Tutoriales completos sobre redes y routers para mejorar tu seguridad

Inicio » Windows » Tutoriales completos sobre redes y routers para mejorar tu seguridad

Las redes domésticas y los routers se han convertido en el centro de nuestra vida digital: trabajo, ocio, juegos online, domótica… todo pasa por ese pequeño aparato que suele estar en el salón o en el pasillo. Lo que mucha gente no tiene tan interiorizado es que ese router doméstico es también una puerta de entrada muy jugosa para ciberdelincuentes, que pueden intentar aprovechar cualquier fallo para colarse en tu red.

Más allá de navegar rápido, es fundamental entender cómo funcionan los routers, qué papel juegan en la red, cómo se abren puertos, qué es un firewall y por qué algunas marcas han empezado a integrar sistemas de protección avanzados. Conocer cuatro conceptos clave de redes y routers marca la diferencia entre tener una conexión segura o dejar tu casa digital abierta de par en par.

Por qué los routers domésticos son un objetivo tan atractivo

Los routers que entregan las operadoras de Internet suelen ser dispositivos bastante básicos, pensados para que cualquiera pueda conectarse sin complicaciones. El problema es que esa simplicidad muchas veces implica menos opciones de seguridad y configuraciones por defecto poco robustas, algo que los atacantes conocen muy bien.

Un ciberdelincuente no solo puede intentar vulnerar el router para espiar lo que haces en la red interna, sino que además puede convertir tu router en parte de una botnet. Estas redes de dispositivos comprometidos se utilizan después para lanzar ataques masivos de denegación de servicio (DDoS) contra servidores o servicios concretos, sin que el propietario del router tenga la menor idea de lo que está pasando.

Los routers de operador suelen tener firmware limitado, contraseñas por defecto poco seguras y, en muchos casos, carecen de funciones avanzadas de protección frente a malware o ataques de fuerza bruta. Todo esto incrementa el riesgo de que alguien consiga acceso no autorizado, robe información sensible o incluso termine provocando pérdidas económicas y de datos.

En los últimos años algunos fabricantes han reaccionado incorporando una capa de seguridad adicional directamente en el propio router, de forma que todos los dispositivos que se conectan por cable o Wi-Fi se beneficien de esa protección, sin necesidad de instalar nada en cada equipo. Aunque esto no sustituye a un buen antivirus en el PC, sí añade un escudo muy interesante a nivel de red.

Routers con antivirus integrado: AiProtection, HomeShield y Armor

Actualmente destacan tres grandes fabricantes que han apostado por incluir servicios de seguridad tipo “antivirus de red” directamente en sus routers: ASUS, TP-Link y NETGEAR. Cada uno lo llama de una forma, pero la idea de fondo es muy similar: filtrar amenazas y actividades sospechosas antes de que lleguen a tus dispositivos.

ASUS incorpora en muchos de sus modelos la solución llamada AiProtection, desarrollada en colaboración con empresas especializadas en ciberseguridad. Esta función permite bloquear sitios web maliciosos, detectar dispositivos infectados dentro de tu red y evitar que se comuniquen con servidores de control externos, además de ofrecer controles parentales y otras opciones de protección.

TP-Link, por su parte, ofrece su servicio HomeShield, que también añade filtrado de contenido, defensa frente a ataques comunes, análisis de seguridad de la red y controles parentales. Dependiendo del router, algunas de estas características vienen incluidas y otras requieren suscripción para funciones más avanzadas.

NETGEAR ha apostado por Armor, una solución de seguridad que pretende actuar como escudo global para todos los dispositivos conectados al router. Su enfoque suele incluir protección frente a malware, análisis de tráfico sospechoso, bloqueo de webs peligrosas y notificaciones cuando se detecta alguna vulnerabilidad importante en la red.

Estas medidas son una gran ayuda, pero conviene insistir en algo: tener AiProtection, HomeShield o Armor no exime de instalar y mantener actualizado un antivirus en ordenadores y dispositivos. Son capas que se suman unas a otras para complicarle la vida al atacante, pero ninguna por sí sola garantiza protección absoluta.

