Buenas tardes, por trabajo tengo que acceder a una maquina virtual via NAT a traves de la VPN, el caso es que no puedo acceder a internet, en mi empresa ya han verificado que todo es correcto por su parte, asi que entiendo que el problema puede venir por la conexion del router, he llamado al 1002 y me dicen que todo es correcto, pero no he conseguido hablar con nadie, simplemente una locucion, ¿podria un tecnico hablar conmigo?. Gracias
Hola Itzi76
Tras un seguimiento de tu caso y el reporte de incidencia registrado desde aquí, vemos que desde nuestro centro técnico se han finalizado las pruebas relacionadas con la incidencia que presentas de accesibilidad a tu maquina virtual vía NAT a través de la VPN y se ha dado por solucionada. ¿Nos podrías confirmar si actualmente esta problemática se ha corregido? En caso de que persista el inconveniente, háznoslo saber para continuar con el seguimiento.
Quedamos pendientes.
Un saludo, Emanuel.
Hola Itzi76
Agradecemos a Theliel por sus aportes a la Comunidad.
Gracias por la explicación tan detallada y por tu paciencia durante todo el proceso. Con la información que has aportado, y teniendo en cuenta que otros compañeros tuyos han experimentado un comportamiento similar con el mismo modelo de router, vamos a dar el siguiente paso para ayudarte.
Aunque, como se ha explicado, el origen técnico del problema está muy ligado al protocolo VPN utilizado (IPSec/L2TP) y a cómo se comporta detrás de NAT, sí es cierto que en algunos casos un cambio de hardware puede mejorar la compatibilidad dependiendo de la implementación interna de cada fabricante. Dado que en tu caso existe un patrón repetido con este modelo en concreto, vamos a actuar sobre ello.
Vamos a gestionarte el reemplazo del router por otro equipo, para comprobar si una implementación distinta del firmware y de los ayudantes NAT mejora la estabilidad de tu conexión VPN. Por eso hemos abierto una incidencia, de la cuál, por protocolo se realizarán unas pruebas, te enviaremos más información por mensaje privado. Este cambio no garantiza al 100% la solución, ningún router puede asegurar compatibilidad plena con protocolos que dependen de estas limitaciones históricas, pero sí es la acción más razonable y útil en tu situación.
Lamentamos los inconvenientes ocasionados, agradecemos tu colaboración y paciencia.
Un saludo, Sebastián.
Buenas Itzi76
Sigo sin entender la relación aquí de usar una VM... la VM está en el equipo local/cliente o dentro ya de la infraestructura de red de la empresa? Lo digo porque estamos haciendo uso de NAT de formas diferentes, y se aplica en diferentes puntos.
Tu propio Router va a hacer NAT siempre, cualquier conexión, en cualquier momento, siempre hace NAT para que todos tus dispositivos puedan tener acceso a Internet. Es en este escenario donde usar un cliente VPN detrás de un Router que hace NAT (el 99.99% de todos ellos) va a depender enormemente el tipo de VPN que se use, por las limitaciones antes mencionadas.
Otra cosa totalmente diferente, y que tb es hacer NAT, es cuando tenemos una VM en nuestro propio equipo, y para dar conexión a red/Internet a esa VM configuramos el adaptador de red virtual en modo NAT. En este escenario no tiene absolutamente nada que ver el Router, es el equipo que ejecuta la VM quien hace NAT para la VM, el Router tratará exactamente igual el tráfico de la VM (dentro del equipo local) que el propio tráfico del equipo local. Para el Router ese tráfico será indistinguible. Es uno de los varios modos en los que podemos exponer a Internet/red la VM. Aquí es tu equipo propio (el que hospeda la VM) el que hace de Router, crea un servidor DHCP que asigna datos IPs a la VM, y hace un bridge de la interfaz virtual NAT con la interfaz física de tu equipo.
Otro escenario tambíén totalmente diferente es que la VM no esté en tu equipo local, sino en el servidor remoto al que te conectas por VPN previamente, y que esa VM hospedada en la empresa se conecte a Internet/red por medio de NAT frente al host VPN. Este escenario también es totalmente diferente, porque en este escenario lo único que realmente importa aquí es el tipo de VPN que usas, no importa en absoluto como la VM dentro ya de la infraestructura de la empresa tenga configurada su red, eso es cosa de la empresa, en lo tocante a tu conexión, lo importante aquí es que VPN se usa.
