Problema con apn XCAP

Buenas Pablo581 

Todo lo que implique una red inalámbrica, sean datos móviles o sea WIFI incluso, no puedes asegurar JAMAS ningún tipo de estabilidad, velocidad o latencia. Y esto no tiene ya absolutamente nada que ver ni con puertos, ni con NAT ni con nada de nada. Esto es imposible de evitar si se usa WIFI/PLC/Datos móviles...

Por otro lado, lo que dices de que se debería de poder abrir puertos igual que en el Router... no, no se puede, y no tiene sentido ni razón de ser. Es más, el problema de seguridad no es debido a la red móvil por usar un APN o usar otro, la culpa es de tú móvil. Te explico mejor esto, y es fácil entenderlo porque realmente podemos poner siempre de ejemplo el papel del Router en tu conexión WIFI/Cable de casa.

Resumiendo mucho, te puede conectar a Internet de dos modos. Una conexión directa donde la conexión la gestiona el propio dispositivo, o una conexión detrás de NAT, donde tu dispositivo se conecta a Internet por medio de un intermediario, que en este caso es el Router o podría ser un CGNAT en la red de datos móviles.

Pero esto se aplica a todo. Por ejemplo, si estás conectado al Router de tu casa, tienes una conexión del segundo tipo, detrás de NAT. Pero el propio Router tiene Internet, en este caso el Router en sí mismo posee una conexión directa, del primer tipo.

Cuando haces uso del APN telefonica, tu teléfono se conecta a un "Router", se conecta a través de un intermediario que es un "Router" de Movistar, que es como tu Router pero a lo bestia, donde hay conectado a él montones de otros usuarios. Cuando usas en cambio el APN de movistar no pasa eso, y es el teléfono el que pasa a gestionar la conexión directamente... es decir, hace como tu Router, está conectado directamente.

Bien, por qué digo que es "culpa" de tu movil la inseguridad? El Router está preparado para gestionar la conexión directa, posee un Firewall bien configurado no solo para proteger a TODOS tus dispositivos de la red, sino que la principal protección es PARA EL MISMO!! Porque obviamente está expuesto a Internet, y como tal se tiene que proteger. Para un Router tampoco es problema el mayor consumo de electricidad, dado que está conectado 24/7 a la red eléctrica.

Un movil, cando gestiona el mismo la conexión... ¿posee un Firewall para protegerse a sí mismo como hace el Router? ¿Están las aplicaciones instaladas en el dispositivo pensadas para ello? Sin contar que el consumo de batería es mucho mayor y esto no se puede evitar. Bien, pues la respuesta a las preguntas anteriores es NO, a menos que tengas el teléfono Rooteado y le hayas instalado configurado un Firewall real adecuado....

Del mismo modo que si te conectas al Router ciertos servicios necesitan ser mapeados (apertura de puertos) para que funcionen, cuando te conectas al APN de telefonica que en esencia sería algo similar, tendrías que hacer algo similar. ¿Problema? Que esto no es posible, porque no puedes mapear el mismo puerto a dos equipos diferentes!! En tu casa, si mapeas por ejemplo el puerto 666 a un equipo de tu red local, no puedes volver a mapear en el Router el mismo puerto para otro. Podrás mapear el 667 si quiere a otro equipo, pero el 666 ya se estaría usando!!

Entenderás entonces que no es posible realizar mapeos en los equipos CGNAT de un operador, ello afectaría a todos los usuarios conectados, del mismo modo que afecta en tu Router a todos tus dispositivos.

Por cierto, nota adicional, los puertos que pones, la mayoría de ellos, son puertos de salida, no de entrada, con lo que no son necesarios. La culpa de esto lo tienen los desarrolladores de los juegos cuando ponen la lista de puertos necesarios, puesto que no especifican realmente si son entrantes o salientes, simplemente ponen una lista de puertos sin más.

