Tener un servidor autogestionado en hosting-peru.pe significa que tienes el control absoluto de tu sistema operativo.
Dejar un servidor recién instalado con el puerto de Escritorio Remoto (RDP) abierto a todo el mundo es el equivalente digital a dejar la puerta de tu empresa sin llave. Para garantizar que tu infraestructura esté verdaderamente blindada, en hosting-peru.pe implementamos una arquitectura de seguridad de doble capa.
A continuación, te explicamos cómo te protegemos desde la red y qué debes hacer tú dentro de tu servidor.
Capa 1: El Escudo Perimetral (Lo que hacemos por ti)
Antes de que un intento de conexión siquiera toque tu sistema operativo, debe atravesar nuestro firewall de red en la nube. Este escudo evalúa todo el tráfico y descarta automáticamente cualquier conexión entrante que no esté explícitamente permitida.
Acceso Remoto Seguro (RDP)
Si tu servidor aloja webs, los puertos 80 (HTTP) y 443 (HTTPS) estarán abiertos al público (0.0.0.0/0). Sin embargo, el acceso a Escritorio Remoto (puerto 3389) jamás debe ser global.
👉 Acción requerida: Para entregarte el servidor de forma segura, necesitamos que nos brindes tu dirección IP pública. Crearemos una regla exclusiva para que solo tú puedas ver la pantalla de tu servidor. (Si tu IP cambia en el futuro, solo nos avisas por ticket).
Bloqueo de Puertos Críticos por Defecto
Existen ciertos servicios internos de Windows que los atacantes buscan constantemente. Por tu seguridad y a solicitud tuya, podemos activar este firewall perimetral con los siguientes puertos bloqueados por defecto, ya que bajo ninguna circunstancia deben ser públicos:
-
-
135 (RPC) ❌
-
137-139 (NetBIOS) ❌
-
445 (SMB): ❌ (Microsoft exige su bloqueo para evitar ransomware)
-
1433 / 3306 (Bases de datos SQL/MySQL): ❌
-
5985 / 5986 (WinRM): ❌
-
Control del Tráfico de Salida (Outbound)
Por defecto, tu Windows Server tendrá el tráfico de salida habilitado. Esto es necesario para que el servidor pueda descargar actualizaciones (Windows Update), resolver DNS, sincronizar la hora y validar licencias o antivirus.
🛡️ Si requieres máxima seguridad: Como administrador, puedes pedirnos que bloqueemos también las conexiones salientes. Si decides hacer esto, nos debes mencionar exactamente qué puertos necesitas abrir para poder agregarlos a la regla de salida antes de aplicar el bloqueo total.
Capa 2: Windows Defender Firewall (Lo que haces tú)
Una vez que te entregamos las llaves de tu servidor, el control interno es tuyo. Tu segunda capa de defensa es el Windows Defender Firewall integrado en el sistema.
Para evitar configuraciones frágiles, te recomendamos abrir PowerShell como Administrador y aplicar estas dos políticas clave:
1. Activar el bloqueo estricto
Este comando asegura que Windows rechace cualquier conexión entrante que no hayas autorizado tú mismo, permitiendo solo la salida:
PowerShell
Set-NetFirewallProfile -Profile Domain,Private,Public `
-Enabled True `
-DefaultInboundAction Block `
-DefaultOutboundAction Allow
2. Crear tus propias reglas de acceso
Windows trae reglas genéricas de RDP que lo abren a cualquier IP. Desactiva esas reglas de fábrica y crea unas a medida para tu IP pública (reemplaza TU_IP_AQUI por tu dirección real):
PowerShell
New-NetFirewallRule -DisplayName "RDP Cliente TCP" -Direction Inbound -Protocol TCP -LocalPort 3389 -RemoteAddress TU_IP_AQUI -Action Allow
New-NetFirewallRule -DisplayName "RDP Cliente UDP" -Direction Inbound -Protocol UDP -LocalPort 3389 -RemoteAddress TU_IP_AQUI -Action Allow
💡 Tip de supervivencia para administradores: Antes de borrar o apagar las reglas genéricas de Windows, abre una segunda sesión de Escritorio Remoto en paralelo. Si la nueva regla funciona, podrás entrar sin problemas. Si te equivocaste en algo, la sesión original seguirá abierta para que puedas corregirlo. ¡Así evitas bloquearte a ti mismo!