Configuración y operación

Ejecuta ssh root@tu-ip-del-servidor desde cualquier terminal en macOS, Linux o Windows 10 y posteriores. Usa la clave que proporcionaste al aprovisionar, o la contraseña enviada por correo electrónico. La primera conexión muestra una huella de clave de host: compárala con la del panel de control antes de aceptarla.

Cinco pasos cubren la gran mayoría de los compromisos en el mundo real: SSH con clave y autenticación por contraseña deshabilitada, sin acceso root directo, un cortafuegos con denegación por defecto, actualizaciones de seguridad automáticas y fail2ban o un equivalente. En conjunto, toman unos diez minutos y eliminan prácticamente todos los ataques automatizados.

Desactiva la autenticación por contraseña por completo: la fuerza bruta contra SSH con clave no es posible. Añade fail2ban para reducir el ruido en los registros y considera mover SSH del puerto 22 para reducir el volumen de escaneo en aproximadamente un 95%. La opción más fuerte es poner SSH detrás de WireGuard para que nunca esté expuesto a Internet público.

Usa nftables en Linux moderno, o ufw como una interfaz más amigable. Establece la política de entrada por defecto en drop, permite conexiones establecidas y relacionadas, y luego permite solo los puertos que realmente sirves. Siempre permite tu puerto SSH antes de habilitar la política, o la consola será tu única forma de volver.

En KVM, sí. OnionVPS proporciona plantillas para Ubuntu, Debian, AlmaLinux, Rocky, Fedora, Arch, Alpine, NixOS, FreeBSD, OpenBSD, Windows Server, Proxmox y otros, y puedes subir un ISO personalizado e instalar cualquier cosa que arranque. En virtualización basada en contenedores como OpenVZ, estás limitado a las plantillas Linux que el proveedor proporciona.

Sí, en todos los planes, sin coste y sin necesidad de aprobación. Sube el ISO desde el panel o indícanos una URL, adjúntalo como medio virtual y arráncalo desde la consola VNC. Cualquier cosa que arranque en hardware KVM estándar se instalará, incluidos BSD, imágenes endurecidas y aplicaciones.

KVM (máquina virtual basada en kernel) es virtualización completa de hardware integrada en el kernel de Linux, que utiliza extensiones del procesador para ejecutar cada invitado con su propio kernel y aislamiento impuesto por hardware. A diferencia de OpenVZ o LXC, que comparten el kernel del host, un invitado KVM puede cargar módulos del kernel, ejecutar cualquier sistema operativo y usar swap real.

En un VPS KVM, sí, sin restricción: instala Docker Engine desde el repositorio oficial y todo funciona, incluidos buildx, Compose y Docker-in-Docker. En servidores virtuales basados en OpenVZ o LXC, Docker falla o requiere configuración insegura del host, porque necesita cgroups y namespaces que la virtualización de kernel compartido no expone.

Sí. La virtualización anidada está habilitada en cada instancia de OnionVPS, por lo que puedes ejecutar invitados KVM dentro de tu instancia, instalar Proxmox VE o ejecutar Docker-in-Docker y trabajos de CI basados en VM. Muchos proveedores la deshabilitan, que es la razón habitual por la que Proxmox y ciertas configuraciones de CI fallan en otros sitios.

Sí, el puerto 25 de salida está abierto en cada instancia de OnionVPS por defecto. No hay ticket de soporte, ni requisito de antigüedad de cuenta ni desbloqueo de pago. La mayoría de los proveedores lo bloquean permanentemente para controlar el spam, por eso el correo autoalojado es imposible en gran parte del mercado.

Sí, tanto para IPv4 como para IPv6, directamente desde el panel de control, y los cambios se propagan en minutos. El DNS inverso es esencial para el correo: la mayoría de los grandes receptores rechazan mensajes desde una dirección cuyo registro PTR no resuelve al nombre del host emisor.

Sí. El puerto 25 está abierto, el DNS inverso es autoservicio y nuestro espacio de direcciones no tiene historial de spam. Mailcow o Stalwart le ofrecen una pila completa en una tarde. La dificultad no es la instalación, sino la capacidad de entrega, que depende de SPF, DKIM, DMARC, un PTR coincidente y un calentamiento paciente.

Cada instancia incluye una dirección IPv4 y un /64 de IPv6 enrutado: eso son 18 quintillones de direcciones v6, no una. Se pueden añadir hasta ocho direcciones IPv4 adicionales por instancia a 3 $ al mes cada una, desde el panel, sin formulario de justificación ni período de espera.

Sí: una subred /64 enrutada en cada instancia, en todos los niveles, sin costo. No es una única dirección: una subred completa enrutada a su servidor, para que cada contenedor o servicio pueda tener su propia dirección IPv6 pública sin traducción de direcciones de red.

Una instantánea es una copia del disco de su instancia en un momento dado, tomada al instante y almacenada en la misma infraestructura. Una copia de seguridad es una copia almacenada en otro lugar. Las instantáneas protegen contra sus propios errores; las copias de seguridad protegen contra fallos de infraestructura. Necesita ambas, y tres instantáneas están incluidas gratis en cada plan.

Sigue la regla 3-2-1: tres copias, en dos tipos de soporte, una fuera del sitio. En la práctica, eso significa instantáneas para una reversión rápida, más una copia de seguridad nocturna cifrada con restic o Borg a una jurisdicción diferente, más una restauración que realmente hayas probado. Una copia de seguridad no probada es una hipótesis.

Usa la consola VNC fuera de banda en el panel, reinicia en modo de usuario único o de rescate desde el cargador de arranque, vuelve a montar el sistema de archivos raíz en modo lectura-escritura y ejecuta passwd. Tarda unos dos minutos y no necesita un ticket de soporte. Si el disco está cifrado con LUKS y has perdido la frase de contraseña, los datos son irrecuperables por diseño.

Una consola fuera de banda se conecta a la pantalla virtual y al teclado de tu instancia a través del panel de control, independientemente de su red. Es cómo arreglas una regla de firewall que te ha bloqueado, una configuración SSH rota o un fallo de arranque, sin abrir un ticket de soporte. Funciona incluso cuando la instancia no tiene red en absoluto.

Los datos deben moverse físicamente, por lo que un cambio de región es una reconstrucción en lugar de una migración en vivo. Implementa la nueva instancia, sincroniza los datos con rsync o una restauración de restic, verifica, cambia el DNS con un TTL bajo y luego destruye la antigua. Planifica de 30 a 90 minutos dependiendo del volumen de datos.

Usa Ubuntu LTS si estás aprendiendo o quieres la mayor cantidad de tutoriales y paquetes más nuevos. Usa Debian para un servidor mínimo, predecible y de larga vida: se mantiene en reposo en aproximadamente la mitad de memoria, no incluye Snap ni telemetría del proveedor. Ambos usan el mismo formato de paquete, por lo que la mayoría de las instrucciones se transfieren directamente.