Esto es muy importante, porque realmente los únicos puertos que un Router requiere abrir (cuando se necesitan), es siempre para el tráfico ENTRANTE, no saliente. Una conexión siempre tiene dos puertos, el puerto de origen y el puerto de destino. Te pongo un ejemplo que es mucho más visual:

Quieres acceder a Google desde un PC conectado por WIFI en casa. Abres el navegador y pones la dirección de Google. Aquí hay 2 puertos muy diferentes (realmente 4, pero para no liar más la cosa pongamos 2). Dado que es una conexión saliente (la inicia un equipo dentro de tu red), ese equipo abre la conexión en un puerto X, a lo mejor Chrome (si usas Chrome) hace uso del puerto 40123, y por otro lado envía la petición a una página web, que si es HTTPS implica que se envía hacia el puerto 443 remoto. Ahí tienes los dos puertos que entran en juego,  El primero es el puerto local de origen de tu equipo, el segundo el puerto remoto de Google.

En ese escenario no es necesario abrir nada, porque cualquier conexión saliente se permite, SEA CUAL SEA EL PUERTO.

El problema aparece cuando un dispositivo remoto, sin que inicies tu la conexión, quiere conectarse a un puerto/servicio concreto de un dispositivo tuyo. Por ejemplo, en este caso, imagina que sin venir a cuento el servidor de Google quiere contactar con un equipo tuyo, sin que tu iniciases nada. Pues si lo hace el servidor web de Google el puerto local de origen sería en este caso el 443, y el puerto remoto sería pues el puerto que a Google le diese la gana. Esa comunicación SI SE VA A BLOQUEAR, porque el Router no sabe que hcer con ella si nadie lo ha solicitado.

¿Por qué digo que no tiene sentido poner algunos de los puertos que has dicho?

Bien, porque estoy totalmente seguro por ejemplo que el puerto 80 y el 443 jamás los va a usar el juego para una conexión entrante. Es decir, no que ellos lo usen como puerto de origen, sino que ellos quieran conectarse al puerto 80 o 443 de tu dispositivo. Eso no va a pasar.

Pero entonces... ¿por qué los ponen? Es que ellos no ponen en ningún momento que puertos tienes que abrir en el Router. Dicen los puertos que usan sus servicios, que es diferente. Los ponen porque, por ejemplo, uno podría configurar el Router para bloquear todo el tráfico saliente dirigido a los puertos 80/443 (servidores Web). Obviamente esto en un Router doméstico no tiene absolutamente razón de ser, dado que repito, el Router no bloquea absolutamente ninguna conexión saliente. Esto posiblemente sea exactamente igual para los puertos UDP citados, seguramente son los puertos que usan sus servicios, no que los manden a tu equipo.

Los de Lobby y Chat es diferente. Estos a lo mejor si se requieren para que desde el exterior puedan conectarse (sin que inicie tu dispositivo la conexión). En este caso, por ejemplo, a lo mejor ellos envían desde el puerto 65010 local hacia tu puerto 65050.  Repito, inician ellos la conexión, no es una conexión saliente que inicies tú, así que en ese caso el Router lo va a bloquear, y es por eso que en este caso sí sería necesario mapear ese puerto en el Router, para que cuando llegase tráfico a ese puerto específico, el Router lo reenviase a tu dispositivo.

Repito una vez más que esto no tiene razón de ser en conexiones bajo CGNAT. Es más, muchos jugadores quisquillosos, sobre todo consoleros, los escucharás miles de veces "llorar" de que tienen NAT por estar conectados al Router... obviamente, sino no tendrían conexión en ningún otro dispositivo de su casa, y además  NAT les protege.

----

Existe otra opción, pero es igualmente insegura para dispositivos móviles, y además el juego/aplicación debería de permitirlo. Movistar hace ya tiempo encendió en las redes móviles IPv6, en el perfil de telefonica. Eso significa que cuando estás conectado a ese APN, por defecto por lo general el dispositivo se le asigna una IPv6 global, es decir, está conectado directamente a Internet por IPV6. SI el juego fuese compatible con IPv6, la conexión sería directa y funcionaría sin problemas... no obstante tendríamos el mismo problema de seguridad y batería. Es por eso que siempre recomiendo deshabilitar IPv6 en el APN a menos que se tenga un Firewall real capaz de bloquear todo aquello que no nos interesa.

Saludos.