Abrir puerto 443 para webserver local en router 4G?

Cuando se habla de abrir puertos, es un termino erroneo. Los puertos se abren o cierran en un firewall. En un router, se mapean, se hace NAT.

En un router de red móvil, si el firmware lo permite, se hace igual que en cualquier otro. Lo de que no suele poderse en red móvil no es por problema del router, sino de que las conexiones móviles, salvo en IP fija, suelen ir con cg-nat en red, por lo que por mucho que mapees el puerto a través del NAT del router, hay un segundo NAT sobre el que no tienes control que impide que funcionen las conexiones entrantes desde internet. Por eso al final el NAT en servicios móviles no suele funcionar (aunque en algunos operadores, sin contratar IP fija, existen APNs públicas que van fuera de cg-nat)

Ahora bien, esto sólo aplica en paquetes IP en tránsito WAN-LAN. No procede tener que tocar nada en el router en comunicaciones LAN-LAN (salvo que no esté de fábrica e incluya un firewall integrado en el que a propósito se haya querido prohibir tráfico LAN-LAN). Y si alguien te dice que para comunicaciones LAN-LAN hay que abrir/natear/mapear puertos en el router, le dices de mi parte que se dedique a vender pan porque de redes no tiene ni puta idea.

Otra cosa será el propio webserver, que aparte de levantar el servicio en Puerto 443, obviamente tendrá que permitir en firewall de Windows o el OS que lleve las peticiones por ese puerto. O que la app android no esté haciendo una comunicación LAN-LAN, sino saliendo a internet y sea otra máquina de internet la que lee al webserver, en cuyo caso sí que se necesitaría el mapeo de puertos para esa comunicación WAN-LAN

Dracot escribió:Cuando se habla de abrir puertos, es un termino erroneo. Los puertos se abren o cierran en un firewall. En un router, se mapean, se hace NAT.

En un router de red móvil, si el firmware lo permite, se hace igual que en cualquier otro. Lo de que no suele poderse en red móvil no es por problema del router, sino de que las conexiones móviles, salvo en IP fija, suelen ir con cg-nat en red, por lo que por mucho que mapees el puerto a través del NAT del router, hay un segundo NAT sobre el que no tienes control que impide que funcionen las conexiones entrantes desde internet. Por eso al final el NAT en servicios móviles no suele funcionar (aunque en algunos operadores, sin contratar IP fija, existen APNs públicas que van fuera de cg-nat)

Ahora bien, esto sólo aplica en paquetes IP en tránsito WAN-LAN. No procede tener que tocar nada en el router en comunicaciones LAN-LAN (salvo que no esté de fábrica e incluya un firewall integrado en el que a propósito se haya querido prohibir tráfico LAN-LAN). Y si alguien te dice que para comunicaciones LAN-LAN hay que abrir/natear/mapear puertos en el router, le dices de mi parte que se dedique a vender pan porque de redes no tiene ni puta idea.

Otra cosa será el propio webserver, que aparte de levantar el servicio en Puerto 443, obviamente tendrá que permitir en firewall de Windows o el OS que lleve las peticiones por ese puerto. O que la app android no esté haciendo una comunicación LAN-LAN, sino saliendo a internet y sea otra máquina de internet la que lee al webserver, en cuyo caso sí que se necesitaría el mapeo de puertos para esa comunicación WAN-LAN

Buenos días, gracias por tu aclaración.........debe ser el último punto que indicas....seguramente la APP de ANDROID no funciona LAN-LAN....... hoy llamaré a los del programa a ver qué dicen......aunque me parece absurdo que una APP para dicha tarea, no permita escoger si queremos comunicación LAN-LAN o WAN-LAN...y nos obligue a esta última...

lolololito escribió:

Dracot escribió:Cuando se habla de abrir puertos, es un termino erroneo. Los puertos se abren o cierran en un firewall. En un router, se mapean, se hace NAT.

En un router de red móvil, si el firmware lo permite, se hace igual que en cualquier otro. Lo de que no suele poderse en red móvil no es por problema del router, sino de que las conexiones móviles, salvo en IP fija, suelen ir con cg-nat en red, por lo que por mucho que mapees el puerto a través del NAT del router, hay un segundo NAT sobre el que no tienes control que impide que funcionen las conexiones entrantes desde internet. Por eso al final el NAT en servicios móviles no suele funcionar (aunque en algunos operadores, sin contratar IP fija, existen APNs públicas que van fuera de cg-nat)

Ahora bien, esto sólo aplica en paquetes IP en tránsito WAN-LAN. No procede tener que tocar nada en el router en comunicaciones LAN-LAN (salvo que no esté de fábrica e incluya un firewall integrado en el que a propósito se haya querido prohibir tráfico LAN-LAN). Y si alguien te dice que para comunicaciones LAN-LAN hay que abrir/natear/mapear puertos en el router, le dices de mi parte que se dedique a vender pan porque de redes no tiene ni puta idea.

Otra cosa será el propio webserver, que aparte de levantar el servicio en Puerto 443, obviamente tendrá que permitir en firewall de Windows o el OS que lleve las peticiones por ese puerto. O que la app android no esté haciendo una comunicación LAN-LAN, sino saliendo a internet y sea otra máquina de internet la que lee al webserver, en cuyo caso sí que se necesitaría el mapeo de puertos para esa comunicación WAN-LAN

Buenos días, gracias por tu aclaración.........debe ser el último punto que indicas....seguramente la APP de ANDROID no funciona LAN-LAN....... hoy llamaré a los del programa a ver qué dicen......aunque me parece absurdo que una APP para dicha tarea, no permita escoger si queremos comunicación LAN-LAN o WAN-LAN...y nos obligue a esta última...