Interfaces del router: LAN, WLAN e Internet (WAN)

Para entender cómo proteger tu red y por qué configurar bien el router es tan importante, primero hay que tener claros los distintos “lados” por los que se conecta. Un router doméstico típico trabaja con varias interfaces: LAN, WLAN y WAN, cada una con su función concreta.

La interfaz LAN es la parte de red local cableada. Son los puertos Ethernet donde enchufas ordenadores de sobremesa, consolas, televisiones inteligentes u otros equipos usando cables de red. Todos estos dispositivos comparten un rango de direcciones IP privadas (normalmente 192.168.x.x) y se comunican entre sí a alta velocidad dentro de tu casa.

La interfaz WLAN es, en la práctica, la red Wi-Fi. Funciona como una extensión inalámbrica de la LAN: tablets, móviles, portátiles y otros aparatos se conectan sin cables, pero siguen formando parte de esa red local doméstica con direcciones IP privadas y acceso entre ellos, salvo que el router tenga activado un aislamiento especial entre clientes Wi-Fi.

Por último está la interfaz WAN, que es la que enlaza tu red con Internet. Normalmente se asocia a un puerto específico rotulado como WAN o Internet, y es ahí donde llega la conexión de la operadora. Esta interfaz suele tener asociada la dirección IP pública con la que “sales” a Internet, ya sea fija o dinámica, y es la que utiliza tu router para comunicarse con el exterior.

Una táctica sencilla para mejorar un poco tu privacidad en la red es bloquear las respuestas a las peticiones ICMP (ping) desde Internet. Si el router no responde al clásico “ping” que alguien pueda enviar a tu IP pública, resulta algo más difícil identificar tu equipo como un objetivo activo. No es infalible, porque siempre se puede hacer un escaneo de puertos más profundo, pero añade una pequeña capa de discreción.

Curso de redes: fundamentos que deberías dominar

Para quien quiera ir un paso más allá, hacerse un buen curso de redes es una excelente inversión. Entender bien cómo fluye la información, qué protocolos entran en juego y cómo se organizan las direcciones IP te permite configurar y asegurar tu propio entorno con mucha más soltura, y de paso te abre la puerta a trabajar profesionalmente en este ámbito.

En un curso de este tipo se empieza normalmente por los principios fundamentales de la conectividad: qué es una red de datos, cómo se clasifican (LAN, MAN, WAN…), qué componentes básicos la forman (routers, switches, puntos de acceso, cables, tarjetas de red, etc.) y cómo se comunican entre sí.

Otro bloque clave son los modelos de referencia, especialmente el modelo OSI y el modelo TCP/IP. El primero divide la comunicación en siete capas (física, enlace, red, transporte, sesión, presentación y aplicación), mientras que el segundo, más práctico y usado en Internet, se articula en cuatro capas. Conocer estas capas ayuda a diagnosticar problemas (por ejemplo, saber si un fallo es físico, de direccionamiento IP o de aplicación).

También se profundiza en el direccionamiento IP y el concepto de subredes. Aprender a distinguir entre IPv4 e IPv6, saber qué es una máscara de red, cómo se divide un rango de IP en subredes más pequeñas (subnetting) y por qué esto es útil para gestionar redes medianas y grandes es vital para cualquier administrador de sistemas o técnico de soporte.

Una parte muy práctica es la que se dedica a identificar y configurar dispositivos de red básicos como routers y switches. Aquí se ven temas como asignación de IP, rutas estáticas, DHCP, configuración de VLANs, seguridad de puertos, administración remota y otros conceptos similares, con especial atención a que la red funcione correctamente y de forma estable.

Por último, en un curso completo no puede faltar un bloque dedicado a medidas de seguridad fundamentales para proteger la infraestructura de red. Esto incluye la configuración de firewalls, filtrado de tráfico, listas de control de acceso (ACL), detección de amenazas externas e internas y un uso adecuado de herramientas como los cortafuegos perimetrales o personales.

