Protección DDoS para VPS: qué revisar y cómo configurarla

1. Empieza por las defensas de tu proveedor de VPS: Comprueba si ofrece protección DDoS integrada, como filtrado de tráfico, balanceo de carga y cortafuegos de aplicaciones web (WAF). Pueden bloquear muchos ataques antes de que lleguen a tu servidor.
2. Asegura el acceso al servidor: Usa autenticación con claves SSH, desactiva los inicios de sesión con contraseña y activa la autenticación multifactor (MFA) para reforzar la seguridad.
3. Configura cortafuegos y filtrado de tráfico: Configura cortafuegos basados en el host (por ejemplo, UFW o iptables), bloquea los puertos innecesarios y usa herramientas como Fail2Ban para frenar los ataques repetidos.
4. Añade protección en la nube: Servicios como Cloudflare pueden absorber ataques mayores con funciones como la limitación de tasa y el bloqueo por geolocalización.
5. Monitoriza y mantén: Actualiza el software con regularidad, haz copias de seguridad y prueba tus planes de recuperación para restaurar el servicio con rapidez tras un ataque.

Idea clave: Un enfoque por capas que combine las herramientas del proveedor, la configuración del servidor y la monitorización hace que tu VPS siga operativo incluso durante un ataque. Mantén tus defensas actualizadas y pruébalas con regularidad para reducir el tiempo de inactividad y proteger a tus usuarios.

Cómo proteger tu VPS de los ataques DDoS

Paso 1: revisa la protección DDoS integrada de tu proveedor de VPS

Antes de configurar defensas a nivel de servidor, empieza por revisar la protección DDoS que ya ofrece tu proveedor de VPS. Este paso es clave, porque muchos ataques pueden frenarse antes de llegar a tu servidor si el proveedor cuenta con sistemas eficaces.

Busca protección DDoS multicapa

Una base sólida empieza con salvaguardas a nivel de red. Comprueba si tu proveedor limpia el tráfico en varios puntos de su infraestructura. Así se filtra el tráfico malicioso desde el principio.

Los proveedores con mitigación volumétrica, balanceo de carga y filtrado geográfico son especialmente eficaces para detectar y redirigir picos de tráfico inusuales y bloquear las regiones que no te interesan. Estas funciones actúan como una primera línea de defensa automatizada y mantienen tu servidor a salvo de la mayoría de amenazas.

Evalúa las políticas de disponibilidad y recuperación ante desastres

La protección no consiste solo en bloquear ataques; también en mantener la fiabilidad. Revisa los acuerdos de nivel de servicio (SLA) de tu proveedor en cuanto a disponibilidad y a su capacidad para recuperarse con rapidez durante un incidente. Un SLA sólido debería incluir objetivos de tiempo de recuperación (RTO) cortos y sistemas de conmutación automática que mantengan los servicios activos aunque haya interrupciones.

Las medidas de recuperación ante desastres deben asegurar que, si tu servidor principal es objetivo de un ataque, el tráfico se redirija automáticamente a sistemas de respaldo. Esta conmutación transparente minimiza el tiempo de inactividad y evita que los usuarios noten interrupciones.

Evalúa las capacidades del cortafuegos y del WAF

Los cortafuegos de aplicaciones web (WAF) son esenciales para defenderse de ataques sofisticados de capa de aplicación que los cortafuegos estándar pueden pasar por alto. Estas herramientas analizan el tráfico web entrante y bloquean las peticiones que explotan vulnerabilidades de tus aplicaciones.

Comprueba si el WAF de tu proveedor usa aprendizaje automático para distinguir el tráfico legítimo del malicioso. La posibilidad de definir reglas personalizadas, como filtros por geolocalización o por IP, puede marcar la diferencia durante un ataque.

Para una protección todavía más sólida, asegúrate de que el WAF se integre con el cortafuegos de red. Cuando ambos sistemas comparten inteligencia sobre amenazas, pueden coordinar mejor sus respuestas y es más difícil que los atacantes adapten sus tácticas.