--------------
Cual de los escenarios es el tuyo?
Por otro lado, comprendo perfectamente lo que dices, no está en tus manos ni mucho menos modificar o cambiar la VPN de la empresa, y al final te atienes a lo que los técnicos de ella te puedan o no proporcionar. Pero a pesar de que es totalmente normal y comprensible, el problema de base sigue siendo el mismo, y no existe de echo una solución real universal para usar un cliente VPN IPSec/L2TP en una red que está detrás de un Router a día de hoy. No es cierto que este problema sea de Movistar, este problema lo vemos en un sin fin de dispositivos en el mercado, donde depende enormemente no solo si el fabricante implementa o no dichos "ayudantes" (parches, passthrough...), sino si la implementación que hace el fabricante es más o menos adecuada para cada caso particular. Un fabricante puede dar soporte perfectamente para estos "ayudantes", y funcionar en A, B y C, pero no funcionar en D, E y F. No es algo que pase con exclusividad siquiera con las VPN IPSec/L2TP!! Dentro de las VPN sucede lo mismo por ejemplo en túneles aun más viejos como PPTP, o incluso protocolos bien conocidos como FTP, SIP, RTSP... sufren de los mismos problema, vienen de otra época donde se presuponía que eran equipos/entornos empresariales donde los equipos no usaban ni usarían NAT.
Respecto a que soluciones puede dar Movistar, y lo que propones, te contesto a expensas que un técnico lo haga:
-Te pueden cambiar el Router? Sí, pueden hacerlo, pero eso no te va a asegurar tampoco que te funcione, porque el problema de base, de nuevo, no es el Router, es usar protocolos totalmente obsoletos a día de hoy, y que no es que fallen con los equipos de Movistar, es que funcionan mejor o peor dependiendo de mil factores. Yo con ese mismo Router he establecido sin problema túneles L2TP/IPSec por ejemplo. Te puede funcionar mejor con otro? Sí, sobre todo si es de otro fabricante, con suerte en tu caso la otra implementación del otro fabricante te pueda funcionar mejor... o puede pasar que vaya peor y que el otro fabricante no tenga siquiera ayudantes para IPSec/L2TP
-Modo Bridge real? No es necesario, absolutamente TODOS los HGU tienen el modo Monopuesto, que te permite usar tu propio Router sin ningún tipo de problema. Si te refieres a un modo "bridge" que te permita a tu equipo estar conectado directamente a Internet, también puedes hacerlo sin problema, pero eso implica no tener NAT y eso implica que únicamente tu equipo es el que tendría conexión a Internet.... pero puedes hacerlo sin ningún tipo de problema
-Compatibilidad mejorada? No es un problema de compatibilidad, el Router no es incompatible con ninguna VPN, son algunos protocolos concretos (no solo de VPN) que no son compatibles con NAT directamente, y que los fabricantes tienen que hacer encajes de bolillos para que, con suerte, funcione en algunos casos. Si tocas algo en un ayudante de este tipo, te cargas que funcione en otros, te cargas la seguridad, provocas más problemas... Por eso muchos fabricantes ni siquiera los implementan... y no te hablo ya de fabricantes "chinos", te hablo de equipos que cuestan cientos y cientos de €
Saludos.
Buenas Theliel,
Gracias por la explicación detallada. Entiendo perfectamente lo que comentas sobre IPSec/L2TP y sus limitaciones históricas en entornos NAT, y no discuto que técnicamente sea un protocolo antiguo ni que existan alternativas más modernas como WireGuard u OpenVPN.
No obstante, creo que hay que separar el origen técnico del problema de la realidad del usuario final.
Mi escenario es el siguiente:
En otros operadores y con otros routers esta misma configuración funciona sin incidencias, mientras que con el router de Movistar el comportamiento es inestable o directamente no funcional. Por tanto, aunque el protocolo tenga limitaciones conocidas, el problema práctico aparece únicamente con este equipo en concreto.
