La forma más segura y fácil de abrir puertos en tu consola es activando esta función
Cuando tenemos una consola de juegos, es totalmente necesario abrir puertos en nuestro router para poder jugar online sin ningún problema. Las propias consolas son capaces de detectar el tipo de NAT que tenemos en la conexión a Internet, dependiendo del tipo de NAT, podríamos tener problemas de conectividad desde el exterior hasta la consola. Por supuesto, para poder jugar adecuadamente es necesario que nuestra conexión a Internet no esté detrás de CG-NAT, el operador debe proporcionarnos una dirección IP pública y posteriormente abrir puertos en la NAT del router. ¿Qué ocurre si abres puertos y sigues con problemas? Hoy en RedesZone os vamos a explicar la mejor opción y más segura para abrir puertos y no tener problemas.
Dependiendo de la consola que tengamos (PlayStation, Xbox, Nintendo Switch) tendremos que abrir unos puertos u otros, podemos encontrar por Internet los diferentes puertos que debemos abrir para conseguir jugar online sin problemas. En nuestro caso en concreto tenemos una Sony PlayStation 5, y abrir todos los puertos que se indica la documentación oficial no nos permite tener la ansiada «NAT tipo 2», sino que nos quedamos en NAT restringida o NAT tipo 3. Para solucionarlo hemos utilizado el protocolo UPnP de una manera un poco especial, ya que solamente está habilitado para la consola en cuestión y no para toda la red local.
Qué es el UPnP y riesgos de seguridad
El protocolo UPnP (Universal Plug and Play) y NAT-PMP (Network Address Translation y Port Mapping Protocol) son dos servicios de red que permiten que el software de los dispositivos de la red local, configuren los puertos necesarios en el NAT del router de forma automática cuando lo necesitan. Esto hace que se incluya en la tabla de reenvío de puertos NAT las reglas de forma dinámica, en función de qué dispositivo lo ha pedido y qué puerto externo e interno ha solicitado.
Hoy en día todas las consolas como PlayStation, Xbox, Nintendo Switch e incluso el PC, disponen de este protocolo UPnP para abrir puertos de forma dinámica en el router, haciendo que podamos recibir tráfico entrante sin necesidad de abrir puertos de manera específica. Esto es perfecto para que no tengamos que abrir los puertos manualmente, y también para no tener la necesidad de saber qué puertos TCP y UDP son necesarios para jugar correctamente a un determinado juego, la consola o PC se encargará de todo.
El servicio de UPnP y NAT-PMP son dos servicios inseguros para nuestra red local, porque los clientes pueden decidir de forma completamente autónoma qué puertos abrir en la NAT para que sean accesibles desde el exterior. Cualquier programa y cualquier dispositivo podría abrir un puerto en el router para ser accesible a través de Internet, lo que puede ocasionar un problema. Por ejemplo, si tienes una cámara IP doméstica que tiene UPnP, esta cámara de forma autónoma podría decidir abrir un puerto para su acceso desde el exterior, y alguien podría llegar hasta su panel web de inicio de sesión, explotar una vulnerabilidad y acceder en modo administrador para visualizar la cámara y controlarla. Por supuesto, en este hipotético caso, solamente tendremos problemas si nuestro operador nos proporciona una IP pública, en el caso de estar detrás de CG-NAT no tendremos este problema porque esa misma dirección IP pública estará compartida con varios clientes haciendo NAT a nivel de operador.
Una opción muy interesante que tenemos disponible en algunos routers, es decidir qué dispositivos pueden usar UPnP NAT-PMP en nuestra red, y cuáles no. De esta forma, podemos configurar una lista de control de acceso para que todos los dispositivos no tengan acceso al protocolo UPnP, y solamente ciertos clientes cableados o inalámbricos sí puedan usarlo para posteriormente abrir puertos en la NAT. Esto significa que, podemos configurar nuestro router para que solamente la consola pueda abrir puertos hacia ella misma, y no el resto de dispositivos de la red local. De esta forma, el protocolo UPnP puede ser un poco más seguro, porque solamente ciertos dispositivos podrían utilizarlo.
Cómo cambiar de NAT tipo 3 a NAT tipo 2
En cualquier conexión doméstica, lo más habitual es que nuestro operador nos proporcione una dirección IP pública, y el router de casa se encargue de gestionar la red local haciendo NAT contra esta IP pública. De esta forma, para poder ser accesibles desde Internet tendremos que abrir los puertos en la NAT, ya sea a través de un reenvío de puertos específico en el router, usando el protocolo UPnP junto con NAT-PMP, o bien configurar la consola en la DMZ para abrirle todos los puertos excepto los que están específicamente abiertos ya hacia otros equipos.
Cuando conectamos una consola, ya sea una PlayStation 5 o bien una Xbox a nuestra red local, independientemente de si la tenemos conectada por cable o Wi-Fi, tendremos NAT restringida o NAT de tipo 3. Esto significa que no se podrán realizar conexiones entrantes, porque no tenemos abiertos los puertos en nuestro router. Una vez que abramos los puertos necesarios para la consola y para los juegos específicos, no deberíamos tener problemas de conseguir NAT moderada o NAT de tipo 2.
En nuestro caso personal, incluso abriendo los puertos de forma manual, no conseguíamos NAT tipo 2 hasta que no usamos el UPnP en nuestro router. Por motivos de seguridad, tal y como hemos explicado antes, en nuestro router siempre tenemos desactivado el UPnP, pero esta vez lo activamos para ver si dejábamos de tener NAT tipo 3 y pasábamos a usar NAT tipo 2 para poder jugar correctamente, y así ha sido. Sin embargo, hemos realizado una configuración bastante específica, porque solamente hemos activado el UPnP en la consola y no a toda la red local doméstica, para evitar problemas de seguridad.