Paso 2: asegura el acceso al servidor y la autenticación

Una vez confirmadas las protecciones básicas del proveedor, el siguiente paso es reforzar los puntos de acceso del servidor. Los ataques DDoS suelen explotar sistemas de autenticación débiles o credenciales comprometidas, así que es fundamental proteger estas entradas. Con medidas sólidas creas varias capas de defensa que un atacante tendría que superar antes de llegar a tus aplicaciones.

Configura la autenticación con claves SSH

Los inicios de sesión SSH con contraseña son una vulnerabilidad habitual. Pasar a la autenticación con claves SSH reduce mucho este riesgo, porque usa pares de claves criptográficas en lugar de contraseñas tradicionales. Este método es muy eficaz contra los ataques de fuerza bruta.

Para empezar, genera en tu equipo local un par de claves RSA con un cifrado de al menos 2048 bits. Instala la clave pública en el servidor y guarda la privada de forma segura en tu dispositivo. Al iniciar sesión, el servidor verifica tu identidad mediante un proceso de desafío-respuesta criptográfico en lugar de usar una contraseña.

Cuando las claves SSH estén configuradas, desactiva por completo la autenticación con contraseña editando el archivo /etc/ssh/sshd_config. Define PasswordAuthentication no y ChallengeResponseAuthentication no para que todas las conexiones usen autenticación basada en claves. Este paso por sí solo bloquea la mayoría de los intentos automatizados de inicio de sesión que alimentan muchas campañas DDoS.

Para una seguridad todavía mayor, plantéate usar claves Ed25519. Son algoritmos criptográficos más recientes que ofrecen una protección sólida con tamaños de clave menores y un procesamiento más rápido, lo que puede reducir la carga del servidor en momentos de mucho tráfico.

Activa la autenticación multifactor (MFA)

Aunque las claves SSH ofrecen una protección excelente, añadir autenticación multifactor (MFA) aporta una capa extra de seguridad, sobre todo para las cuentas de administrador.

Herramientas como Google Authenticator y Authy son muy populares para generar contraseñas de un solo uso basadas en tiempo (TOTP). En sistemas Ubuntu, instala el paquete libpam-google-authenticator (o su equivalente en otras distribuciones) y configura PAM (Pluggable Authentication Modules) para exigir tanto las claves SSH como los códigos TOTP al iniciar sesión.

Para los equipos que gestionan varios servidores, las llaves de seguridad físicas como los dispositivos YubiKey son una gran opción. Estos tokens físicos ofrecen autenticación resistente al phishing, lo que hace casi imposible un compromiso remoto. Aunque supone un coste inicial, la protección adicional para infraestructura crítica compensa con creces.

No olvides configurar códigos de respaldo durante la configuración de MFA. Evitan que te quedes fuera si tu dispositivo de autenticación principal deja de estar disponible. Guárdalos de forma segura y sin conexión, separados de tus métodos de autenticación habituales.

Define políticas de contraseñas robustas

Aunque las claves SSH deberían cubrir la mayoría de necesidades de autenticación, algunos servicios y aplicaciones todavía requieren contraseñas. En estos casos, las políticas de contraseñas robustas son esenciales para proteger las interfaces web, las conexiones a bases de datos y las cuentas de servicio.

• Exige una longitud mínima de 12 caracteres, con una combinación de letras mayúsculas y minúsculas, números y símbolos.
• Usa herramientas como pwquality en sistemas Linux para aplicar estas reglas y rechazar automáticamente las contraseñas débiles.

Para limitar el impacto de las credenciales comprometidas, aplica calendarios de rotación de contraseñas. Por ejemplo, exige a las cuentas de administrador que cambien la contraseña cada 90 días y a los usuarios normales cada 180 días.

Además, implanta políticas de bloqueo de cuenta para desactivar temporalmente las cuentas tras varios intentos fallidos. Bloquea las cuentas durante 15-30 minutos tras cinco fallos consecutivos y usa un retroceso exponencial para las infracciones repetidas. Este enfoque interrumpe las herramientas de ataque automatizadas y permite que los usuarios legítimos recuperen el acceso.

Por último, considera usar gestores de contraseñas como Bitwarden o 1Password. Generan y guardan de forma segura contraseñas complejas, lo que evita el error habitual de reutilizar contraseñas en varios sistemas, un fallo que los atacantes suelen explotar en ataques de varias fases.

