Necesitas un ordenador encendido las 24 horas, con una IP pública fija.

En ionos.es ve a Servidores → VPS y elige el plan. Para seguir el curso completo recomiendo el VPS M+:

Durante el pedido:

1. Sistema operativo: elige Ubuntu 24.04 LTS. «LTS» significa soporte durante 5 años; es la versión estable para servidores. No elijas una versión con Plesk ni con panel de control.
2. Ubicación del centro de datos: España o Alemania. Cuanto más cerca de tus usuarios, menos latencia.
3. Revisa el precio después de la oferta: los primeros meses salen baratos; mira en el resumen del pedido cuánto cuesta cada mes después.
4. Completa el pago. El servidor tarda unos minutos en estar listo.

Cuando esté listo, entra en el panel: Menú → Servidores & Cloud → tu servidor. Ahí verás:

• La IP pública (IPv4). Apúntala en la tabla como TU_IP.
• Los datos de acceso: usuario root y su contraseña inicial. Guárdala en tu gestor de contraseñas.

Tu dominio es el nombre con el que la gente llegará a tus servicios (mail.tudominio.es, chat.tudominio.es...) y también tu identidad para enviar correo.

1. En el panel, ve a Dominios & SSL → Registrar dominio.
2. Busca un nombre corto y fácil de dictar, sin guiones raros. Un .es o un .com son la opción más segura.
3. Al pagar, no hace falta contratar ningún extra (correo de IONOS, constructor web, etc.): todo eso lo vas a montar tú.
4. Apunta el dominio en la tabla como TU_DOMINIO.

El DNS es la «agenda» de Internet: traduce mail.tudominio.es a la IP de tu servidor.

En Dominios & SSL → tu dominio → pestaña DNS. IONOS crea algunos registros por defecto que apuntan a sus servidores de aparcamiento (la página de «dominio en construcción»). Vamos a dejar solo los nuestros.

3.1 · Borra o edita los registros que no son tuyos

• Los registros A de @ y de www que apunten a una IP que no es TU_IP: edítalos (no hace falta borrarlos y crearlos).
• Los registros AAAA (direcciones IPv6) que haya creado IONOS: bórralos. Si se quedan, los visitantes con IPv6 y Let's Encrypt irán a la página de aparcamiento de IONOS y el certificado fallará.
• Si www es un registro CNAME, bórralo y créalo como A.
• No toques los registros NS (servidores de nombres) ni los MX por ahora; los MX se configuran en la temporada de correo.

3.2 · Crea estos tres registros A

3.3 · Comprueba desde tu PC

Abre PowerShell (tecla Windows, escribe PowerShell y Enter). No hace falta que sea como administrador. Espera 5–10 minutos después de crear los registros y escribe:

Resolve-DnsName TU_DOMINIO -Type A -Server 1.1.1.1
Resolve-DnsName mail.TU_DOMINIO -Type A -Server 1.1.1.1

Name                Type   TTL   Section    IPAddress
----                ----   ---   -------    ---------
TU_DOMINIO          A      3600  Answer     TU_IP

Es la primera capa de protección.

En el panel: Servidores & Cloud → Red → Políticas de firewall. Tu VPS tiene asignada una política por defecto que suele traer varios puertos abiertos (80, 443, 8443 y otros de paneles de control). Edítala para que quede así:

1. Borra las demás reglas de entrada. No te preocupes: en cada episodio abriremos el puerto que necesite ese servicio, y solo ese.
2. Guarda y comprueba que la política está asignada a tu servidor.

El DNS normal traduce nombre → IP; el inverso traduce IP → nombre.

1. En el panel: Servidores & Cloud → Red → IPs públicas.
2. Selecciona TU_IP y busca la acción «Editar DNS inverso» (o «Reverse DNS»).
3. Escribe: mail.TU_DOMINIO y guarda.

Comprueba desde PowerShell (puede tardar hasta unas horas):

Resolve-DnsName TU_IP -Type PTR -Server 1.1.1.1

Name                         Type   TTL   Section    NameHost
----                         ----   ---   -------    --------
xx.xx.xx.xx.in-addr.arpa     PTR    ...   Answer     mail.TU_DOMINIO

SSH es la forma de controlar el servidor a distancia: lo que escribes en tu PC se ejecuta allí, y la conexión va cifrada.

ssh root@TU_IP

La primera conexión a un servidor siempre muestra este aviso:

The authenticity of host 'TU_IP (TU_IP)' can't be established.
ED25519 key fingerprint is SHA256:xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx.
Are you sure you want to continue connecting (yes/no/[fingerprint])?