Evidentemente, como usuaria:
Por ese motivo, desde el punto de vista del cliente, el problema sí se percibe como un problema del router, independientemente de que la causa última esté relacionada con NAT, passthrough o con cómo se implementan esos “helpers”.
Entiendo que no haya obligación de soportar todos los escenarios, pero en un contexto actual de teletrabajo, virtualización y acceso remoto, este tipo de configuraciones no son casos raros o marginales.
Mi objetivo con el hilo no es discutir si IPSec/L2TP es el mejor protocolo posible, sino entender por qué con el router de Movistar esta configuración falla cuando con otros equipos funciona, y qué alternativas reales ofrece Movistar al cliente (otro equipo, modo bridge real, compatibilidad mejorada, etc.).
Gracias de nuevo por la explicación técnica.
Buenas Itzi76
Como te dije en mi primera respuesta, sigo sin entender bien tu escenario y que es lo que te da problemas cuando hablas de máquinas virtuales y adaptador de red NAT.
Tal como además dije en el post que citas, si ese fuese el caso, no es ninguna limitación NAT, es el resultado de usar un protocolo obsoleto como IPSec/L2TP, el cual no se creó para ser usado en entornos NAT. Estos hacen uso de protocolos como AH y ESP que son enemigos número uno de NAT. Hasta tal punto que para que puedan ser usados obliga a los fabricantes de Router a tener que implementar literalmente parches sucios para que funcionen, y no son universales. Es decir, que dependiendo de la implementación de este "parche", de la VPN que use el usuario, de las condiciones de la red... puede funcionar o no. De echo te insto a buscar información de ello en Internet si es que es tu caso (Si se usa IPSec/L2TP, como se cita en el otro hilo), solo tienes que buscar en Google problemas con IPSec/L2TP y NAT... tendrás probablemente miles de entradas. Todo ello precisamente está explicado en dicho post cual es el problema... y no es el Router.
Si ese fuese tu problema, que repito no lo sé puesto que en ningún momento detallas el tipo de VPN que usáis, el problema no sería tanto y cuanto de configuración del servidor VPN de la empresa, sino de usar protocolos VPN obsoletos, que son más que bien conocidos de dar problemas de conexión en entornos NAT
Esto se puede solucionar con otro Router? A veces sí, a veces no. Como ya he dicho para que pueda usarse L2TP/IPSec detrás de NAT, el fabricante del Router tiene que implementar parches sucios para que pueda funcionar. Pero como he dicho no son universales, ni funcionan en todos los entornos, cada uno es diferente. Además, el fabricante ni siquiera tiene obligación de implementarlos, porque de echo no es bueno tenerlos, es un problema de seguridad en los Router, por defecto todos los suelen tener deshabilitados estos "ayudantes" o passthrough como los llaman.
En ese Router en particular, el gpt-2742gx4x5, así como su hermano el GPT-2841GX4X5, pues tengo ambos en diferentes residencias, en el pasado he logrado llegar a realizar conexiones por L2TP/IPSec, pero repito que depende enormemente de cada entorno, equipo...
Simplemente, resulta a día de hoy totalmente incomprensible que una red siga usando a día de hoy protocolos VPN como IPSec/L2TP teniendo alternativas desde hace más de 20 años como OpenVPN (superior en todo pero algo más lento), o la maravilla en absolutamente todo como WireGuard, que tiene ya más de 10 años. A diferencia de los viejos protocolos, WireGuard u OpenVPN no requieren absolutamente nada para funcionar correctamente (cuidado con el MTU como quier VPN). Los clientes no requiere lidiar ni saber nada de NAT, y los servidores únicamente un puerto en escucha. WIreGuard en particular es mucho más rápido que IPSec/L2TP, más seguro, más versátil... más todo. OpenVPN es extremadamente flexible, pero es verdad que la velocidad depende de las prestaciones del servidor VPN, si es muy viejo irá más lento que IPSec/L2TP por lo general.
Saludos.
