- El DDNS permite acceder al NAS mediante un nombre de dominio fijo aunque la IP pública del operador cambie frecuentemente.
- El reenvío de puertos es esencial para dirigir el tráfico externo desde el router hacia la dirección IP privada del servidor interno.
- El CGNAT y el Doble NAT son las causas principales por las que el acceso remoto falla a pesar de tener una configuración correcta.
Seguro que te ha pasado: tienes un NAS montajísimo en casa con Docker, Nextcloud o tus copias de seguridad, pero en cuanto sales por la puerta y quieres acceder a tus archivos, te encuentras con un muro. Configurar el acceso remoto puede ser un auténtico quebradero de cabeza, especialmente cuando te topas con que los puertos parecen estar cerrados a pesar de haber tocado todos los botones del router.
La clave para solucionar esto reside en entender cómo se comunican tu red local y el mundo exterior. Para lograr que tu servidor sea visible desde cualquier lugar, necesitamos combinar dos herramientas fundamentales: el DNS Dinámico (DDNS) y el reenvío de puertos, asegurándonos además de que tu proveedor de internet no te esté jugando una mala pasada con la configuración de tu IP.
¿Qué es exactamente el DDNS y para qué sirve?
Para empezar, el DDNS o DNS Dinámico es básicamente un sistema que automatiza la actualización de los registros de nombres. Imagina que tu IP pública es como la dirección de tu casa, pero con el problema de que tu operador de internet cambia esa dirección cada cierto tiempo. El DDNS asigna un nombre de dominio fijo (como tuusuario.tplinkdns.com o tuusuario.synology.me) que siempre apunta a tu IP actual, sin que tengas que estar modificándolo a mano cada vez que el router se reinicie.
El reenvío de puertos: abriendo la puerta de tu red
El reenvío de puertos, también llamado Servidor Virtual en algunos equipos, es la función que le dice a tu router: «Oye, todo el tráfico que llegue por el puerto X, mándalo directamente al dispositivo con la IP interna Y». Esto es vital porque, por defecto, el router bloquea las conexiones entrantes por seguridad. Si quieres acceder a tu NAS, debes crear una regla que redirija las solicitudes externas hacia la IP privada de tu servidor dentro de tu red local (LAN).
Obstáculos comunes: CGNAT y Doble NAT
Aquí es donde la mayoría de la gente se pega un castañazo. A veces, aunque configures todo perfecto, los puertos siguen apareciendo como cerrados. Esto suele pasar por dos motivos:
- El problema del CGNAT: Algunos operadores no te dan una IP pública real, sino que te meten en una red compartida (CGNAT). Si tu IP WAN empieza por 100.64.0.0 hasta 100.127.255.255, estás en este escenario. En este caso, el DDNS apuntará a la IP del operador y no a la tuya, por lo que el acceso remoto no funcionará a menos que pidas a tu ISP que te saquen del CGNAT.
- El Doble NAT: Esto ocurre cuando tienes un módem del operador y detrás otro router propio. Tu router recibe una IP privada del módem, no una pública. Para arreglarlo, lo más sencillo es poner el módem del operador en modo Bridge (puente), dejando que tu router gestione todo, o configurar el reenvío de puertos en ambos aparatos en cadena.
Guía paso a paso para configurar tu NAS
Dependiendo de tu equipo, el proceso varía, pero la lógica es la misma. Si usas un sistema como Synology, puedes ir al panel de control, sección de acceso externo y añadir un servicio de DDNS. Es muy recomendable solicitar un certificado Let’s Encrypt durante este proceso para que tu conexión sea segura (HTTPS) y no te salten avisos de riesgo en el navegador.
Para que el certificado se renueve solo y todo fluya, es fundamental que los puertos 80 y 443 estén correctamente redirigidos en el router hacia el NAS. Un truco muy útil es activar la redirección automática del puerto 80 al 443 para forzar siempre la conexión cifrada.
Cómo verificar que todo está en orden
Si no estás seguro de si el DDNS está haciendo su magia, puedes usar la consola de comandos de tu ordenador y escribir nslookup tu.dominio.ddns. Si el resultado es tu IP pública actual, el DDNS está operativo. Para comprobar el reenvío de puertos, intenta acceder usando primero la IP pública directamente en el navegador acompañada del puerto (ej. http://80.10.20.30:5000). Si esto funciona pero el dominio no, el problema está en el DDNS; si no funciona nada, el problema está en el router o el firewall.
Lograr la conectividad remota requiere coordinar la IP pública del operador, la configuración de redirección del router y la actualización automática del dominio. Al evitar el CGNAT y asegurar que el tráfico llegue sin obstáculos desde la WAN hasta la IP privada del servidor, puedes disfrutar de tus servicios de almacenamiento y contenedores Docker con total seguridad y desde cualquier parte del mundo.