Fibra: IPv6 y segundo router

Hola julio.gago 

Vemos que has aceptado el post como solucionado, nos alegra que la información dada haya sido de utilidad.  

No dudes en contactar de nuevo con nosotros si tienes cualquier consulta y/o problema.   

¡Gracias por confiar en nosotros y participar en la Comunidad!   

Un saludo.  

Iván.

Hola julio.gago 

Agradecemos a Theliel por su aporte.

Debido a que no nos es posible asesorarte sobre configuraciones avanzadas, en equipos ajenos a Movistar, esperamos que la información aportada anteriormente te haya sido de ayuda.

Si consideras que tu consulta está resuelta, te agradeceríamos que en el hilo que has abierto, pulsases en el botón “Aceptar como solución” del post en el que se te ha resuelto tu caso. Es importante para nosotros que vuestras consultas queden resueltas y para otros usuarios es útil utilizar estas respuestas para sus dudas.

Un saludo.

Yaneth.

Gracias de nuevo Theliel por todas tus ideas!

Tal vez sí tengo las cosas algo complicadas, pero también es parte de la gracia :), y responde un poco a la dedicación y el gasto que uno quiere dar. Lo habitual es cambiar de operador de internet según ofertas y necesidades, y eso significa que te ponen un router que casi siempre es bastante malillo. En su momento al cambiar del router del operador al de google, la red cambió como el día a la noche, sin cortes, con buena señal, etc. Y luego pues el router propio es el mismo aunque cambies de operador, lo cual se hace sencillo.

A mí tampoco me gustan las mallas wifi, los dos routers están conectados por cable, sin extender wifi, así que técnicamente son como puntos de acceso, no una mesh, y la verdad es que funcionan muy bien, los dispositivos hacen roaming entre ellos de forma transparente incluso en videollamadas. Mi vivienda es bastante grande y muy alargada, con una terraza bastante grande, y un único punto de acceso no funciona lo suficientemente bien.

Y eso a pesar de que casi todos los IoT están en una red Zigbee, que como dices es independiente de la wifi y usa su propia malla, eso también es muy robusto, las bombillas, los relés inteligentes, etc... funcionan siempre y no molestan.

La simplificación más evidente y que tengo que probar es la de dejar el HGU permanentemente en modo monopuesto, para quitar un punto que no aporta nada más.

La raspberry pi es el único servidor que tengo, con pi-hole, home-assistant, VPN y algunas cosas más, me permite automatizar cosas de domótica de forma fácil y versátil, tengo varios componentes dentro de contenedores docker, lo cual evita interferencias entre ellos, sube la demanda de recursos de la raspberry pi, pero vamos, va sobradísima igualmente. Tiene un consumo muy pequeño y es robusta, también está semanas o meses funcionando sin dificultades, se va la luz en casa antes de que haya que hacerle alguna cosa. El DHCP no está en la raspi, está en el router de Google, simplemente tiene asignados como DHCP servers la IP de la raspi, que lo que hace es de filtro DNS. Es buena idea eso que dices de que el router intercepte todo el tráfico DNS, creo que el router de Google no tiene esa posibilidad. Uso family link o equivalente según el sistema en los dispositivos infantiles, pero no lo hacen todo, los filtro de google son una segunda barrera y aporta otras funcionalidades.

Lo que dices del IPv6 y la seguridad es muy cierto, ya estaba al tanto de ello, pero tanto el router google como el unifi tienen su firewall y por defecto no dejan entrar nada por IPv6, hay que ir abriendo aquello que quieras permitir, pero es algo a tener en cuenta.

En fin, muchas gracias de nuevo por tus ideas y dedicación!

Julio

Buenas julio.gago 

Es muy habitual ver por aquí todo tipo de configuraciones "raras" de red, a fin de cuenta existe un número de formas ilimitadas de configurar nuestras redes, y aun más las necesidades de cada uno. Pero por lo general, es verdad que la inmensa mayoría se complica enormemente la existencia, invierte mucho más tiempo y dinero en estructuras deficientes y con "dogmas" hace mucho descartados. Y eso hace como digo que nos encontremos de todo por aquí. Por lo general, precisamente un mal planteamiento de base es lo que provoca una red con "problemas". 

Tal como un poco describes tu situación, y esto es opinión personal, creo que lo "enfarragas" todo un poco. Cuanto más sencilla sea una red, siempre será mejor. Eso no quiere decir que en muchas ocasiones queramos o necesitamos usar dispositivos propios, o que tengamos unas necesidades o requerimientos concretos. Pero lo que te puedo asegurar es que cuanto más simple y sencilla sea la red, muchos puntos potenciales de problemas vas a tener. Es infinitamente más sencillo gestionar 1 solo punto que 10.