Absurdo desde un punto de vista funcional, pero con sentido comercial......asi crean dependencia de su servidor externo y mantienen control sobre el producto que están implantado.

Vamos que esto es una observación gratuita y sin fundamento por mi parte, ya que para saber si van por ahí los tiros habría que saber exactamente cómo va la aplicación, si es pago único o por cuota, etc. Pero no serían los primeros que crean dependencia de un servidor propio para vender un "servicio" en lugar de un "producto", que es lo que está de moda

Dracot escribió:

lolololito escribió:

Dracot escribió:Cuando se habla de abrir puertos, es un termino erroneo. Los puertos se abren o cierran en un firewall. En un router, se mapean, se hace NAT.

En un router de red móvil, si el firmware lo permite, se hace igual que en cualquier otro. Lo de que no suele poderse en red móvil no es por problema del router, sino de que las conexiones móviles, salvo en IP fija, suelen ir con cg-nat en red, por lo que por mucho que mapees el puerto a través del NAT del router, hay un segundo NAT sobre el que no tienes control que impide que funcionen las conexiones entrantes desde internet. Por eso al final el NAT en servicios móviles no suele funcionar (aunque en algunos operadores, sin contratar IP fija, existen APNs públicas que van fuera de cg-nat)

Ahora bien, esto sólo aplica en paquetes IP en tránsito WAN-LAN. No procede tener que tocar nada en el router en comunicaciones LAN-LAN (salvo que no esté de fábrica e incluya un firewall integrado en el que a propósito se haya querido prohibir tráfico LAN-LAN). Y si alguien te dice que para comunicaciones LAN-LAN hay que abrir/natear/mapear puertos en el router, le dices de mi parte que se dedique a vender pan porque de redes no tiene ni puta idea.

Otra cosa será el propio webserver, que aparte de levantar el servicio en Puerto 443, obviamente tendrá que permitir en firewall de Windows o el OS que lleve las peticiones por ese puerto. O que la app android no esté haciendo una comunicación LAN-LAN, sino saliendo a internet y sea otra máquina de internet la que lee al webserver, en cuyo caso sí que se necesitaría el mapeo de puertos para esa comunicación WAN-LAN

Buenos días, gracias por tu aclaración.........debe ser el último punto que indicas....seguramente la APP de ANDROID no funciona LAN-LAN....... hoy llamaré a los del programa a ver qué dicen......aunque me parece absurdo que una APP para dicha tarea, no permita escoger si queremos comunicación LAN-LAN o WAN-LAN...y nos obligue a esta última...

Absurdo desde un punto de vista funcional, pero con sentido comercial......asi crean dependencia de su servidor externo y mantienen control sobre el producto que están implantado.

Vamos que esto es una observación gratuita y sin fundamento por mi parte, ya que para saber si van por ahí los tiros habría que saber exactamente cómo va la aplicación, si es pago único o por cuota, etc. Pero no serían los primeros que crean dependencia de un servidor propio para vender un "servicio" en lugar de un "producto", que es lo que está de moda

Pues podría ser....me han dicho que pagaron por el programa una cantidad y que cada 6 meses se paga una cuota por las actualizaciones.....

https://www.info3.es/gesco3.htm

Este es el programa del WINDOWS

https://play.google.com/store/apps/deta ... l=es&gl=US

y este el que debe ir a la PDA o SMARTPHONE.....

se instala un programa webserver en windows, que representa que enlaza a los 2.

porqué voy a hacer quizá una pregunta "tonta".................... para utilizar el protocolo HTTPS , se puede hacer a nivel interno sin salir a internet no?

lolololito escribió:

Dracot escribió:

lolololito escribió:

Buenos días, gracias por tu aclaración.........debe ser el último punto que indicas....seguramente la APP de ANDROID no funciona LAN-LAN....... hoy llamaré a los del programa a ver qué dicen......aunque me parece absurdo que una APP para dicha tarea, no permita escoger si queremos comunicación LAN-LAN o WAN-LAN...y nos obligue a esta última...

Absurdo desde un punto de vista funcional, pero con sentido comercial......asi crean dependencia de su servidor externo y mantienen control sobre el producto que están implantado.

Vamos que esto es una observación gratuita y sin fundamento por mi parte, ya que para saber si van por ahí los tiros habría que saber exactamente cómo va la aplicación, si es pago único o por cuota, etc. Pero no serían los primeros que crean dependencia de un servidor propio para vender un "servicio" en lugar de un "producto", que es lo que está de moda

Pues podría ser....me han dicho que pagaron por el programa una cantidad y que cada 6 meses se paga una cuota por las actualizaciones.....

https://www.info3.es/gesco3.htm

Este es el programa del WINDOWS

https://play.google.com/store/apps/deta ... l=es&gl=US

y este el que debe ir a la PDA o SMARTPHONE.....

se instala un programa webserver en windows, que representa que enlaza a los 2.

porqué voy a hacer quizá una pregunta "tonta".................... para utilizar el protocolo HTTPS , se puede hacer a nivel interno sin salir a internet no?

Si claro que se puede. Lo que suele ocurrir es que cuando montas un servidor "casero", el certificado que creas para el https, al no estar firmado por ninguna institución o empresa reconocida, provoca que cuando conectes en el cliente pueda salir el típico aviso de "el sitio no e de confianza" y tal. Cosa también evitable instalando a mano el certificado en los clientes que proceda.

