Tebas, no soy un friki, protejo mi domótica con Cloudflare y tú me bloqueas arbitrariamente

Desde hace varias semanas, en España estamos sufriendo una interrupción total hacia los servicios que presta Cloudflare cuando hay partidos de fútbol. Miles de webs de pequeños empresarios se ven afectadas, ya sean webs de información o comercio online entre otras muchas, incluyendo grandes empresas que usan los servicios de Cloudflare para proteger sus infraestructuras.

Sergio de Luz

@Sergio_deLuz

Hola @Tebasjavier, has hablado de un friki que abre la puerta del garaje y no podía con los bloqueos que habéis hecho. Ese soy yo. No he pirateado nunca el fútbol porque simplemente no me gusta. Si quieres un día quedamos y te lo explico encantado. Un saludo. https://t.co/rtcedQ26FH

23 de febrero, 2025 • 21:45

695

3

Según indica Javier Tebas en una entrevista en The Objective, solamente cuatro frikis se han quejado por estos bloqueos. La realidad es que web de noticias online, empresas como un despacho de abogados, academias de formación, e incluso organismos públicos, hacen uso de Cloudflare para proteger sus webs, por lo que los afectados por esto son miles de personas que están intentando navegar por Internet con normalidad.

Consecuencias de los bloqueos

Los principales operadores en España, bajo una orden judicial, están bloqueando las principales direcciones IP de Cloudflare, donde por detrás se alojan tanto webs legítimas como de noticias, comercio electrónico, e incluso webs de diferentes Comunidades Autónomas y Ayuntamientos. Durante estos bloqueos, que suelen durar muchas horas para evitar la piratería a toda costa, las webs están totalmente inaccesibles, pero también otros servicios como la domótica con Google Home, e incluso el bloqueo de ChatGPT tal y como pasó ayer en el operador Movistar y O2.

En mi hogar utilizo Home Assistant para controlar toda la domótica de la casa, tal y como os he mostrado en muchas ocasiones. Concretamente, con este sistema local y privado, soy capaz de controlar: puerta del garaje (abrir, cerrar y bloquear el motor), la bomba de recirculación del agua caliente, monitorizar la temperatura del tanque de agua, activar el extractor, avisos por Telegram si alguien llama al timbre, controlar la mayoría de luces de casa, la producción de luz solar ya que tengo paneles solares, también soy capaz de controlar el aire acondicionado, el deshumificador, ver todas las temperaturas de la casa, controlar la calefacción, descargarme las estadísticas de consumo de luz desde la distribuidora y hacer una gran cantidad de automatizaciones para el hogar. Otros usos que hago es controlar el tiempo que hace, monitorizar todo el tema de energía consumida, exportada y autoconsumida en casa, así como enviar música a mi barra de sonido de SONOS con Music Assistant.

No soy el único que usa la domótica de Home Assistant, mi novia también tiene acceso total para controlar diferentes cosas en la casa, por lo que es fundamental poder acceder a ella, tanto localmente (dentro de casa conectado por Wi-Fi), como también desde el exterior a través de Internet. Por ejemplo, un uso que hacemos todos los días es si venimos a casa juntos en coche, mientras yo conduzco, ella saca el móvil, desactiva la alarma de la casa y, cuando estamos cerca, abre la puerta del garaje para no tener que esperar absolutamente nada al pasar.

Mis padres con 64 años, en su casa también usan Home Assistant y los túneles de Cloudflare para acceder a su domótica, si ahora les tengo que explicar que necesitan conectarse a la VPN de su casa y luego abrir la app de Home Assistant en el móvil, entendería perfectamente que no quisieran acceder nunca más, porque para ellos es demasiado complicado, por mucho que se lo deje fácil, lo cierto es que el proceso pasa de abrir una aplicación, a: abrir la VPN, conectarse, cerrar la aplicación y abrir Home Assistant. Está claro que todo se complica. Ayer intentaron acceder y ya me dijeron que no podían acceder, les dije que probasen nuevamente hoy lunes que no hay fútbol.

Con estos bloqueos indiscriminados a Cloudflare, el problema es que no se puede acceder a la domótica desde el exterior, tal y como comenté en el siguiente mensaje en X:

Sergio de Luz

@Sergio_deLuz

Mi novia intentando acceder a la domótica de casa a través de la línea móvil con @digimobil_es. ¿Encender la calefacción o abrir la puerta del garaje? No es posible con este operador por bloquear Cloudflare. PUTISIMA VERGÜENZA DE OPERADOR. https://t.co/dcItVbhf9k

16 de febrero, 2025 • 14:37

969

25

¿Controlar la puerta del garaje o la calefacción? No es posible mientras hay fútbol, porque todos los operadores bloquean el servicio de Cloudflare. Tienes que tener un plan B, como disponer de una VPN hacia tu hogar, o bien usar la VPN de WARP de Cloudflare para evitar este bloqueo que están ocasionando. Lo cierto es que este bloqueo no tiene ningún sentido, porque la gente que piratea el fútbol a través de IPTV, sabe más que de sobra usar un servicio de VPN para evadir posibles bloqueos, e incluso para anonimizar su actividad.

¿Por qué uso Cloudflare?