Objetivos que se suelen alcanzar al formarte en redes

Al terminar una formación seria en redes, lo normal es que seas capaz de entender a fondo cómo está construida y organizada una red de datos, desde la capa física hasta las aplicaciones. Sabes qué tipo de topologías se utilizan, qué dispositivos intervienen y cómo encaja todo para que un mensaje viaje de un punto a otro.

También deberías dominar la aplicación práctica de los modelos OSI y TCP/IP en redes locales y globales. Eso implica comprender cómo funciona Internet por debajo, cómo se encamina la información entre redes distintas, qué papel juegan los routers y qué protocolos intervienen en cada salto desde tu casa hasta un servidor remoto.

En el plano del direccionamiento, un profesional de redes en formación aprende a trabajar con IPv4, IPv6 y técnicas de subnetting. Ser capaz de diseñar rangos de IP eficientes, evitar solapamientos, planificar subredes por departamentos o edificios y resolver conflictos de direcciones es una de las habilidades más prácticas del día a día.

Por supuesto, también se adquiere soltura en la identificación y configuración de routers, switches y otros equipos de red, asegurándose de que su comportamiento sea el esperado. Eso incluye tanto el plano funcional (que haya conexión y buen rendimiento) como el plano de seguridad (evitar accesos no autorizados, proteger la administración, segmentar tráfico sensible, etc.).

El último gran objetivo es aprender a defender la red frente a amenazas internas y externas. Aquí entran en juego firewalls, reglas de filtrado, políticas de seguridad, segmentación de la red, monitorización de eventos sospechosos y utilización de herramientas de análisis para detectar comportamientos anómalos en el tráfico.

Configurar IP fija en tu PC antes de abrir puertos

Cuando quieres abrir puertos en tu router para que una aplicación reciba conexiones desde Internet (por ejemplo, un programa P2P o un servidor de juegos), el primer paso imprescindible es asignar una dirección IP fija dentro de tu red local al equipo en cuestión. De lo contrario, si el router cambia la IP del PC por DHCP, las reglas de puertos dejarán de apuntar al lugar correcto.

Imagina el típico router FTTH proporcionado por una operadora. Supongamos que decides establecer al ordenador la IP 192.168.1.2. En versiones antiguas de Windows, como Windows XP, el procedimiento para poner una IP manual era más o menos así: acceder al menú Inicio, entrar en Accesorios, después en Comunicaciones y, desde ahí, abrir la sección de Conexiones de red para ver los adaptadores disponibles.

Una vez localizas la conexión de red que utilizas (normalmente “Conexión de área local” para cable o un nombre similar para Wi-Fi), se accede a sus propiedades usando el botón derecho del ratón. En la lista de componentes, se busca el Protocolo de Internet (TCP/IP), se hace doble clic y se pasa de la obtención automática de IP (por DHCP) a la configuración manual.

En esa ventana se introducen los datos de forma estática: dirección IP (por ejemplo, 192.168.1.2), máscara de subred (habitualmente 255.255.255.0 en redes domésticas) y puerta de enlace predeterminada (la IP del router, que suele ser 192.168.1.1). Además, se añaden los servidores DNS que se quieran utilizar, ya sea los proporcionados por la operadora o unos alternativos como los de Google o Cloudflare.

Con esto, el PC queda con una IP fija dentro del rango de la red local y el router sabrá siempre que para esa dirección en concreto debe reenviar el tráfico de determinados puertos, algo imprescindible cuando se configura la redirección de puertos (port forwarding).

Acceso al router y apertura de puertos con NAT

Una vez que el equipo tiene su IP local fija correctamente configurada, el siguiente paso es entrar en la interfaz web del router para poder crear las reglas de puertos. Para ello, se abre el navegador y se escribe en la barra de direcciones la puerta de enlace del router, que normalmente será algo como https://192.168.1.1, aunque puede variar según el modelo y la operadora.