Pero a nivel protocolo, si, funciona en lan. Es lo mismo que cuando entras a gestionar el router, estas entrando por https en lan igualmente.

Bueno, al final, hemos puesto internet con un sistema por radio enlace y con el puerto 443 abierto.....y podemos utilizar el WEBSERVER.....(para uso local..... ), pero que hemos visto que ese puerto debe estar abierto porqué así los del programa, comprueban que tenemos la licencia pagada o en caso de querer consultar externamente, utilitza como un redireccionamiento dns hacia el ordenador (typo DynDNS)...(al instante)

El caso es que evidentemente al tener el puerto 443 abierto, el ordenador equipado con ESET ENDPOINT SECURITY (firewall integrado), nos marca que ya ha tenido intentos de aprovechamiento de vulnerabilidad de seguridad (y los ha bloqueado).

Existe alguna manera de poder evitar esos ataques? (como ahora está abierto el puerto, y se puede consultar a nivel local y externo, la directora del centro y en administración quieren consultar desde los teléfonos de vez en cuando como está el stock del material)

Con el firewall del antivirus podemos bloquear cualquier IP que no sea la especificada, y permitir solo la IP local, pero evidentemente desde un teléfono smartphone, no podemos controlar la IP pública de cada una porqué cambia.

Hemos comentado que los teléfonos se conecten por VPN y asignar una IP local y permitir la IP asiganada a los smartphones, pero desde arriba nos comentan que quieren algo más básico...

@lolololito

Bueno al menos aclarado el primer tema, efectivamente había una comunicación WAN-LAN y como hablábamos, no por tema funcional sino de control del producto. Ya te decía que es algo común en las empresas, quieren modelo de Servicio, no de producto que sea tuyo una vez pagado.

Respecto a lo otro, jodido......si no puedes acotar las IPs origen que van a acceder, no se me ocurre cómo parar esa comunicación en el router. Se puede parar en el firewall (de hecho, ya lo hacéis según comentas), pero un router no suele tener opciones tan avanzadas......listas negras o blancas en base a IP y poco más.

Te podría decir de poner un router más avanzado, con openWRT o algún software integrado más potente. Pero es que realmente eso no te mejora el esquema en nada, sería lo mismo que ahora, solo que la función que ahora hace el firewall local, la haría el firewall configurado en el router. A nivel funcional y de seguridad es lo mismo.

Sólo se me ocurre que si son ataques continuos y los tenéis registrados en el log del firewall, lo paséis al ISP a ver si puede hacer algo para mitigarlos en red. Por ejemplo sé que Movistar tiene un grupo llamado Nemesys al que se pueden pasar estas cosas. No sé cómo va en otros ISP.

Sin ánimo de ofender al creador del hilo pero sí con cierta rabia hacia las prácticas de ciertas empresas de software....ADORO la "moda" (ya viene de un tiempo) de vender los programas a empresas para que luego estas se encuentren con que no saben ni cómo instalarlo en sus equipos, como ha sido el caso.

Qué menos que venderte junto con el programa el servicio de instalación no? Cada vez se trabaja menos, ahora te crean un programa genérico que te venden sin ni siquiera comprobar si va a correr en tus equipos.

PD: soy de sistemas, estas cosas me tocan la fibra sensible jajaja.

verdezito escribió:Sin ánimo de ofender al creador del hilo pero sí con cierta rabia hacia las prácticas de ciertas empresas de software....ADORO la "moda" (ya viene de un tiempo) de vender los programas a empresas para que luego estas se encuentren con que no saben ni cómo instalarlo en sus equipos, como ha sido el caso.

Qué menos que venderte junto con el programa el servicio de instalación no? Cada vez se trabaja menos, ahora te crean un programa genérico que te venden sin ni siquiera comprobar si va a correr en tus equipos.

PD: soy de sistemas, estas cosas me tocan la fibra sensible jajaja.

En mi experiencia, en el sector de grandes empresas, no es que se haya dejado de hacer....es que se cobra aparte . Lo que denominan servicio "llave en mano", que viene a ser un eufemismo de " te cobro de más para asegurarte que te lo dejo andando y funcional", lo cual antes, como dices, venía de serie

lolololito escribió:... Existe alguna manera de engañar a ese WEBSERVER para que crea que el puerto 443 está abierto? Total, la APP de ANDROID y el PC van por la misma WIFI del router.

Una de las formas más sencillas de acceder remotamente a un dispositivo sin abrir puertos, ni hacer NAT, ni tocar la configuración de routers, y que funciona de maravilla, es con la red virtual Zerotier.

La configuración podría ser la siguiente:

(1) Creamos en la web ZeroTier una red virtual privada 10.10.10.0/24
(2) Instalamos el servicio ZeroTier en todos los dispositivos, los unimos a esta red virtual privada, y les asignamos una IP dentro de esta red desde la web ZeroTier
(3) Si dominamos ZeroTier podemos implementar rutas de acceso fácil, rápido y cómodo al servidor de esta red, establecer DNSs, configurar servicios multicast, broadcast e ipv6; si no sabemos hacer esto, entonces tampoco pasa nada porque también funcionará
(4) Si al WebServer le asignamos la IP privada 10.10.10.1, esta será la forma más simple de acceder al servidor sin conocer su IP pública

Nota.- En la actualidad la instalación del servicio ZeroTier en un máximo de cincuenta dispositivos es gratuita.

verdezito escribió:Sin ánimo de ofender al creador del hilo pero sí con cierta rabia hacia las prácticas de ciertas empresas de software....ADORO la "moda" (ya viene de un tiempo) de vender los programas a empresas para que luego estas se encuentren con que no saben ni cómo instalarlo en sus equipos, como ha sido el caso.