Después pega la contraseña de root (recuerda: no se ve nada al escribirla) y pulsa Enter. Si todo va bien, el cursor cambia a algo así:

root@ubuntu:~#

Comprueba qué tienes delante:

lsb_release -d
free -h
df -h /

La imagen de Ubuntu que instala IONOS se creó hace semanas o meses.

apt update
apt upgrade -y

Ahora vas como root, así que no hace falta sudo. A partir del paso 12 trabajarás con tu usuario y escribirás sudo delante.

Comprueba si la actualización pide reiniciar (pasa cuando se actualiza el núcleo del sistema):

ls /var/run/reboot-required

• Si responde /var/run/reboot-required: hay que reiniciar. Escribe reboot, espera 1 minuto y vuelve a entrar con ssh root@TU_IP.
• Si responde No such file or directory: no hace falta reiniciar.

El puerto 25 es el que usan los servidores para entregarse el correo entre ellos.

timeout 5 bash -c '</dev/tcp/gmail-smtp-in.l.google.com/25' && echo "Puerto 25: ABIERTO" || echo "Puerto 25: BLOQUEADO"

Si dice BLOQUEADO, abre una incidencia en IONOS (Ayuda → Contactar) o llama al soporte. Puedes usar este texto:

Asunto: Desbloqueo del puerto 25 de salida en mi VPS

Hola. Tengo el VPS con IP TU_IP y voy a montar un servidor de correo
propio para mi dominio TU_DOMINIO (ya configurado el DNS inverso
mail.TU_DOMINIO). Necesito que desbloqueéis el puerto 25 TCP de salida.
Será un servidor con SPF, DKIM y DMARC y solo para mis propias cuentas.
Gracias.

El servidor se presenta con su nombre ante otros servidores, sobre todo al enviar correo.

hostnamectl set-hostname mail.TU_DOMINIO
sed -i '/^127\.0\.1\.1/d' /etc/hosts
echo "127.0.1.1 mail.TU_DOMINIO mail" >> /etc/hosts

Que no vuelva el nombre antiguo al reiniciar

Las imágenes de los proveedores llevan cloud-init, un programa que configura el servidor en el primer arranque y que a veces vuelve a poner el nombre original en cada reinicio. Se lo impedimos:

ls /etc/cloud/cloud.cfg.d/ && tee /etc/cloud/cloud.cfg.d/99-ebenezer.cfg > /dev/null <<'EOF'
# Conservar el hostname y el /etc/hosts que configuro a mano
preserve_hostname: true
manage_etc_hosts: false
EOF

Comprueba. Cierra la sesión con exit y vuelve a entrar para que el cursor muestre el nombre nuevo:

hostname
hostname -f
cat /etc/hosts

mail.TU_DOMINIO
mail.TU_DOMINIO
127.0.0.1 localhost
...
127.0.1.1 mail.TU_DOMINIO mail

Los registros (logs) llevan la hora de cada evento.

timedatectl list-timezones | grep -E 'Madrid|Canary'
timedatectl set-timezone TU_ZONA_HORARIA
timedatectl

               Local time: sáb 2026-11-07 18:30:12 WET
           Universal time: sáb 2026-11-07 18:30:12 UTC
                Time zone: Atlantic/Canary (WET, +0000)
System clock synchronized: yes
              NTP service: active

root puede hacerlo todo sin preguntar: un error tecleando como root puede borrar el sistema, y es el usuario que todos los atacantes intentan adivinar.

adduser TU_USUARIO
usermod -aG sudo TU_USUARIO
groups TU_USUARIO

TU_USUARIO : TU_USUARIO users sudo

Prueba que funciona cambiando a ese usuario:

su - TU_USUARIO
sudo whoami
exit

Una contraseña se puede adivinar probando millones de combinaciones, y hay robots haciéndolo contra todos los servidores de Internet a todas horas.

12.1 · Mira si ya tienes claves

Get-ChildItem $env:USERPROFILE\.ssh

Si aparecen archivos como id_ed25519 o id_rsa, ya tienes claves que seguramente usas para otros servidores. No las sobrescribas nunca: perderías el acceso a esos servidores. Por eso vamos a crear una clave con un nombre propio para este servidor.

12.2 · Crea la clave

ssh-keygen -t ed25519 -a 100 -f $env:USERPROFILE\.ssh\id_ed25519_lab -C "TU_USUARIO@lab"

Te pedirá una frase de paso (passphrase) dos veces. Es la contraseña que protege la clave privada: si alguien te roba el portátil, sin ella no puede usar la clave. Ponla y guárdala en tu gestor.

12.3 · Copia la clave pública al servidor

Windows no trae ssh-copy-id (el comando que se usa en Linux para esto), así que lo hacemos en una línea. Es una sola línea: comprueba que no se ha partido al copiarla.