Paso 3: configura cortafuegos y filtrado de tráfico

Una vez asegurada la autenticación, el siguiente paso es controlar qué tráfico llega a tu servidor. Una configuración adecuada del cortafuegos y del filtrado de tráfico actúa como barrera protectora y frena las peticiones maliciosas antes de que puedan alterar tu sistema. Es especialmente importante porque los ataques DDoS suelen buscar puntos débiles en tus defensas antes de lanzar un ataque a gran escala. Empieza por configurar cortafuegos basados en el host para bloquear el tráfico dañino desde el origen.

Instala y configura cortafuegos basados en el host

Un cortafuegos basado en el host bien configurado es tu primera línea de defensa frente al tráfico no deseado. Para principiantes, UFW (Uncomplicated Firewall) es una opción sencilla, mientras que los usuarios avanzados pueden preferir el control más fino de iptables.

Configura una política de denegación por defecto con UFW usando estos comandos: ufw default deny incoming y ufw default allow outgoing. Después, abre solo los puertos esenciales, por ejemplo:

• 22 (SSH)
• 80 (HTTP)
• 443 (HTTPS)

Así, solo son accesibles desde internet los servicios que necesitas. Evita exponer vectores de ataque habituales como FTP (21) o Telnet (23). Si tienes un servidor de bases de datos, nunca expongas directamente a internet puertos como 3306 (MySQL) o 5432 (PostgreSQL). En su lugar, usa túneles SSH para un acceso remoto seguro.

Para más seguridad, puedes considerar el port knocking o cambiar el puerto SSH por uno no estándar (por ejemplo, 2222 o 2048). Aunque no detendrá a atacantes decididos, puede reducir los escaneos automatizados que apuntan a los puertos por defecto. Además, añade una regla de límite de UFW para SSH (ufw limit 22/tcp). Permite las conexiones con normalidad, pero deniega una dirección IP que intente seis o más conexiones en 30 segundos. [1] Esto ayuda a protegerse frente a los ataques de fuerza bruta y las inundaciones de conexiones.

Usa Fail2Ban para bloquear los ataques de fuerza bruta

Después de configurar el cortafuegos, refuerza tus defensas bloqueando los intentos maliciosos repetidos. Fail2Ban es una herramienta eficaz para ello: vigila los archivos de registro y bloquea automáticamente las IP que muestran comportamientos dañinos.

Por ejemplo, configura Fail2Ban para vigilar los registros de SSH (por ejemplo, /var/log/auth.log) y bloquear las IP tras cinco intentos fallidos de inicio de sesión en 10 minutos. La duración del bloqueo puede ajustarse a tus necesidades. Un bloqueo de 24 horas funciona bien con los ataques SSH, mientras que bloqueos más cortos (1-2 horas) pueden ser más adecuados para los ataques a aplicaciones web, para no bloquear a usuarios legítimos.

También puedes crear filtros personalizados para amenazas concretas. Por ejemplo, si usas WordPress, configura Fail2Ban para vigilar los ataques dirigidos a wp-login.php, el abuso de XML-RPC o las vulnerabilidades de plugins. Del mismo modo, las tiendas online pueden vigilar actividad sospechosa, como la manipulación del carrito de compra o el abuso de los formularios de pago.

La función recidive jail es especialmente útil: registra a los infractores reincidentes y aplica bloqueos más largos a las amenazas persistentes. Para estar informado, configura alertas por correo electrónico para los bloqueos. Un aumento repentino de bloqueos podría indicar las primeras fases de un ataque coordinado.

Añade filtrado de tráfico en la nube

Aunque las protecciones basadas en el host son esenciales, el filtrado de tráfico en la nube ofrece una protección escalable para gestionar ataques mayores. Servicios como Cloudflare proporcionan una sólida protección DDoS y filtrado de tráfico global.