-------

En tu caso particular por ejemplo:

1º. Entiendo que el Router de Movistar no te preste las funcionalidades que necesitas... ok, pues úsalo en monopuesto y coloca tu propio Router, sin más. Si la idea era usar el Router de Google, pero este tenía que estar como Router y por eso está así... entonces es que te equivocaste directamente de Router propio. Usa el hardware que realmente necesites, sin más. Al usar el HGU en monopuesto automáticamente estás quitando un punto "caliente", ya que de este modo TODA la gestión de la red lo va a llevar un solo dispositivo. 

2º. Mesh? WIFI?. Este es otro gran problema que tenemos, la manía de mucho de montar redes Mesh en entornos domésticos. No sé si será tu caso o no, pero... problemas. Lo primero es colocar el Router en la casa en el lugar adecuado, por lo general el porcentaje de usuarios que requieren un AP/Repetidor estando colocado el Router en el lugar adecuado es mínimo. Y si hiciese falta, un AP (no repetidor) en el lugar exacto que hiciese falta, controlando la potencia. No Mesh, no historias. Rendimiento, versatilidad, señal, velocidad, menos interferencias, más estabilidad... y menos dispositivos. 

3º. Domótica... este es otro punto habitual en discordia de muchos que hacen que su red IP crezca de forma dramática y con todo tipo de problemas. Tampoco sé si es tu caso ojo, hablo en general aquí. Lo mismo, hay protocolos y tecnologías específicas para Domótica!! Por eso se creo el maravilloso Zigbee, ni siquiera son dispositivos IP!!. Puedes tener una malla (en este caso si tiene sentido una red malla) de 50-60 dispositivos Zigbee gestionando y controlando totalmente la casa sin afectar en nada a tu red, ni a WIFI ni a cable. 

4º. ¿Una Rasp para Pi-Hole? Si claro, es una muy buena opción, pero en tu caso por lo que describes veo varios problemas. En primer lugar, aunque PiHole puede encargarse de DHCP, no es adecuado, la red debería de ser gestionada íntegramente por el Router, mucho más bregado y preparado para ello. Esto no corta en nada las funcionalidades de PiHole, y dejar este para lo que es, un cacheador/ bloqueador DNS. Es más, para que PiHole pueda realmente funcionar de forma correcta, requiere un Router que pueda configurarse internamente de forma correcta para interceptar las resoluciones DNS realizadas por cualquier dispositivo de la red y forzarlas a PiHole, ya que no pocos sistemas operativos e incluso navegadores pueden realizar peticiones DNS a servidores que no son los que han sido asignados por DHCP (Móviles/tablets a montones). También hay que tener en cuenta el potencial uso de DoT/DoH, cada vez más usado tanto en sistemas operativos como navegadores, lo que hace que se salten totalmente PiHole. Sin un Router detrás que pueda interceptar/bloquear su uso (DoT), o los sistemas de resguardo de los navegadores/sistemas operativos para "bloquearlos", PiHole puede hacerse totalmente ineficaz, incluso simplemente por desconocimiento, ya que muchos navegadores o sistemas operativos ya lo usan de facto habilitado. Esto es importante, porque no puede verse PiHole como un mecanismo de control parental, cualquier control parental debe de realizarse directamente sobre el dispositivo concreto, aquí tenemos maravillas como Google Family Link, por ejemplo.

5º. Cuidado repito con IPv6. Para experimentar y probar, bien. Pero hay que saber muy mucho las ventajas e inconvenientes, y tener hardware completamente preparado, y capaz de configurarse y gestionarse. Un ejemplo sencillo las redes móviles. Movistar habilitó hace ya tiempo IPv6 para las conexiones de datos en su APN por defecto. Esto en Android no supone un problema ya que puedes deshabilitar en el APN IPv6 sin problema, pero en IOS esto es un problema enorme porque no puedes. Y el problema es que cuando el móvil tiene IPv6, está expuesto directamente a Internet SIEMPRE, y no tiene un Firewall interno que lo proteja. Esto quiere decir que tienes problemas de mayor consumo de batería, potencialmente peligros de intrusión y otros. Para tener en los móviles actuales un Firewall real, únicamente en Android y con Root, lo cual obviamente no es algo que la inmensa mayoría pueda o sepa. En la red fija pasa un poco lo mismo, se requiere poder configurar en condiciones el Router para estar totalmente seguro que el FW del Router va a actuar sobre IPv6 como si hiciese NAT... es decir, bloqueando por defecto cualquier conexión entrante. 