Get-Content $env:USERPROFILE\.ssh\id_ed25519_lab.pub | ssh TU_USUARIO@TU_IP "mkdir -p ~/.ssh && chmod 700 ~/.ssh && cat >> ~/.ssh/authorized_keys && chmod 600 ~/.ssh/authorized_keys"

12.4 · Crea un atajo en tu PC

Para no escribir cada vez la IP, el usuario y la clave, crea un archivo de configuración de SSH en tu PC:

notepad $env:USERPROFILE\.ssh\config

Si el Bloc de notas pregunta si quieres crear el archivo, di que sí. Si el archivo ya existe y tiene contenido (de otros servidores), no borres nada: añade esto al final. Pega:

Host lab
    HostName TU_IP
    User TU_USUARIO
    IdentityFile ~/.ssh/id_ed25519_lab
    IdentitiesOnly yes

Guarda con Ctrl+G y cierra. Comprueba que se llama config y no config.txt:

Get-ChildItem $env:USERPROFILE\.ssh

Si aparece config.txt, renómbralo: Rename-Item $env:USERPROFILE\.ssh\config.txt config.

12.5 · Prueba la entrada con clave

Abre una ventana nueva de PowerShell (deja la de root abierta) y escribe:

ssh lab

Ahora te pide la frase de paso de la clave (Enter passphrase for key...), no la contraseña del servidor. Esa es la señal de que está usando la clave. El cursor será TU_USUARIO@mail:~$.

Get-Service ssh-agent | Set-Service -StartupType Automatic
Start-Service ssh-agent

El swap es un espacio del disco que Linux usa como RAM de reserva.

Desde aquí escribes en la sesión de tu usuario (ssh lab). Primero mira si ya hay swap:

free -h
swapon --show

Si swapon --show no muestra nada y en free -h la línea Swap: está a 0B, créalo. Si ya hay swap, salta al paso 14.

sudo fallocate -l 2G /swapfile
sudo chmod 600 /swapfile
sudo mkswap /swapfile
sudo swapon /swapfile
echo '/swapfile none swap sw 0 0' | sudo tee -a /etc/fstab
echo 'vm.swappiness=10' | sudo tee /etc/sysctl.d/99-swap.conf
sudo sysctl -p /etc/sysctl.d/99-swap.conf

NAME      TYPE SIZE USED PRIO
/swapfile file   2G   0B   -2

Los fallos de seguridad se publican y se explotan en horas.

Comprueba que está activado:

systemctl is-enabled unattended-upgrades
cat /etc/apt/apt.conf.d/20auto-upgrades

enabled
APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Unattended-Upgrade "1";

Si no ves esas dos líneas con "1", actívalo con sudo dpkg-reconfigure -plow unattended-upgrades y responde Yes.

Ahora le añadimos tres ajustes: limpiar lo que sobra y reiniciar solo de madrugada si una actualización lo necesita.

sudo tee /etc/apt/apt.conf.d/52unattended-upgrades-local > /dev/null <<'EOF'
// Ebenezer: ajustes propios de las actualizaciones automáticas
Unattended-Upgrade::Remove-Unused-Kernel-Packages "true";
Unattended-Upgrade::Remove-Unused-Dependencies "true";
Unattended-Upgrade::Automatic-Reboot "true";
Unattended-Upgrade::Automatic-Reboot-Time "04:30";
EOF
cat /etc/apt/apt.conf.d/52unattended-upgrades-local

Prueba la configuración sin instalar nada (simulación):

sudo unattended-upgrade --dry-run --debug 2>&1 | tail -n 5

Ahora mismo el servidor aún acepta contraseñas y deja entrar a root.

15.1 · Mira qué hay ya configurado

ls /etc/ssh/sshd_config.d/
sudo cat /etc/ssh/sshd_config.d/*.conf

La configuración del servidor SSH está en /etc/ssh/sshd_config, y al principio de ese archivo se cargan todos los .conf de la carpeta sshd_config.d/, por orden alfabético. Importante: en SSH, cuando un ajuste aparece varias veces, gana el primero que se lee. Muchos proveedores dejan ahí un 50-cloud-init.conf con PasswordAuthentication yes. Por eso nuestro archivo se llamará 01-...: así se lee el primero y manda sobre los demás.

15.2 · Crea la configuración

sudo tee /etc/ssh/sshd_config.d/01-seguridad.conf > /dev/null <<'EOF'
# Ebenezer: endurecimiento de SSH
PermitRootLogin no
PasswordAuthentication no
KbdInteractiveAuthentication no
PubkeyAuthentication yes
AuthenticationMethods publickey
MaxAuthTries 3
LoginGraceTime 30
X11Forwarding no
AllowUsers TU_USUARIO
EOF
cat /etc/ssh/sshd_config.d/01-seguridad.conf