Qué menos que venderte junto con el programa el servicio de instalación no? Cada vez se trabaja menos, ahora te crean un programa genérico que te venden sin ni siquiera comprobar si va a correr en tus equipos.

PD: soy de sistemas, estas cosas me tocan la fibra sensible jajaja.

Hola, gracias por tu aporte...no me ofende no........y el concepto no es que no sepa instalar el WEBSERVER (que es fácil), o abrir un puerto (que también es fácil)...sino que no entiendo porqué debo abrir un puerto para utilizar un servidor web para uso local......e intentar averiguar si existe algún método que funcione sin necesidad de hacerlo, o en cuyo caso en un router 4G.

Dracot escribió:

verdezito escribió:Sin ánimo de ofender al creador del hilo pero sí con cierta rabia hacia las prácticas de ciertas empresas de software....ADORO la "moda" (ya viene de un tiempo) de vender los programas a empresas para que luego estas se encuentren con que no saben ni cómo instalarlo en sus equipos, como ha sido el caso.

Qué menos que venderte junto con el programa el servicio de instalación no? Cada vez se trabaja menos, ahora te crean un programa genérico que te venden sin ni siquiera comprobar si va a correr en tus equipos.

PD: soy de sistemas, estas cosas me tocan la fibra sensible jajaja.

En mi experiencia, en el sector de grandes empresas, no es que se haya dejado de hacer....es que se cobra aparte . Lo que denominan servicio "llave en mano", que viene a ser un eufemismo de " te cobro de más para asegurarte que te lo dejo andando y funcional", lo cual antes, como dices, venía de serie

Supongo que la competencia hace que se hagan reducciones en precios y servicios (esta peña te cobra 1€ por minuto por llamada telefónica) y que son unos pedazos de bordes que alucinas

ap3188 escribió:

lolololito escribió:... Existe alguna manera de engañar a ese WEBSERVER para que crea que el puerto 443 está abierto? Total, la APP de ANDROID y el PC van por la misma WIFI del router.

Una de las formas más sencillas de acceder remotamente a un dispositivo sin abrir puertos, ni hacer NAT, ni tocar la configuración de routers, y que funciona de maravilla, es con la red virtual Zerotier.

La configuración podría ser la siguiente:

(1) Creamos en la web ZeroTier una red virtual privada 10.10.10.0/24
(2) Instalamos el servicio ZeroTier en todos los dispositivos, los unimos a esta red virtual privada, y les asignamos una IP dentro de esta red desde la web ZeroTier
(3) Si dominamos ZeroTier podemos implementar rutas de acceso fácil, rápido y cómodo al servidor de esta red, establecer DNSs, configurar servicios multicast, broadcast e ipv6; si no sabemos hacer esto, entonces tampoco pasa nada porque también funcionará
(4) Si al WebServer le asignamos la IP privada 10.10.10.1, esta será la forma más simple de acceder al servidor sin conocer su IP pública

Nota.- En la actualidad la instalación del servicio ZeroTier en un máximo de cincuenta dispositivos es gratuita.

Gracias! Hace tiempo que lo tengo en mi lista para probarlo......(actualmente para hacer eso utilizo el HAMACHI que hace lo mismo) o OPENVPN....pero ví esta alternativa y lo puse en mis marcadores para ojear....pero viendo que me lo has "refrescado" lo probaré...)

Supongo que la única opción que me quedará para "proteger" el puerto 443 (sin necesidad de poner un FIREWALL físico/perimetral) , teniendo en cuenta que el FIREWALL de ESET lleva protección IDS, es introducir las ips de todos los paises con subredes, y que solo permita las de España, no?

lolololito escribió:

verdezito escribió:Sin ánimo de ofender al creador del hilo pero sí con cierta rabia hacia las prácticas de ciertas empresas de software....ADORO la "moda" (ya viene de un tiempo) de vender los programas a empresas para que luego estas se encuentren con que no saben ni cómo instalarlo en sus equipos, como ha sido el caso.

Qué menos que venderte junto con el programa el servicio de instalación no? Cada vez se trabaja menos, ahora te crean un programa genérico que te venden sin ni siquiera comprobar si va a correr en tus equipos.

PD: soy de sistemas, estas cosas me tocan la fibra sensible jajaja.

Hola, gracias por tu aporte...no me ofende no........y el concepto no es que no sepa instalar el WEBSERVER (que es fácil), o abrir un puerto (que también es fácil)...sino que no entiendo porqué debo abrir un puerto para utilizar un servidor web para uso local......e intentar averiguar si existe algún método que funcione sin necesidad de hacerlo, o en cuyo caso en un router 4G.

Dracot escribió:

verdezito escribió:Sin ánimo de ofender al creador del hilo pero sí con cierta rabia hacia las prácticas de ciertas empresas de software....ADORO la "moda" (ya viene de un tiempo) de vender los programas a empresas para que luego estas se encuentren con que no saben ni cómo instalarlo en sus equipos, como ha sido el caso.

Qué menos que venderte junto con el programa el servicio de instalación no? Cada vez se trabaja menos, ahora te crean un programa genérico que te venden sin ni siquiera comprobar si va a correr en tus equipos.

PD: soy de sistemas, estas cosas me tocan la fibra sensible jajaja.