El plan gratuito de Cloudflare incluye protección DDoS básica, y su modo "I'm Under Attack" resulta muy útil durante los ataques activos. Este modo muestra a los visitantes una página de verificación, deja pasar a los usuarios legítimos y bloquea las peticiones automatizadas. [3]

Ajusta los niveles de seguridad según tus patrones de tráfico. Por ejemplo, el nivel "Medium" suele bloquear la mayor parte del tráfico malicioso y permitir el acceso a los visitantes legítimos. En periodos de alto riesgo, puedes subir temporalmente el nivel a "High", aunque eso puede molestar a algunos usuarios. [2]

En la nube, la limitación de tasa es otra estrategia eficaz. Por ejemplo:

• Limita las peticiones a la página de inicio de sesión a 10 por minuto por IP
• Permite hasta 30 peticiones por minuto para los endpoints de API
• Establece un límite de 100 peticiones por minuto para el acceso general al sitio

Estos límites ayudan a absorber ataques volumétricos sin afectar a la actividad normal de los usuarios.

Si tu aplicación atiende sobre todo a una región concreta, el bloqueo geográfico puede reducir aún más tu superficie de ataque. Por ejemplo, si la mayoría de tus usuarios están en Norteamérica, bloquear el tráfico procedente de regiones conocidas por alojar infraestructura de ataque puede minimizar las amenazas sin afectar a los usuarios legítimos.

Por último, activa las reglas de cortafuegos de aplicaciones web (WAF) para bloquear amenazas comunes como la inyección SQL y el cross-site scripting (XSS). También puedes crear reglas personalizadas para contrarrestar los patrones de ataque que identifiques en tus registros.

Supervisa con regularidad el panel de analítica de tu servicio en la nube para detectar tendencias en el tráfico bloqueado. Los picos repentinos desde regiones o URL concretas pueden indicar tareas de reconocimiento previas a un ataque mayor. Si está disponible, usa las funciones de gestión de bots para distinguir entre bots útiles (como los rastreadores de los buscadores) y bots dañinos. Este enfoque proactivo mantiene tus defensas un paso por delante.

Paso 4: instala monitorización y detección de intrusiones

Una vez establecidas tus defensas de red, da un paso más: monitoriza el tráfico de forma activa y detecta amenazas en tiempo real. Piensa en estas herramientas como la torre de vigilancia de tu sistema de seguridad, que analiza constantemente la actividad sospechosa y da la alarma antes de que los problemas menores se conviertan en graves.

Activa la monitorización de red 24 horas al día

Vigila de forma constante las métricas clave de tu red para detectar a tiempo señales de problemas, como intentos de acceso no autorizados o picos de tráfico inusuales ^[1]. Usa un sistema de monitorización que no solo registre estas métricas, sino que también te avise cuando ocurra algo fuera de lo normal.

Despliega sistemas de detección de intrusiones (IDS)

Un sistema de detección de intrusiones (IDS) actúa como un detective para tu red: analiza el tráfico y los registros para descubrir patrones de ataque ocultos. Ajusta la configuración del IDS para minimizar las falsas alarmas y asegurarte de que identifica con fiabilidad las amenazas reales.

Configura alertas automáticas ante actividad inusual

Configura alertas automáticas, por correo o por SMS, para eventos críticos como inicios de sesión sospechosos o transferencias de datos inesperadas. Revisa y ajusta periódicamente los umbrales de alerta para encontrar el equilibrio adecuado: que te avisen de los problemas reales sin recibir una avalancha de incidencias menores.

Paso 5: mantén las actualizaciones, las copias de seguridad y las pruebas de recuperación

Por muy robustas que sean tus defensas, no resistirán sin software actualizado y procesos de recuperación probados. Este paso se centra en mantener tu VPS resistente y preparado para una recuperación rápida, de modo que tus defensas sigan siendo eficaces con el tiempo. El mantenimiento es tan esencial como la prevención en una estrategia completa de defensa frente a DDoS.

Programa las actualizaciones automáticas

Mantener el software de tu VPS actualizado es imprescindible. Activa las actualizaciones automáticas del sistema operativo, del servidor web y de las herramientas de seguridad para que siempre ejecuten las versiones más recientes. Muchas distribuciones de Linux tienen opciones de actualizaciones desatendidas que aplican los parches de seguridad críticos sin intervención manual.

Planifica las actualizaciones en momentos de poco tráfico para reducir posibles interrupciones. Configura el sistema para reiniciar los servicios automáticamente si hace falta y actualiza todos los componentes con regularidad, incluidas las herramientas de protección DDoS, las reglas del cortafuegos y el software de monitorización. Estas herramientas dependen de la inteligencia de amenazas más reciente para seguir siendo eficaces.