15.3 · Comprueba la sintaxis y aplica

sudo sshd -t && echo "Configuración correcta"
sudo systemctl restart ssh

Comprueba qué valores está usando SSH de verdad (ya mezclados todos los archivos):

sudo sshd -T | grep -E '^(permitrootlogin|passwordauthentication|kbdinteractiveauthentication|pubkeyauthentication|allowusers|maxauthtries)'

permitrootlogin no
pubkeyauthentication yes
passwordauthentication no
kbdinteractiveauthentication no
maxauthtries 3
allowusers TU_USUARIO

15.4 · La prueba de verdad, desde una ventana nueva

Abre una tercera ventana de PowerShell y prueba estas tres cosas:

ssh lab
ssh root@TU_IP
ssh -o PubkeyAuthentication=no TU_USUARIO@TU_IP

rm /etc/ssh/sshd_config.d/01-seguridad.conf
systemctl restart ssh

El firewall de IONOS (paso 4) es la primera capa, fuera del servidor.

UFW (Uncomplicated Firewall) viene instalado pero apagado. Primero las reglas, después lo encendemos. En ese orden: si lo enciendes sin permitir SSH, te echa del servidor.

sudo ufw status
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow OpenSSH comment 'SSH'
sudo ufw show added

Ahora sí, enciéndelo:

sudo ufw enable
sudo ufw status verbose

Al encenderlo avisa Command may disrupt existing ssh connections. Proceed with operation (y|n)?. Como ya permitiste SSH, responde y.

Status: active
Logging: on (low)
Default: deny (incoming), allow (outgoing), deny (routed)
New profiles: skip

To                         Action      From
--                         ------      ----
22/tcp (OpenSSH)           ALLOW IN    Anywhere                   # SSH
22/tcp (OpenSSH (v6))      ALLOW IN    Anywhere (v6)              # SSH

Aunque los robots ya no pueden entrar (no tienen tu clave), siguen intentándolo miles de veces al día: llenan los registros y gastan recursos.

17.1 · Instálalo

sudo apt install -y fail2ban python3-systemd
cat /etc/fail2ban/jail.d/defaults-debian.conf

17.2 · Averigua la IP de tu casa

Para no bloquearte a ti mismo si te equivocas varias veces, le diremos a fail2ban que nunca bloquee tu conexión de casa. En tu PC:

curl.exe -4 -s ifconfig.me

Apúntala como TU_IP_CASA.

17.3 · Configúralo

Los ajustes propios se ponen en jail.local. El archivo principal (jail.conf) no se toca nunca, porque las actualizaciones lo sobrescriben.

sudo tee /etc/fail2ban/jail.local > /dev/null <<'EOF'
[DEFAULT]
# Nunca bloquear: el propio servidor y tu conexión de casa
ignoreip = 127.0.0.1/8 ::1 TU_IP_CASA
# Tiempo de bloqueo, ventana de vigilancia e intentos permitidos
bantime  = 1h
findtime = 10m
maxretry = 5
# Cada vez que una IP reincide, el bloqueo dura más (hasta 1 semana)
bantime.increment = true
bantime.maxtime   = 1w

[sshd]
enabled = true
mode    = aggressive
EOF
cat /etc/fail2ban/jail.local

17.4 · Arranca y comprueba

sudo systemctl enable fail2ban
sudo systemctl restart fail2ban
sudo fail2ban-client status
sudo fail2ban-client status sshd

Status for the jail: sshd
|- Filter
|  |- Currently failed: 2
|  |- Total failed:     14
|  `- Journal matches:  _SYSTEMD_UNIT=sshd.service + _COMM=sshd
`- Actions
   |- Currently banned: 1
   |- Total banned:     1
   `- Banned IP list:   203.0.113.45

Si status da error, mira el motivo con sudo journalctl -u fail2ban -n 30 --no-pager. Casi siempre es una errata en jail.local.

sudo fail2ban-client set sshd unbanip LA_IP_BLOQUEADA

Antes de construir nada encima, comprobamos que todo está como debe y que sobrevive a un reinicio.

18.1 · Repaso de todo

hostname -f
timedatectl | grep -E 'Time zone|synchronized'
swapon --show
systemctl is-active unattended-upgrades
sudo sshd -T | grep -E '^(permitrootlogin|passwordauthentication)'
sudo ufw status
sudo fail2ban-client status sshd | grep -E 'Currently|Total'

18.2 · Reinicia y vuelve a comprobar

sudo reboot

La conexión se corta (es normal). Espera un minuto, vuelve a entrar con ssh lab y repite el bloque 18.1. Todo debe seguir igual. Así compruebas que nada depende de algo que solo estaba en memoria, y que cloud-init no ha deshecho el nombre del paso 9.

18.3 · Haz una instantánea

1. En el panel de IONOS: Servidores & Cloud → tu servidor → Instantáneas (Snapshots) → Crear.
2. Ponle un nombre que diga en qué punto está: 01-servidor-base.
3. Espera a que termine (unos minutos).