Para acceder desde el exterior a mi sistema de domótica de Home Assistant, y también a otros servicios que tengo localmente como Uptime-Kuma para monitorizar diferentes dispositivos localmente, o un Grafana, se puede hacer de varias formas:

• Abrir un puerto en el router hacia los diferentes servicios, si tu operador te proporciona IP pública. Esta es la opción más peligrosa sin lugar a dudas, dejamos abierta la puerta a cualquiera que sepa la IP pública y se ponga a hacer un escaneo de puertos. Si tu operador te pone detrás de CG-NAT, no podrás abrir puertos en tu router, y no podrás acceder desde el exterior, esto debes tenerlo en cuenta.
• Conectarte vía VPN a la red local, y luego conectarte a través de la IP privada y puerto de los diferentes servicios. Esta es la opción más segura sin lugar a dudas, el problema es que tienes que conectarte primero a la vpn, o estar siempre conectado, y después abrir la app de Home Assistant para gestionar la domótica. Esto para mí no es demasiado problema, pero entiendo perfectamente que a alguien como a mi novia sí.
• Usar una VPN SDN como TailScale o ZeroTier. Usando este tipo de VPN no es necesario tener IP pública, ya que el equipo se conecta con un servidor remoto que es el que «gestiona» todas las conexiones. En ambos casos, es obligatorio abrir las correspondientes aplicaciones, conectarte a la VPN, y luego conectarte al servicio local en cuestión, ya sea Home Assistant o Grafana.
• Usar Cloudflare Tunnel: este servicio gratis permite no exponer a Internet directamente los servicios, bajo un subdominio en concreto y con la configuración de IP:puerto local, lo que hace es redirigir el tráfico hacia ese servicio. Cloudflare permite añadir filtros avanzados, por ejemplo, que solamente las direcciones IP públicas de España puedan acceder, o un rango de direcciones IP en concreto, perfecto para filtrar muchísimo desde donde se accede. De todas formas, si no se conoce el subdominio no se puede acceder, y al tener un certificado TLS de tipo Wildcard, no se filtra en ningún momento el subdominio si no se quiere. Gracias a esto, con poner la URL con el subdominio en concreto en la aplicación de Home Assistant es suficiente, el proxy inverso de Cloudflare se encargará de localizar en qué túnel lo tenemos y en qué IP:puerto local está el servicio.

• Usar un proxy inverso local como Traefik: esta es otra opción muy interesante en caso de que no puedas depender de Cloudflare. En esencia es exactamente igual, tenemos un proxy inverso local al que tenemos que abrir un puerto 443 para el HTTPS en nuestro router. Si no se conoce el subdominio no se accederá al servicio. Los problemas es que tenemos que mantener el proxy inverso local, actualizándolo, mirando que nadie cambie tras las actualizaciones, configurar de forma avanzada para filtrar por geolocalización, y, en definitiva, dedicarle mucho tiempo para dejarlo perfecto en cuanto a funcionalidad y seguridad. Si alguien localiza el subdominio y te empieza a hacer un ataque de denegación de servicio te lo comerás tú, no la infraestructura de Cloudflare.

Como podéis ver, hay muchas formas de acceder desde fuera, unas más seguras y otras menos, la más equilibrada de todas es usar Cloudflare Tunnel, sobre todo porque funciona a la perfección si tenemos CG-NAT en nuestra conexión a Internet.

Conclusiones

Con estos bloqueos indiscriminados que están haciendo, muchísimos servicios de Internet, como los nuestros, se ven afectados, y hay que recurrir a un plan B: usar una VPN como WARP de Cloudflare, una VPN de terceros, usar algo como TailScale o ZeroTier temporalmente. Lo que está claro es que estos bloqueos para evitar la piratería no pueden afectar a terceros. ¿Y las tiendas online que usan Cloudflare para protegerse de ataques y tráfico de bots? Cientos de ventas perdidas, además, si da la casualidad de que pagas publicidad en Google, cada clic que hagan no llevará a tu web porque el operador lo bloquea, pero el coste del clic se cobra.

Hay que tener en cuenta que, las personas que piratean el fútbol, generalmente tienen ciertos conocimientos de tecnología e informática para comprar una IPTV y configurarla en los diferentes dispositivos. Este tipo de bloqueos, a esas personas no les afecta en absoluto, porque podrán usar una VPN comercial o directamente WARP de Cloudflare para evadir estas restricciones. Los que sí se ven afectados son las personas que hacen un uso normal de Internet, y que quieren acceder a una web y resulta que no pueden debido a esto. Sin lugar a dudas, se están matando moscas a cañonazos, dejando muchos daños colaterales por el camino, y haciendo que no se reduzca la piratería del fútbol lo más mínimo, porque insistimos: la gente que piratea el fútbol, sabe usar un VPN perfectamente y evadir los diferentes bloqueos.

En definitiva, Javier Tebas, puede que sea un friki porque me gusta el mundo de las redes y la ciberseguridad, pero no puedes bloquear medio Internet cuando hay partidos de fútbol para evitar la piratería, miles de negocios se ven afectados por defender el vuestro, y según pone en la sentencia judicial que ha aparecido en diferentes medios, no se puede afectar a terceras personas.