no toca. Solo se pierde el salto desde INPUT cuando Hestia vacía la cadena.
• Vuelve a poner ese salto en menos de un minuto, por delante de cualquier regla que pueda aceptar tráfico, así sus bloqueos se aplican también a los puertos que Hestia abrió. Nunca añade una regla de aceptación, así que nunca abre nada que Hestia haya cerrado.
• fail2ban queda intacto. Las cadenas fail2ban-<name> y las jails de Hestia no se tocan: los dos solo descartan tráfico, así que no entran en conflicto.
• Si Hestia reconstruye el firewall una y otra vez, el agente notifica un evento de conflicto de firewall, para que sepas dónde mirar (Coexistencia).

• Reconoce HestiaCP a partir de /usr/local/hestia y lee su versión en hestia.conf, y el panel de InfraFence muestra ambos.
• Nunca edita la configuración del servidor web. Hestia gestiona nginx y Apache, así que el agente no añade reglas de ModSecurity ni bloqueos por user agent; los bots configurados como Bloquear se bloquean en el firewall (Bots).
• Lee el log de acceso de cada sitio, a partir de la configuración del servidor web que escribe Hestia, y omite los archivos .bytes que Hestia usa para los contadores de ancho de banda (Firewall web).
• Analiza cada sitio en busca de malware: encuentra por sí solo /home/<user>/web/<domain>/public_html, con su dominio (Malware).
• Puede verificar tus sitios para el distintivo de monitorización escribiendo su archivo de verificación en la raíz web del sitio (Distintivo de monitorización).
• Detiene la fuerza bruta por SSH en el firewall, puede cerrar los puertos de bases de datos abiertos a internet cuando lo pides desde el panel de InfraFence y vigila el tráfico saliente, el DNS y la integridad de archivos, como en cualquier servidor Linux.

1. Ejecuta primero la comprobación de solo lectura: el --dry-run del instalador indica lo que podría estorbar y no cambia nada.
2. En el panel de InfraFence, Servidores › Añadir servidor crea un token de instalación, válido durante una hora.
3. Ejecuta el comando de instalación como root por SSH. No hay que cambiar nada en Hestia.

curl -fsSL https://github.com/infrafence/infrafence-agent/releases/latest/download/install.sh | sudo bash -s -- --dry-run

HestiaCP funciona en Debian y Ubuntu, ambas entre las 15 distribuciones en las que se prueba el agente antes de cada versión (Distribuciones compatibles).