El router pedirá un usuario y una contraseña de administración. Tras introducir las credenciales, se accede al menú principal, donde suele haber secciones dedicadas a la red local, Wi-Fi, seguridad y configuración avanzada. En este tipo de routers FTTH es frecuente encontrar un apartado llamado Network, desde donde se administra todo lo relacionado con la conexión a Internet y el direccionamiento.

Dentro de ese menú de red se localiza la parte de NAT (Network Address Translation), que es la funcionalidad que permite traducir las direcciones privadas de la LAN hacia la IP pública de la WAN. En esta sección se encuentra la opción de Port Forwarding o redirección de puertos, donde se pueden crear reglas específicas para determinados servicios.

En algunos modelos, la configuración de NAT ofrece varios modos; por ejemplo, puede aparecer una opción llamada SUA Only que se selecciona para utilizar un único conjunto de reglas de redirección asociadas a la IP pública del router. Tras elegir este modo, se guarda la configuración con el botón “apply” o similar para aplicar los cambios.

A continuación, se pasa a la pantalla en la que se definen los puertos concretos que se quiere abrir. En el campo Service Name suele haber un desplegable con servicios predefinidos (HTTP, FTP, etc.), pero si necesitas algo específico como un programa P2P, juego online o aplicación concreta, lo normal es elegir la opción de tipo User Define para crear una entrada personalizada.

En la regla personalizada, lo primero es activar la casilla que indica que el servicio está habilitado. Después se rellenan los campos de puertos: Start Port para el puerto inicial del rango y End Port para el puerto final. Si solo quieres abrir un puerto concreto, se introduce el mismo número en ambos campos para que el rango sea de un solo puerto.

En el apartado Server IP Address se escribe la IP del equipo al que se deben dirigir las conexiones entrantes en esos puertos. En el ejemplo anterior sería 192.168.1.2, que es la dirección fija que se ha asignado manualmente al PC desde la configuración TCP/IP de Windows. Una vez completados todos los campos, se guarda la regla con el botón «apply» para que quede activa.

Configuración del firewall del router para proteger la red

Además de abrir puertos, es importante tener bien ajustado el firewall integrado en el router, que actúa como una primera línea de defensa frente a intentos de acceso no autorizados desde Internet. Muchos routers FTTH incorporan un cortafuegos con reglas configurables que permiten definir qué tipo de tráfico está permitido y cuál se bloquea.

Para acceder a la configuración del firewall, se suele entrar en la sección Security del menú principal y, dentro de ella, elegir la opción Firewall. Allí aparece normalmente una pestaña llamada General en la que se activa o desactiva la protección básica del cortafuegos mediante una casilla como «Active Firewall» o similar, que conviene marcar para que el sistema de filtrado esté realmente funcionando.

Una vez activado, el siguiente paso es ir a la pestaña de Rules o reglas, donde se pueden crear entradas específicas para determinados servicios. Por ejemplo, si utilizas un programa P2P como eMule, es habitual que necesite puertos entrantes abiertos para funcionar bien y obtener una “ID alta”; si el firewall no lo permite, el programa funcionará pero de forma bastante limitada.

En la creación de una nueva regla, uno de los parámetros clave es la dirección del tráfico (Packet Direction). Para aplicaciones que reciben conexiones desde Internet hacia un equipo concreto de la red local, se suele elegir la opción WAN to LAN, indicando que los paquetes que vienen de la red externa deben poder entrar hacia la red interna bajo ciertas condiciones.

Al añadir una nueva regla, se marca primero la casilla Active para que esa regla esté habilitada. Después se define la acción que se va a aplicar a los paquetes que coincidan con la regla, por ejemplo Action for Matched Packets: Permit para permitir ese tráfico. El objetivo es que únicamente el tráfico que cumpla estos criterios sea aceptado, mientras que el resto se mantiene filtrado.

Se configuran también los apartados relacionados con las direcciones de origen y destino. En el Source Address List suele dejarse la opción Any si se quiere aceptar conexiones entrantes desde cualquier IP de Internet, aunque en entornos más estrictos se podrían limitar a rangos concretos. En el menú Address Type se puede indicar si se trata de una única dirección, un rango, etc.