Hola Alejandra,
Esta confirmado con el departsmento de IT de mi empresa, es mas soy la cuarta persona cliente de movistar de mie.presa que le pasa esto, en concreto con el router mitrastar, a mis compañeros les han indicado que es el router el que da esos problemas porque suelen tener restricciones de NAT y al cambiarselo les funciona todo. Que solucion dais?, porque vuelvo a repetir que con el departamento de IT de mi empresa se ha mirado todo y varias veces. Y lo que veo es que desde movistar no se me esta dando ninguna solucion, es mas en esta misma cominidad ya en el 2024 habia personas con este problema, asi que se ve que no es problema ni mio ni del departamento de IT de mi empresa.
Ver en esta comunidad "JoseMi5
Más integrado que la RDSI 24-02-2024
No puedo acceder VPN trabajo (router mitrastar gpt-2742gx4x5 v6)". Resuelvan el problema
Hola Itzi76
Con los datos que nos indicas, confirmamos que la conexión de Movistar y el router funcionan correctamente, ya que la navegación es normal en distintos dispositivos cuando no se utiliza la VPN. Esto descarta una incidencia en la línea o en el acceso a internet.
El comportamiento que describes al conectar FortiClient es coherente con una configuración del túnel VPN que fuerza todo el tráfico a pasar por la VPN (sin split tunneling). En estos casos, si el servidor VPN no permite salida a internet o no asigna correctamente DNS o rutas, la navegación se pierde aunque la conexión local esté operativa.
Adicionalmente, en conexiones domésticas como la tuya, el uso de VPN corporativas puede verse afectado por:
Desde nuestra parte no detectamos bloqueos ni limitaciones en el router que impidan el uso de este tipo de VPN, por lo que no sería necesaria una intervención técnica sobre la línea. Te recomendamos trasladar esta información al departamento de IT de tu empresa para que revisen la configuración de FortiClient / FortiGate (rutas, DNS y MTU).
Quedamos a tu disposición si necesitas alguna aclaración adicional.
Un saludo, Alejandra.
Hola Sebastian,
Con cualquier dispositivo se puede navegar con normalidad SIN VPN.
Si aparece una direccion del tipo 192.168.x.x
La VPN que uso es FortiClient
Un saludo,
Itzi
Hola Itzi76
Agradecemos a Theliel por sus aportes a la Comunidad.
Gracias por la información adicional. Por lo que comentas, vemos que no puedes navegar ni con la VPN activada ni sin ella, tanto por WiFi como por cable. Esto indica que hay un problema, pero todavía no es posible determinar si está en el router, en tu equipo o en la configuración de la propia VPN, así que necesitamos recopilar algunos datos más para ayudarte.
Para empezar, prueba a conectar otro dispositivo (un móvil u otro ordenador) a la red WiFi del router, sin activar ninguna VPN, y verifica si puede navegar con normalidad. Esto nos permitirá saber si el problema afecta solo a tu equipo o a toda la red.
También sería útil que revises si tu ordenador está obteniendo una dirección IP correctamente. Si usas Windows, abre el Símbolo del sistema y escribe: "ipconfig"
Dinos si aparece una dirección del tipo 192.168.x.x. Si tienes instalado antivirus o firewall de terceros, prueba a desactivarlo temporalmente. En ocasiones pueden bloquear el tráfico, afectando tanto a la navegación normal como a las conexiones VPN.
Por último, indícanos el tipo de VPN que utilizas (PPTP, L2TP/IPSec, SSL, OpenVPN, FortiClient, GlobalProtect, Cisco AnyConnect, etc.), ya que algunos protocolos más antiguos pueden comportarse de forma inestable cuando se usan detrás de NAT.
Con estos datos podremos orientarte mejor y ayudarte a resolverlo lo antes posible. Estamos atentos para seguir contigo.
Un saludo, Sebastián.
Hola,
Despues de hacer las comprobaciones puedo decirles lo siguiente:
Funciona Internet:
- Desde otro dispositivo (datos móviles) con VPN conectada y SIN conectar la VPN.
No funciona:
- Con la VPN conectada y por Wifi
- Sin la VPN y por Wifi
- Después de reiniciar el router (con la VPN conectada y sin conectar)
- Con cable (con la VPN conectada y sin conectar)
Espero que se pueda solucionar porque no puedo trabajar.
Por último os confirmo que mi teléfono fijo es el 94****605.
Un saludo,