En mi experiencia, en el sector de grandes empresas, no es que se haya dejado de hacer....es que se cobra aparte . Lo que denominan servicio "llave en mano", que viene a ser un eufemismo de " te cobro de más para asegurarte que te lo dejo andando y funcional", lo cual antes, como dices, venía de serie

Supongo que la competencia hace que se hagan reducciones en precios y servicios (esta peña te cobra 1€ por minuto por llamada telefónica) y que son unos pedazos de bordes que alucinas

ap3188 escribió:

lolololito escribió:... Existe alguna manera de engañar a ese WEBSERVER para que crea que el puerto 443 está abierto? Total, la APP de ANDROID y el PC van por la misma WIFI del router.

Una de las formas más sencillas de acceder remotamente a un dispositivo sin abrir puertos, ni hacer NAT, ni tocar la configuración de routers, y que funciona de maravilla, es con la red virtual Zerotier.

La configuración podría ser la siguiente:

(1) Creamos en la web ZeroTier una red virtual privada 10.10.10.0/24
(2) Instalamos el servicio ZeroTier en todos los dispositivos, los unimos a esta red virtual privada, y les asignamos una IP dentro de esta red desde la web ZeroTier
(3) Si dominamos ZeroTier podemos implementar rutas de acceso fácil, rápido y cómodo al servidor de esta red, establecer DNSs, configurar servicios multicast, broadcast e ipv6; si no sabemos hacer esto, entonces tampoco pasa nada porque también funcionará
(4) Si al WebServer le asignamos la IP privada 10.10.10.1, esta será la forma más simple de acceder al servidor sin conocer su IP pública

Nota.- En la actualidad la instalación del servicio ZeroTier en un máximo de cincuenta dispositivos es gratuita.

Gracias! Hace tiempo que lo tengo en mi lista para probarlo......(actualmente para hacer eso utilizo el HAMACHI que hace lo mismo) o OPENVPN....pero ví esta alternativa y lo puse en mis marcadores para ojear....pero viendo que me lo has "refrescado" lo probaré...)

Supongo que la única opción que me quedará para "proteger" el puerto 443 (sin necesidad de poner un FIREWALL físico/perimetral) , teniendo en cuenta que el FIREWALL de ESET lleva protección IDS, es introducir las ips de todos los paises con subredes, y que solo permita las de España, no?

La opción de zerotier no cumple los requisitos que establecias post atrás. Ni el proveedor del software va a poder conectar al servidor, ni va a evitar que los móviles tengan que entrar primero a la red privada. Simplemente entrarían a la red zerotier en vez de a la VPN. En resumen, aunque zerotier, o cualquier SDN, tiene ventajas sobre una VPN, a efectos de tu problemática es exactamente lo mismo usar SDN que VPN salvo en la parte de hacer reglas NAT explícitas en el router.

Aparte de que como ya comenté en otro hilo en el que salió el tema, toda comunicación desde el exterior "abre" puertos. Cierto es que una SDN como zerotier no va a abrir los típicos que se atacan, ni los abre de forma explícita porque lo hace mediante NAT punch hole, lo cual es mucho más seguro que la apertura explícita o por UPNP, porque permitirá los paquetes entrantes en base al destino del saliente, así que un ataque tendría que llevar asociada suplantación de IP que ya no es tan sencilla en internet. Sólo lo digo por dejar claro que quien crea que en una red así no hay puertos de internet mapeados a máquinas locales, se engaña.

En cuanto a lo de los rangos de IP de España.......el problema es que esa lista no es estática. Con la escasez de IPv4, los ISP cada 2x3 compran rangos de IP pública de un sitio a otro. Hacer eso conllevaria tener que andar actualizando esa lista. Otra cosa sería tener un firewall que pueda hacer listas de accesos por geografía de la IP consulta do a algún servicio que la geolocalice.

Dracot escribió:

lolololito escribió:

verdezito escribió:Sin ánimo de ofender al creador del hilo pero sí con cierta rabia hacia las prácticas de ciertas empresas de software....ADORO la "moda" (ya viene de un tiempo) de vender los programas a empresas para que luego estas se encuentren con que no saben ni cómo instalarlo en sus equipos, como ha sido el caso.

Qué menos que venderte junto con el programa el servicio de instalación no? Cada vez se trabaja menos, ahora te crean un programa genérico que te venden sin ni siquiera comprobar si va a correr en tus equipos.

PD: soy de sistemas, estas cosas me tocan la fibra sensible jajaja.

Hola, gracias por tu aporte...no me ofende no........y el concepto no es que no sepa instalar el WEBSERVER (que es fácil), o abrir un puerto (que también es fácil)...sino que no entiendo porqué debo abrir un puerto para utilizar un servidor web para uso local......e intentar averiguar si existe algún método que funcione sin necesidad de hacerlo, o en cuyo caso en un router 4G.

Dracot escribió:En mi experiencia, en el sector de grandes empresas, no es que se haya dejado de hacer....es que se cobra aparte . Lo que denominan servicio "llave en mano", que viene a ser un eufemismo de " te cobro de más para asegurarte que te lo dejo andando y funcional", lo cual antes, como dices, venía de serie

Supongo que la competencia hace que se hagan reducciones en precios y servicios (esta peña te cobra 1€ por minuto por llamada telefónica) y que son unos pedazos de bordes que alucinas

ap3188 escribió:
Una de las formas más sencillas de acceder remotamente a un dispositivo sin abrir puertos, ni hacer NAT, ni tocar la configuración de routers, y que funciona de maravilla, es con la red virtual Zerotier.