Esto con IPv4 no es necesario porque NAT de facto ya bloquea todo el tráfico entrante no solicitado... no sabría a donde enviarlo, por eso se requieren apertura de puertos. Pero en IPV6 donde el dispositivo final está expuesto y alcanzable... es un problema. Y sí, es paradójico, porque precisamente una de las cosas malas que siempre se han quejado de IPv4 y ventaja de IPv6, realmente es una protección automática para los usuarios que ahora con IPv6 se hace obligado tener 🙂

-----------------------------

Simplifica. Usa un Router propio que realmente te de todo lo que necesitas, y sobre todo que puedas totalmente manipular. Ubiquiti? Bueno, mi experiencia con ellos precisamente vienen de otros compañeros, tengo unidades incluso donadas por algunos, y tengo que decir que aunque no me desagradan del todo dejan mucho que desear en muchos aspectos... es entrar en un ecosistema complicado, donde el servicio postventa a veces deja mucho que desear, y tienen muchas limitaciones... Pero a lo que voy, un dispositivo que te solvente todo, no un dispositivo que luego tengas que poner otro como parche, y luego otro, y luego otro... lo mismo con tener varios dispositivos en casa como "servidores"... por ejemplo que si una Rasp para esto, otra para otra cosa, por otro lado .... mucho mejor tener por ejemplo un NAS o un PC dedicado como servidor para gestionar las funciones avanzadas de la red (PiHole, HomeAssistant, VPN, servidor de medios...) que no tener un popurrí. 

Al final es simplificar, tener bien configurado a lo mejor uno o dos dispositivos y listo. Y además es mucho más portable, con los años es más sencillo simplemente sustituir uno por otro y dejar todo igual. 

Con los años te digo que es lo que he ido haciendo, hasta llegar a un compromiso muy equilibrado de dolores de cabeza, versatilidad, estabilidad... Y lo cierto es que a día de hoy, pasan días, semanas y años sin tener un solo problema en la red. De cuando en cuando actualizar mis listas de dominios e IPs a bloquear/permitir, mantener actualizado siempre las firmware, Docker y otros al menos cada 3 meses y andando. 

Saludos y espero que te sirva 🙂

Uau, muchísimas gracias por la detalla explicación, me has ayudado a entender mucho mejor los detalles, seguramente necesitaré un tiempo para digerirlo y aclarar bien los conceptos.

El doble NAT es un poco "obligatorio" porque ese segundo router en realidad son dos, conectados por ethernet, para tener dos puntos de acceso y repartir bien el wifi por la vivienda, con uno no me basta, y ese primer punto de acceso tiene que estar en modo NAT y no bridge para que funcione el segundo, limitaciones del sistema. Además proporciona una gestión detallada e intuitiva de los dispositivos infantiles en casa que quiero conservar.

Hoy en día habría comprado otra cosa, como un Unifi que tengo en otra vivienda y que es un lujo en comparación. Para evitar el doble NAT puedo volver a probar de poner el HGU en monopuesto, pero por lo que mencionas eso no debería ser la limitación de IPv6.

Lo de DMZ me pareció una forma rápida de redirigir todas las conexiones entrantes al segundo router, que tiene su firewall y sus puertos abiertos hacia la raspberry pi, que tiene varios servicios corriendo. Me pregunto si eso podría estar interfiriendo con IPv6, aunque por lo que comentas me ha parecido que no.

Lamentablemente el router de google tiene poca configuración IPv6, básicamente tiene un botón de "on/off" y se comporta como he anotado en uno de mis mensajes, y que sonaba compatible con la explicación que me has dado. Dicho esto, he visto en Reddit que hay algunas limitaciones no documentadas, típico de google, y que tengo que investigar, como por ejemplo temas de DNS... por lo que explico a continuación.

La raspberry pi me hace de filtro de publicidad basado en DNS con pi-hole, es decir el segundo router usa la raspberry pi como DNS y es lo que entrega via DHCP (v4) a todos los dispositivos, con esto tengo una reducción brutal de publicidad en todos los aparatos de casa. Espero que eso tampoco esté interfiriendo con IPv6.

Si fuera IPv6 imprescindible tiraría el Google a la [....] y me compraría otro Unifi como el que tengo en la otra vivienda, con Starlink, la configuración de IPv6 fue un abrir y cerrar de ojos. Aquí solo la necesito para conectarme a esa otra vivienda usando la IPv6 pública. Pero como no es imprescindible, pues si no consigo que funcione aquí acabará el experimento.

En fin, muchas gracias de nuevo, seguiré digiriendo tus explicaciones y haciendo pruebas, ya os contaré por aquí si hay alguna novedad.

Saludos,

Julio.

Más detalles: en el router de movistar tengo activada la DMZ hacia el router de google (192.168.0.2), pero asumo que eso solo afecta a IPv4.

El router de google tiene algunos puertos abiertos hacia una raspberry pi 4 donde tengo un centro de domótica y otras cosas, como VPNs, etc.

Mirando la documentación del router de google, veo esto:

He olvidado indicar que el segundo router está conectado por ethernet al primero, con con configuración IPv4 estática (IP 192.168.0.2, máscara 255.255.255.0 y default a 192.168.0.1). Así que hay doble NAT. He probado brevemente de poner el primer router en modo monopuesto y cambiar la configuración del segundo para usar PPPoE, todo va bien pero no hay IPv6 tampoco.