Configura copias de seguridad periódicas

Las copias de seguridad son tu red de seguridad. Lo ideal son copias semanales, o incluso diarias en el caso de los datos críticos. Guárdalas en una ubicación externa, separada de tu infraestructura VPS principal. Así proteges tus datos no solo de los ataques DDoS, sino también de los fallos de hardware o la corrupción accidental de datos.

Haz copia de seguridad de todo: datos, configuraciones del servidor, ajustes de seguridad y scripts. Así podrás restaurar tu entorno VPS con rapidez si lo necesitas. Igual de importante es probar las copias con regularidad restaurándolas en un entorno de pruebas aparte. Una copia de seguridad solo sirve si está íntegra y funciona cuando más la necesitas.

Prueba los procedimientos de recuperación

Una vez listas las actualizaciones y las copias de seguridad, es momento de comprobar tu preparación para la recuperación. Estar preparado no es solo tener un plan, sino saber que funciona. Simula ataques DDoS en entornos controlados para evaluar tu proceso de recuperación sin interrumpir los servicios en producción. Empieza con patrones de ataque sencillos e incrementa la complejidad poco a poco para reproducir escenarios reales ^[2].

Centra las pruebas en métricas críticas como la pérdida de paquetes, la latencia de red, el uso de CPU y memoria, y los tiempos de respuesta de las aplicaciones. Documenta el rendimiento base de tu sistema, cómo reacciona ante distintos tipos de ataque y los ajustes que hagas durante las pruebas. Esta documentación será un recurso valioso para mejorar tus defensas y para incorporar a nuevos miembros del equipo.

Prueba distintos tipos de ataque, como inundaciones de capa 3/4, ataques a nivel de aplicación y vectores mixtos, en horas de máximo tráfico. Mide la rapidez con la que se detectan los ataques, la eficacia de tus estrategias de mitigación y el tiempo que tardas en recuperarte una vez que el ataque termina ^[2]. Evalúa también el impacto en el tráfico legítimo durante y después de las pruebas, para asegurarte de que tus defensas no afectan a la experiencia de los usuarios.

Qué preguntar antes de comprar un VPS con protección DDoS

«Protección DDoS» en la ficha de un VPS puede significar cosas muy distintas. Haz estas preguntas y pide las respuestas por escrito:

• ¿Qué capas están cubiertas? La protección a nivel de red (capas 3 y 4) absorbe las inundaciones dirigidas a la dirección IP. No inspecciona las peticiones HTTP. Los ataques a sitios web en la capa 7 necesitan un proxy inverso o un cortafuegos de aplicaciones web delante del sitio.
• ¿Está siempre activa o se activa al detectar un ataque? Algunos proveedores filtran todo el tráfico. Otros empiezan la mitigación solo después de detectar un ataque, lo que puede dejar caer el tráfico durante los primeros minutos.
• ¿Qué pasa durante un ataque grande? Algunos proveedores aplican null-route a la dirección IP, lo que deja el servidor fuera de línea hasta que termina el ataque.
• ¿Está incluida o es un complemento? Revisa el precio y el límite de capacidad antes de depender de ella.

Los planes de la UE de StealthRDP (Ámsterdam) incluyen protección DDoS a nivel de red; los planes de EE. UU. no. Para sitios web y aplicaciones HTTP/HTTPS, Citadel es un producto de protección de capa 7 independiente que se sitúa delante de tu sitio. No necesita un VPS de StealthRDP.

Conclusión: puntos clave para el alojamiento VPS con protección DDoS

Proteger tu VPS frente a ataques DDoS exige un enfoque por capas y proactivo. Siguiendo la estrategia de cinco pasos que se describe aquí, podrás crear un sistema de defensa que bloquee el tráfico malicioso y permita a los usuarios legítimos acceder a tus servicios sin interrupciones.

Empieza por las protecciones que ofrece tu proveedor de alojamiento y refuérzalas con medidas adicionales a nivel de servidor. Combinar las defensas de infraestructura de tu proveedor con tus propias configuraciones (cortafuegos, sistemas de autenticación y herramientas de monitorización) crea un escudo sólido frente a los ataques. Aunque las protecciones integradas son un buen punto de partida, funcionan mejor cuando las refuerzas con tus propias prácticas de seguridad.