La configuración podría ser la siguiente:

(1) Creamos en la web ZeroTier una red virtual privada 10.10.10.0/24
(2) Instalamos el servicio ZeroTier en todos los dispositivos, los unimos a esta red virtual privada, y les asignamos una IP dentro de esta red desde la web ZeroTier
(3) Si dominamos ZeroTier podemos implementar rutas de acceso fácil, rápido y cómodo al servidor de esta red, establecer DNSs, configurar servicios multicast, broadcast e ipv6; si no sabemos hacer esto, entonces tampoco pasa nada porque también funcionará
(4) Si al WebServer le asignamos la IP privada 10.10.10.1, esta será la forma más simple de acceder al servidor sin conocer su IP pública

Nota.- En la actualidad la instalación del servicio ZeroTier en un máximo de cincuenta dispositivos es gratuita.

Gracias! Hace tiempo que lo tengo en mi lista para probarlo......(actualmente para hacer eso utilizo el HAMACHI que hace lo mismo) o OPENVPN....pero ví esta alternativa y lo puse en mis marcadores para ojear....pero viendo que me lo has "refrescado" lo probaré...)

Supongo que la única opción que me quedará para "proteger" el puerto 443 (sin necesidad de poner un FIREWALL físico/perimetral) , teniendo en cuenta que el FIREWALL de ESET lleva protección IDS, es introducir las ips de todos los paises con subredes, y que solo permita las de España, no?

La opción de zerotier no cumple los requisitos que establecias post atrás. Ni el proveedor del software va a poder conectar al servidor, ni va a evitar que los móviles tengan que entrar primero a la red privada. Simplemente entrarían a la red zerotier en vez de a la VPN. En resumen, aunque zerotier, o cualquier SDN, tiene ventajas sobre una VPN, a efectos de tu problemática es exactamente lo mismo usar SDN que VPN salvo en la parte de hacer reglas NAT explícitas en el router.

Aparte de que como ya comenté en otro hilo en el que salió el tema, toda comunicación desde el exterior "abre" puertos. Cierto es que una SDN como zerotier no va a abrir los típicos que se atacan, ni los abre de forma explícita porque lo hace mediante NAT punch hole, lo cual es mucho más seguro que la apertura explícita o por UPNP, porque permitirá los paquetes entrantes en base al destino del saliente, así que un ataque tendría que llevar asociada suplantación de IP que ya no es tan sencilla en internet. Sólo lo digo por dejar claro que quien crea que en una red así no hay puertos de internet mapeados a máquinas locales, se engaña.

En cuanto a lo de los rangos de IP de España.......el problema es que esa lista no es estática. Con la escasez de IPv4, los ISP cada 2x3 compran rangos de IP pública de un sitio a otro. Hacer eso conllevaria tener que andar actualizando esa lista. Otra cosa sería tener un firewall que pueda hacer listas de accesos por geografía de la IP consulta do a algún servicio que la geolocalice.

Buenos días, tienes razón (y gracias por tu dedicación) ....y lo de las IPs a nivel mundial me lo estuve mirando ayer y lo que tú dices.... Y lo de las SDN también tienes razón, no me soluciona el tema (aunque me gusta saber que existe ) Sabes de algún FIREWALL por hardware o software que haga lo de la consulta de listas actualizadas ? el problema es el presupuesto (que nos tienen muy collados ) Quizá PFSENSE lo permita? y si lo instalo virtualizado y configurado en la misma máquina, ahorro en costes (e invierto sólo en tiempo)

El antivirus en la propia máquina ya bloquea todos los intentos (pero me molesta ver que en 24 horas ha habido 11 intentos (y todos del mismo rango IP...192.241.x.x, que según internet pertenece a la operadora americana DIGITALOCEAN LLC), aunque quizá originalmente no sea desde ahí...

lolololito escribió:

Dracot escribió:

lolololito escribió:
Hola, gracias por tu aporte...no me ofende no........y el concepto no es que no sepa instalar el WEBSERVER (que es fácil), o abrir un puerto (que también es fácil)...sino que no entiendo porqué debo abrir un puerto para utilizar un servidor web para uso local......e intentar averiguar si existe algún método que funcione sin necesidad de hacerlo, o en cuyo caso en un router 4G.



Supongo que la competencia hace que se hagan reducciones en precios y servicios (esta peña te cobra 1€ por minuto por llamada telefónica) y que son unos pedazos de bordes que alucinas



Gracias! Hace tiempo que lo tengo en mi lista para probarlo......(actualmente para hacer eso utilizo el HAMACHI que hace lo mismo) o OPENVPN....pero ví esta alternativa y lo puse en mis marcadores para ojear....pero viendo que me lo has "refrescado" lo probaré...)

Supongo que la única opción que me quedará para "proteger" el puerto 443 (sin necesidad de poner un FIREWALL físico/perimetral) , teniendo en cuenta que el FIREWALL de ESET lleva protección IDS, es introducir las ips de todos los paises con subredes, y que solo permita las de España, no?

La opción de zerotier no cumple los requisitos que establecias post atrás. Ni el proveedor del software va a poder conectar al servidor, ni va a evitar que los móviles tengan que entrar primero a la red privada. Simplemente entrarían a la red zerotier en vez de a la VPN. En resumen, aunque zerotier, o cualquier SDN, tiene ventajas sobre una VPN, a efectos de tu problemática es exactamente lo mismo usar SDN que VPN salvo en la parte de hacer reglas NAT explícitas en el router.