Para la parte de destino, en Destination Address List se especifica normalmente la IP local del equipo que debe recibir el tráfico autorizado por la regla, sustituyendo la opción Any por la dirección fija configurada en el PC. De este modo, el firewall reconoce que las conexiones a ciertos puertos deben dirigirse a ese dispositivo interno.

En la sección de servicios aparece una lista bajo Available Services, donde se pueden escoger protocolos y puertos ya predefinidos. Si el servicio concreto (por ejemplo, el de eMule) no se encuentra en la lista, es necesario crear uno nuevo personalizado. Además, en Selected Services es recomendable eliminar las entradas genéricas como Any TCP o Any UDP para no dejar un filtro demasiado abierto, manteniendo solo el servicio específico que nos interesa.

Para crear un servicio personalizado se entra en la opción Edit Customized Services y se elige uno de los índices disponibles (por ejemplo, la posición 1). Dentro de esa pantalla se definen el nombre del servicio, el protocolo (TCP, UDP o ambos) y el o los puertos que se utilizarán. Una vez guardado, este nuevo servicio aparecerá en la lista de Available Services para poder ser asociado a la regla del firewall.

Después se selecciona el servicio recién creado (por ejemplo, EMULE) en Available Services, se pulsa el botón «Add» para moverlo a Selected Services y se aplica la configuración con «Apply». Si vuelven a aparecer Any TCP o Any UDP en la lista de seleccionados, se deben borrar de nuevo para que quede únicamente el servicio concreto configurado.

El resultado final será una regla específica en el firewall que permite el tráfico entrante desde WAN hacia LAN para los puertos definidos, hacia la IP local del equipo correspondiente. De esta forma se mantiene la protección general del cortafuegos, pero sin bloquear las aplicaciones que necesitan conexiones entrantes para rendir al máximo.

Ajustes de aplicaciones P2P como eMule

Cuando ya se han abierto los puertos en NAT y se ha configurado correctamente el firewall del router, toca revisar la configuración de la propia aplicación P2P. En el caso de eMule, por ejemplo, hay que asegurarse de que utiliza los mismos puertos que se han definido en el router; si no coinciden, el tráfico no llegará bien al programa.

Para ello se inicia el eMule, se entra en el menú de Preferencias y se accede al apartado de Conexión. Ahí se pueden ver y modificar los puertos TCP y UDP que el programa emplea para las conexiones entrantes y salientes. Estos valores deben corresponder exactamente a los que has configurado en las reglas de Port Forwarding y en el firewall del router.

Si todo está bien integrado (IP fija del PC, puertos abiertos en el router y reglas del firewall bien definidas), eMule debería mostrar una ID alta y funcionar con normalidad, permitiendo conectar a más fuentes y aprovechar mejor la red. Si en cambio algo falla en la cadena, el programa suele avisar con advertencias de puertos cerrados o ID baja.

Es importante recordar que dejar puertos abiertos permanentemente para aplicaciones P2P también incrementa la superficie de ataque de tu red. Por eso, cuando dejes de usar un servicio de forma habitual es buena idea revisar y, si procede, eliminar o desactivar las reglas relacionadas, manteniendo solo lo que realmente necesites.

En foros y comunidades técnicas especializadas suele haber aportes de usuarios que conocen bien modelos concretos de router, como responsables asignados a determinadas marcas o secciones (por ejemplo, alguien que colabora con ZyXEL en un foro de ADSL o FTTH). Consultar este tipo de recursos puede ayudarte a pulir detalles específicos de tu dispositivo que quizá no aparecen claros en el manual.

Quien domine estos conceptos de redes y routers —desde la estructura LAN/WLAN/WAN y el direccionamiento IP hasta el uso de NAT, firewalls y servicios de seguridad integrados como AiProtection, HomeShield o Armor— tiene en su mano una caja de herramientas muy potente para mantener su conexión doméstica o de pequeña oficina mucho más estable y segura, evitando sustos y sacando el máximo partido a la infraestructura de red sin necesidad de depender siempre del servicio técnico de la operadora.