Configuración en AVM FRITZ!Box
Si tienes un router FRITZ!Box del fabricante AVM, puedes activar el UPnP para un dispositivo en concreto, en este caso, una Sony PS5. Para poder hacer esto, simplemente debes irte al menú de «Red local / Red«, veremos todo el listado de clientes cableados e inalámbricos que están conectados y los que se han conectado alguna vez. Pinchamos en el botón de «Editar«, y nos llevará directamente al menú del equipo en cuestión. Aquí es recomendable que seleccionemos «Utilización de Internet / Uso prioritario de Internet» para activar el QoS y que funcione con la máxima prioridad.
Más abajo podemos ver en la sección de «Permisos de acceso» la opción de «Permitir el redireccionamiento autónomo de puertos para este dispositivo», pinchamos en esta opción para activar el UPnP en este dispositivo únicamente. Ya de paso, es recomendable que la consola siempre tenga la misma dirección IP privada, así que pinchamos también en la sección de «Asignar a este dispositivo de red siempre la misma dirección IPv4«.
Una vez terminado todo, pinchamos en el botón azul de «Aplicar» que podemos ver abajo del todo.
Ahora podemos irnos a la sección de «Internet / Permitir acceso«, y podemos ver que la Sony PS5 no tiene ningún puerto abierto manualmente, pero sí tiene el «Redireccionamiento autónomo de puertos» habilitado.
Si pinchamos en el botón de «Editar» podemos acceder al menú de configuración, y veremos que «Permitir el redireccionamiento autónomo de puertos para este dispositivo» está habilitado, como era de esperar.
Si hacemos una prueba de conexión con la Sony PS5 o la consola que uses, podemos ver que tenemos «1 activa«, es decir, está abriendo un puerto a través del protocolo UPnP que hemos activado.
En el menú de «Editar» podemos ver un listado de los puertos abiertos, tanto TCP como UDP. En este caso, se ha abierto en la NAT el puerto 9308 UDP para realizar esta prueba de conexión.
Con esta configuración, tendrás en tu consola NAT moderada o NAT de tipo 2, y podrás jugar a cualquier juego sin ningún tipo de problema. En el menú del sistema operativo FRITZ!OS podemos ver en tiempo real, qué puertos TCP y UDP se han abierto en la NAT a través de la funcionalidad del UPnP autónomo por cada uno de los dispositivos. De esta forma, podemos tener cierto control sobre qué puertos se están abriendo en el dispositivo.
Configuración en PfSense
Si utilizas un firewall profesional como PfSense, también podrás habilitar el protocolo UPnP & NAT-PMP, ya que por defecto viene deshabilitado por cuestiones de seguridad. Para habilitarlo tendremos que seleccionar la primera opción de «Enable UPnP & NAT-PMP«, y una de las dos opciones de abajo (o las dos, como hemos hecho nosotros). Es muy importante que definas bien la interfaz externa (la WAN de Internet), y qué interfaz de la red interna queremos usar. Si tienes varias, podrás seleccionar cualquiera de ellas o varias a la vez.
La configuración más importante la tenemos abajo del todo, es recomendable por cuestiones de seguridad que marquemos la opción «Deny Access to UPnP & NAT-PMP by default«, y justo debajo permitamos a la consola que sí pueda usar el UPnP. La sintaxis es muy fácil de configurar, simplemente tendrás que crear una o varias reglas con «allow» para permitir subredes o dispositivos específicos.
Una vez que lo hayas configurado, si nos vamos a la sección de «Status / UPnP & NAT-PMP» podemos ver que se ha creado una nueva regla con este puerto UDP 9308 en la NAT, y tendremos NAT de tipo 2 sin ningún problema.
Como podéis ver, aunque pfSense es un equipo profesional, es muy sencillo también realizar esta configuración donde solamente tengamos el UPnP activado en ciertos dispositivos.
Conclusiones
El servicio UPnP activado en toda la red local puede ser un agujero de seguridad en nuestra red, porque cualquier dispositivo con soporte UPnP podría abrir puertos en la NAT para ser accesibles desde Internet. Por este motivo, siempre os recomendamos deshabilitarlo, y usar la funcionalidad de reenvío de puerto o «abrir puertos» en el router para los dispositivos que verdaderamente necesitamos abrir puertos. En el caso de las consolas, es posible que, abriendo los puertos que nos indica la documentación de la consola o el juego no sea suficiente, porque necesitan otros puertos TCP o UDP, tal y como nos ha ocurrido a nosotros. Aunque hayamos abierto los puertos TCP y UDP correspondientes a la PS5, lo cierto es que seguíamos recibiendo el error de que tenemos NAT tipo 3 y no NAT de tipo 2, por lo que teníamos «NAT restringida».
La seguridad siempre está muy reñida respecto a la usabilidad y comodidad. Activar el protocolo UPnP en nuestro router es realmente cómodo, pero puede tener implicaciones en la seguridad de la propia red local, porque puede haber dispositivo que abran estos puertos sin que lo sepas. De esta manera, permitir que solamente ciertos equipos puedan usar el UPnP es la mejor solución balanceada entre seguridad y comodidad. Gracias a esta posibilidad, en la consola tendremos NAT de tipo 2 o NAT moderada, y podremos jugar a todos los juegos sin ningún problema, ya que la propia consola abrirá todos los puertos que necesite de forma dinámica.