Aparte de que como ya comenté en otro hilo en el que salió el tema, toda comunicación desde el exterior "abre" puertos. Cierto es que una SDN como zerotier no va a abrir los típicos que se atacan, ni los abre de forma explícita porque lo hace mediante NAT punch hole, lo cual es mucho más seguro que la apertura explícita o por UPNP, porque permitirá los paquetes entrantes en base al destino del saliente, así que un ataque tendría que llevar asociada suplantación de IP que ya no es tan sencilla en internet. Sólo lo digo por dejar claro que quien crea que en una red así no hay puertos de internet mapeados a máquinas locales, se engaña.

En cuanto a lo de los rangos de IP de España.......el problema es que esa lista no es estática. Con la escasez de IPv4, los ISP cada 2x3 compran rangos de IP pública de un sitio a otro. Hacer eso conllevaria tener que andar actualizando esa lista. Otra cosa sería tener un firewall que pueda hacer listas de accesos por geografía de la IP consulta do a algún servicio que la geolocalice.

Buenos días, tienes razón (y gracias por tu dedicación) ....y lo de las IPs a nivel mundial me lo estuve mirando ayer y lo que tú dices.... Y lo de las SDN también tienes razón, no me soluciona el tema (aunque me gusta saber que existe ) Sabes de algún FIREWALL por hardware o software que haga lo de la consulta de listas actualizadas ? el problema es el presupuesto (que nos tienen muy collados ) Quizá PFSENSE lo permita? y si lo instalo virtualizado y configurado en la misma máquina, ahorro en costes (e invierto sólo en tiempo)

El antivirus en la propia máquina ya bloquea todos los intentos (pero me molesta ver que en 24 horas ha habido 11 intentos (y todos del mismo rango IP...192.241.x.x, que según internet pertenece a la operadora americana DIGITALOCEAN LLC), aunque quizá originalmente no sea desde ahí...

Lo siento pero en firewall, aunque tengo formación básica para los típicos de empresa (fortinet, paloalto, ASA...) ni es a lo que me dedico ni soy experto. En esa parte seguro que algún otro forero te puede ayudar más, sobre todo en soluciones gratuitas, que yo te iba a poder decir lo que encuentre por Google......

Para el nivel 3 LAN no existe el concepto de puerto, eso va en capa de transporte TCP si no recuerdo mal. Saludos

alextgd escribió:Para el nivel 3 LAN no existe el concepto de puerto, eso va en capa de transporte TCP si no recuerdo mal. Saludos

Toda comunicación "útil" entre dos equipos usa el concepto de puerto, la capa 4. Porque todo va sobre TCP o UDP. La única excepción a esto (sin meternos en cosas raras de comunicaciones industriales, o en protocolos muy antiguos, donde habría más excepciones) sería el ICMP (ping y alguna cosilla más) o protocolos puros de capa 2 (como WoL o DHCP).

Lo que no existe en LAN es el concepto de hacer NAT en el router, no pasas por las reglas de NAT que hayas configurado. Pero si desde tu PC accedes en la misma LAN a otro, por supuesto que usas la capa 4 ....y la 5, 6 y 7. Si accedes en LAN desde un PC a un webserver https, estás lanzando un paquete TCP por puerto 443, por muy en LAN que estés

Dracot escribió:

alextgd escribió:Para el nivel 3 LAN no existe el concepto de puerto, eso va en capa de transporte TCP si no recuerdo mal. Saludos

Toda comunicación "útil" entre dos equipos usa el concepto de puerto, la capa 4. Porque todo va sobre TCP o UDP. La única excepción a esto (sin meternos en cosas raras de comunicaciones industriales, o en protocolos muy antiguos, donde habría más excepciones) sería el ICMP (ping y alguna cosilla más) o protocolos puros de capa 2 (como WoL o DHCP).

Lo que no existe en LAN es el concepto de hacer NAT en el router, no pasas por las reglas de NAT que hayas configurado. Pero si desde tu PC accedes en la misma LAN a otro, por supuesto que usas la capa 4 ....y la 5, 6 y 7. Si accedes en LAN desde un PC a un webserver https, estás lanzando un paquete TCP por puerto 443, por muy en LAN que estés

Sí, que me explicao como el culo, quería decir que para acceder a un puerto443 en local no hay que abrir nada, o está escuchando o no. Y si está escuchando, y ademas en uso, puede que permita mas conexiones o puede que no. Saludos

alextgd escribió:

Dracot escribió:

alextgd escribió:Para el nivel 3 LAN no existe el concepto de puerto, eso va en capa de transporte TCP si no recuerdo mal. Saludos

Toda comunicación "útil" entre dos equipos usa el concepto de puerto, la capa 4. Porque todo va sobre TCP o UDP. La única excepción a esto (sin meternos en cosas raras de comunicaciones industriales, o en protocolos muy antiguos, donde habría más excepciones) sería el ICMP (ping y alguna cosilla más) o protocolos puros de capa 2 (como WoL o DHCP).