Para maximizar la defensa, combina herramientas automatizadas con configuraciones manuales. Usa claves SSH y autenticación multifactor junto con cortafuegos y sistemas de detección de intrusiones (IDS) para crear varias capas de seguridad. Herramientas como Fail2Ban y las soluciones de filtrado en la nube ayudan a bloquear la actividad sospechosa antes de que se convierta en un problema. Estas defensas superpuestas hacen mucho más difícil que los atacantes vulneren tu sistema.

La monitorización y el mantenimiento continuos son fundamentales para la seguridad a largo plazo. Actualiza tus herramientas con regularidad para adelantarte a las amenazas nuevas y mantén copias de seguridad constantes para garantizar una recuperación rápida si un ataque tiene éxito. Probar los procedimientos de recuperación en entornos controlados te ayuda a identificar y corregir vulnerabilidades antes de que se exploten.

Aplicar estas medidas no solo reduce el tiempo de inactividad, sino que también protege tu reputación. Muchos pequeños negocios y desarrolladores que adoptan estas estrategias tienen menos interrupciones y se recuperan más rápido ante picos de tráfico. Aunque tus usuarios quizá nunca vean los ataques que se frenan, sí apreciarán la fiabilidad y el rendimiento fluido de tus servicios.

Preguntas frecuentes

¿Cuál es la diferencia entre la protección DDoS a nivel de proveedor y a nivel de servidor en un VPS?

La protección DDoS a nivel de proveedor la gestiona tu proveedor de alojamiento. Opera a nivel de red y bloquea los ataques masivos antes de que lleguen a tu VPS. Esta defensa es automática y busca reducir el tiempo de inactividad y evitar problemas de latencia causados por ataques volumétricos a gran escala.

En cambio, la protección a nivel de servidor la configuras tú directamente en tu VPS. Herramientas como cortafuegos, sistemas de filtrado de tráfico y software de detección de intrusiones protegen frente a ataques más concretos, de capa de aplicación. Aunque este enfoque permite una mayor personalización, también exige una gestión y una monitorización constantes para seguir siendo eficaz.

En resumen, la protección a nivel de proveedor gestiona de forma automática las amenazas a gran escala, mientras que la protección a nivel de servidor te da el control, pero implica la responsabilidad del mantenimiento continuo.

¿Cuál es la mejor forma de probar el plan de recuperación de mi VPS ante ataques DDoS para minimizar el tiempo de inactividad?

Para asegurarte de que tu plan de recuperación resiste un ataque DDoS, empieza por ejecutar simulaciones controladas que reproduzcan escenarios reales de ataque. Estas pruebas te darán una idea clara de la rapidez con la que tu equipo puede responder y de lo bien que aguantan tus estrategias de mitigación bajo presión. Usa herramientas diseñadas para monitorizar el tráfico de red y detectar actividad inusual a tiempo, para poder activar las medidas de recuperación en cuanto se produzca un ataque.

También es importante probar y ajustar tus procedimientos con regularidad. Este ajuste continuo ayuda a mantener tus defensas afiladas. Con práctica y preparación constantes, minimizarás el tiempo de inactividad y lograrás que tu sistema afronte las interrupciones con el menor impacto posible.

¿Por qué debo usar tanto la autenticación con claves SSH como la autenticación multifactor (MFA) para proteger mi servidor?

Usar autenticación con claves SSH junto con la autenticación multifactor (MFA) es una forma eficaz de reforzar la seguridad de tu servidor. Las claves SSH usan métodos criptográficos para autenticarse, lo que las hace muy difíciles de descifrar mediante ataques de fuerza bruta o adivinación de contraseñas.

La MFA añade una protección extra al exigir un segundo paso de verificación, como un código de una aplicación de autenticación o de un token físico. Así, aunque una capa se vea comprometida, la otra sigue intacta, lo que hace casi imposible un acceso no autorizado. Juntos, estos dos métodos forman una barrera sólida frente a posibles brechas y mantienen tu servidor bien protegido.