Fallo selectivo de conectividad TCP entre AS3352 y Cloudflare R2 S3

Question

Hola:&nbsp;Solicito que esta incidencia se escale al equipo central de red, routing o peering de Telefónica/Movistar. No parece una avería del router ni un bloqueo general de puertos.&nbsp;Desde una conexión de fibra Movistar en España (AS3352), el endpoint S3 oficial de Cloudflare R2 resuelve de forma consistente, usando el DNS del sistema, 1.1.1.1 y 8.8.8.8, a estas direcciones:&nbsp;- 172.64.66.1- 172.64.190.1&nbsp;Las conexiones TCP a los puertos 443 y 80 de ambas direcciones agotan el tiempo de espera. Sin embargo, api.cloudflare.com, developers.cloudflare.com y otras direcciones de Cloudflare sí son accesibles desde la misma línea y el mismo equipo.&nbsp;Comprobaciones locales realizadas:&nbsp;- El firewall PF de macOS está desactivado y no existen reglas de bloqueo.- No hay proxy HTTP/HTTPS, VPN ni extensión de filtrado de red activa.- La tabla de rutas es normal.- Una captura de tráfico realizada el 22-08-2026 a las 18:13 CEST mostró cinco SYN TCP salientes hacia 172.64.66.1:443 y ninguna respuesta entrante.- Las pruebas directas con curl y nc, fuera de nuestra aplicación, reproducen el fallo.- Caddy, MediaMTX y la aplicación no participan en estas pruebas directas.- El router no tiene ninguna ACL ni regla de firewall de salida aplicable.- El traceroute TCP alcanza la puerta de enlace y varios saltos de AS3352, pero después deja de recibir respuestas.&nbsp;Pruebas independientes desde sondas de Globalping:&nbsp;1. Telefónica AS3352 hacia 172.64.66.1:443: 0 respuestas de 9https://api.globalping.io/v1/measurements/2DKZGZGWpFZxyplpv00020zo2&nbsp;2. Telefónica AS3352 hacia 172.64.190.1:443: 0 respuestas de 9https://api.globalping.io/v1/measurements/2Hb4pz21nCzTjQofZ00020zo3&nbsp;3. Las mismas sondas AS3352 hacia una dirección de control de Cloudflare, 172.67.202.73:443: 9 respuestas de 9https://api.globalping.io/v1/measurements/2kWpGhJBmQRYD0nsy00020zo3&nbsp;Además, sondas independientes de otras redes europeas alcanzan 172.64.66.1:443 sin pérdida. Por tanto, la evidencia apunta a un problema selectivo de encaminamiento o ruta de retorno entre AS3352 y estos destinos anycast de Cloudflare R2, no a un bloqueo general del puerto 443 ni a una configuración local incorrecta.&nbsp;¿Podéis escalarlo al equipo de routing/peering para que revise los anuncios BGP y la ruta de retorno entre AS3352 y 172.64.66.1 / 172.64.190.1? Agradecería también un número de incidencia o referencia técnica para poder coordinar el seguimiento con Cloudflare.&nbsp;No necesitamos abrir puertos entrantes ni modificar el router. El problema afecta a conexiones TCP salientes hacia esos destinos concretos.&nbsp;Gracias.

Técnico-Movistar · Answer

Hola alanlopeze&nbsp;
&nbsp;
De ante mano te pedimos disculpas por los inconvenientes que estas presentando con el servicio. Te agradecemos por la información a detalle que nos has proporcionado, sin embargo para poder ayudarte y realizar una revisión correspondiente de tu servicio, necesitamos que nos envíes por privado los siguientes datos:

&nbsp;
 Número de teléfono asociado al contrato.
 Nombre, apellidos y DNI del titular de la línea.&nbsp;
 Dirección completa donde está la instalación (provincia, población, calle y nº)
 Teléfono y persona de contacto, por si fuera necesario.

&nbsp;
Para enviarnos el mensaje, solo tienes que colocar el cursor sobre nuestro nombre de usuario "Técnico Movistar" y seleccionar la opción "Mensaje". Si lo prefieres, puedes pinchar aquí para ver el paso a paso de cómo hacerlo.
&nbsp;
Muchas gracias por participar en la Comunidad.&nbsp;&nbsp;
Un saludo, Gabriela.&nbsp;
&nbsp;

alanlopeze · Answer

Enviado

alanlopeze · Answer

enviado

Theliel · Answer

Buenas alanlopeze​&nbsp;
Te copio y pego lo comentado a otro compañero, puesto que posiblemente sea lo mismo:
Es complicado saberlo al 100%, pero muy probablemente se deba simplemente a los filtros de LaLiga que tiene impuestos por IP, y no por dominio, desde que hace ya muuuchos meses un juez se los permitió. Sí, suena descabellado y totalmente absurdo bloqueos por IP dado que ello podría afectar enormemente a cualquier infraestructura de proveedores CDN y otros. Así por esta medida tanto CloudFlare, Azure y otros se han visto enormemente afectados por esta medida.
Al menos ahora intentan que los bloqueos únicamente se lleven a cabo durante las horas del Futbol... de ahí que si hilas fino te darás cuenta, si es tu problema, que a ciertas horas del día coincide con eventos de Futbol...&nbsp;
El problema es que no hay solución real... hasta que no se logre recurrir la sentencia o acudir a otro órgano superior... pues es lo que queda. La medida no la tiene que cumplir Movistar, técnicamente todos los ISP, en mayor o menor medida. Podría usar bloqueos de dominio? Si, es lo que se hacía antes, pero gracias (que no por culpa) a DoT/DoH + ECH es un método que no vale para nada. Así que intentaron con la opción nuclear y el juez lo permitió. Triste enormemente... en la sentencia se suponía que obviamente no podría existir daño colateral... cosa que se sabe que sí lo hay. Ya intentó CloudFlare que lo retirasen por ser abusivo, pero perdieron por falta de pruebas que pudiesen demostrar que había realmente daño a terceros. En algún lado CloudFlare incluso puso un formulario para recoger dichas pruebas, pero... hasta donde yo sé no ha trascendido nada más.
Así que me temo que si ese es tu problema, y caes en un rango que está siendo reportado por LaLiga como emisores de contenido ilegal... podría ser otro problema diferente, pero lo dudo enormemente.
Saludos.

alanlopeze · Answer

Técnico-Movistar​ Necesito saber si es posible que me den una solucion o es como dice el compañero que me da esa información de bloqueos selectivos. quiero que mi conexion funcione de manera correcta para seguir desarrollando mi software

Foro

Fallo selectivo de conectividad TCP entre AS3352 y Cloudflare R2 S3

5 Respuestas

Contenido relacionado

Problema dns Cloudflare

Conectividad IPv6

Conectividad galaxy watch 8