Lo que no existe en LAN es el concepto de hacer NAT en el router, no pasas por las reglas de NAT que hayas configurado. Pero si desde tu PC accedes en la misma LAN a otro, por supuesto que usas la capa 4 ....y la 5, 6 y 7. Si accedes en LAN desde un PC a un webserver https, estás lanzando un paquete TCP por puerto 443, por muy en LAN que estés

Sí, que me explicao como el culo, quería decir que para acceder a un puerto443 en local no hay que abrir nada, o está escuchando o no. Y si está escuchando, y ademas en uso, puede que permita mas conexiones o puede que no. Saludos

Así sí

Por aquí leo demasiada teoría que no sirve para solucionar el problema de acceso a un dispositivo conectado en red móvil. Repito, la solución es ZeroTier que además es muy flexible y permite conectar el WebServer a tantas redes virtuales como empresas de gestión y mantenimiento lo necesiten, sin compremeter la seguridad de las demás. Obviamente el administrador de la redes debe ser único. Además ZeroTier dispone de implementaciones para casi cualquier sistema operativo: Android, Windows, MacOS, Linux, ..., yo en particular, soy adicto a los servicios docker zerotier para x86_64 y armv7. Mi opinión sobre ZeroTier es que es la red VPN más fiable que conozco y la uso habitualmente de forma conjunta con WireGuard porque es la más rápida. OpenVPN también la uso pero muy poco debido a su lentitud. ZeroTier me ha salvado muchas veces de perder el control de dispositivos remotos desatendidos que habitualmente configuro con SSH/SFTP y VNC.

ap3188 escribió:Por aquí leo demasiada teoría que no sirve para solucionar el problema de acceso a un dispositivo conectado en red móvil. Repito, la solución es ZeroTier que además es muy flexible y permite conectar el WebServer a tantas redes virtuales como empresas de gestión y mantenimiento lo necesiten, sin compremeter la seguridad de las demás. Obviamente el administrador de la redes debe ser único. Además ZeroTier dispone de implementaciones para casi cualquier sistema operativo: Android, Windows, MacOS, Linux, ..., yo en particular, soy adicto a los servicios docker zerotier para x86_64 y armv7. Mi opinión sobre ZeroTier es que es la red VPN más fiable que conozco y la uso habitualmente de forma conjunta con WireGuard porque es la más rápida. OpenVPN también la uso pero muy poco debido a su lentitud. ZeroTier me ha salvado muchas veces de perder el control de dispositivos remotos desatendidos que habitualmente configuro con SSH/SFTP y VNC.

Que sí, para tú caso de uso zerotier será la séptima maravilla, pero si te paras a leer los requisitos del OP, no cumple lo que necesita. Que sea una conexión móvil no afecta porque ya le funciona, no pasa por cg-nat, solo quiere añadir securizacion. Pero su jefa no quiere tener que incluir el dispositivo móvil en ninguna red virtual, sdn ni similar. Si ese requisito no existiera, él mismo ha dicho que ya tiene una VPN a la que podrían conectar.

En cuanto a lo que teoricemos aparte, mientras ni el OP ni moderación nos acuse o sancione por off-topic, para eso está el foro, para que nazca el debate y aprendamos unos de otros. Si te molesta o aburre metenos a ignorados. Yo igual me lo planteo para no tener que leer "zerotier" cada vez que alguien pregunta lo que sea sobre redes, que parece que vayas a comisión.

Dracot escribió:

ap3188 escribió:Por aquí leo demasiada teoría que no sirve para solucionar el problema de acceso a un dispositivo conectado en red móvil. Repito, la solución es ZeroTier que además es muy flexible y permite conectar el WebServer a tantas redes virtuales como empresas de gestión y mantenimiento lo necesiten, sin compremeter la seguridad de las demás. Obviamente el administrador de la redes debe ser único. Además ZeroTier dispone de implementaciones para casi cualquier sistema operativo: Android, Windows, MacOS, Linux, ..., yo en particular, soy adicto a los servicios docker zerotier para x86_64 y armv7. Mi opinión sobre ZeroTier es que es la red VPN más fiable que conozco y la uso habitualmente de forma conjunta con WireGuard porque es la más rápida. OpenVPN también la uso pero muy poco debido a su lentitud. ZeroTier me ha salvado muchas veces de perder el control de dispositivos remotos desatendidos que habitualmente configuro con SSH/SFTP y VNC.

Que sí, para tú caso de uso zerotier será la séptima maravilla, pero si te paras a leer los requisitos del OP, no cumple lo que necesita. Que sea una conexión móvil no afecta porque ya le funciona, no pasa por cg-nat, solo quiere añadir securizacion. Pero su jefa no quiere tener que incluir el dispositivo móvil en ninguna red virtual, sdn ni similar. Si ese requisito no existiera, él mismo ha dicho que ya tiene una VPN a la que podrían conectar.

En cuanto a lo que teoricemos aparte, mientras ni el OP ni moderación nos acuse o sancione por off-topic, para eso está el foro, para que nazca el debate y aprendamos unos de otros. Si te molesta o aburre metenos a ignorados. Yo igual me lo planteo para no tener que leer "zerotier" cada vez que alguien pregunta lo que sea sobre redes, que parece que vayas a comisión.

Tienes razón, no me soluciona el problema......(aunque me parece interesante el ZEROTIER )........

Al final hemos comprobado que una vez activado el WEBSERVER, y funcionando el sistema de control de stock a nivel LOCAL LAN..........hemos cerrado el puerto 443 y para nuestra sorpresa, el programa ha seguido funcionando (curioso no? no acabamos de entender el porqué se necesita un puerto abierto, aún el proveedor diciendo que es imprescindible tenerlo abierto)...................tenemos que acabar de hacer algunas pruebas más para comprobar dónde radica el problema al cerrarlo......porqué nos parece curioso

Hemos hablado con la persona de arriba y ya le hemos dicho que o accede por LAN cuando esté en el centro, o si quiere hacerlo desde fuera, por VPN, y listo (ha decidido no tenerlo ella , qué mareo)

@lolololito

Supongo que el software tendrá una verificación diaria, o semanal, o mensual.....si tenéis la suerte de que sea única, os funcionará para siempre con ese puerto cerrado. Si no, pues cuando te falle sabrás la periodicidad con la que se verifica