Reenvío de puertos y cortafuegos
Dos pestañas para un mismo tema: a qué puede llegar el mundo exterior dentro del cibercafé. La mayoría de los locales necesitan la primera para sus consolas y nunca abren la segunda.
Por qué una consola necesita un puerto
Una consola a la que no se puede llegar desde fuera indica un tipo de NAT estricta, y la NAT estricta es la causa de "no puedo unirme a la party de mi amigo" y "el chat de voz no funciona". Abrir un puerto para esa consola lo soluciona.
Reenvío de puertos
Un reenvío dice: el tráfico que llega desde internet a este puerto va a este dispositivo dentro del cibercafé.
Cada reenvío indica la línea a la que se aplica, el protocolo, el puerto que se usa desde fuera y el dispositivo y el puerto de dentro. Dos reenvíos no pueden usar el mismo puerto en la misma línea. Por eso un cibercafé con varias consolas suele preferir lo que explica la sección siguiente.
Un reenvío que apunta a un dispositivo sin dirección fija deja de funcionar en cuanto esa dirección cambia. Asigna primero una dirección fija a la consola y después crea el reenvío hacia ella.
Dejar que las consolas abran los suyos
Con UPnP activado, la consola pide ella misma un puerto a la puerta de enlace e indica un tipo de NAT abierta en cuanto lo tiene. No hay ninguna lista que mantener, y sigue funcionando aunque la consola se cambie a otro puesto.
La contrapartida es que cualquier otra cosa en esos equipos también puede pedirlo. Limítalo a los grupos que lo necesitan, que en la práctica es el grupo de consolas y no los puestos.
En Windows, si las consolas no encuentran la puerta de enlace, suele ser porque el servicio Detección SSDP ocupa el puerto en el que buscan. Detén ese servicio y vuelve a aplicar.
Reglas de cortafuegos
La puerta de enlace ya bloquea lo que hay que bloquear. Las reglas son para el cibercafé que necesita algo concreto: un PC de oficina accesible desde casa, un puesto aislado del resto de la red, un servicio que no debe salir del local.
Dos cosas determinan cómo se comporta una regla:
- Orden. Las reglas se evalúan de arriba abajo y decide la primera que coincide. Una regla amplia por encima de una específica deja a la específica sin efecto.
- Dirección. Una regla en el lado LAN trata el tráfico que sale del cibercafé. Una regla en el lado WAN trata el tráfico que entra.
Alias
Un alias pone nombre a una lista de direcciones o puertos para que las reglas puedan usarla. Escribe "PCs de oficina" una vez y úsalo en cuatro reglas, en lugar de tener cuatro copias de las mismas tres direcciones que acaban siendo distintas al cabo de un año.
Llegar al cibercafé por nombre
Si la dirección del cibercafé cambia cada vez que el módem se reconecta, el DNS dinámico mantiene un nombre apuntando a ella. Configúralo con la clave de actualización de tu proveedor, no con la contraseña de tu cuenta, y la puerta de enlace mantendrá el nombre al día.
Así es como un reenvío sigue siendo útil para alguien que se conecta desde fuera: la dirección cambia, el nombre no.