ONT Ubiquiti Nano/Loco Compatibilidad

Hola CCNA_Rookie 

Gracias por dejar el hilo con la solución marcada. Agradecemos también una vez más la ayuda prestada por Theliel  

Damos por cerrada la consulta recordándote que, ante cualquier duda, estamos a tu disposición. 

Un saludo.

Nieves

Buenos dias,

Muchas gracias Theliel . Doy por cerrado el hilo.

Saludos.

Hola CCNA_Rookie 

Agradecemos a Theliel su aportación y esperamos que te haya servido de ayuda.

Un saludo.

Fernando.

Gracias Theliel por la respuesta como siempre.

Me llego el ONT y como tengo 30 días para devolverlo lo voy a probar. Si en ese tiempo consigo sacarle algo al HGU y lo de la voz lo cambiare. Lo del RIP se me escapa de las manos y además por interfaz creo que no puedo hacer mucho en el fritzbox. Puedo acceder por consola ala ONT pero no al fritzbox que además parece ser que lo caparon en uno de los últimos firmware y forzarlo que seguro que se puede también se me escapa de las manos, de momento 🙂 La ONT funcionar funciona (al menos los datos) aunque si es cierto que me saltan errores en los logs que no tengo ni la mas remota idea de lo que son.

Solo me gustaría hacerte dos preguntas mas. Intentare explicarme lo mejor posible pero si no tiene sentido es una estupidez me lo dices como tal y ya esta. No hay problema.

La ONT solo tiene un puerto ethernet que como es lógico va al WAN del router. La ONT y el router están en diferentes redes. Me gustaría acceder a la interfaz de la ONT desde el ordenador a través del router. Entiendo que esto se consigue con una ruta estática pero el menú del router no me deja especificar interfaz e indicando como gateway la IP del router no tiene resultado. En los logs del router filtrando por los de conexión a internet me da un gateway con una ip privada cuando establece conexión que yo asumo que es la ip de la ONT pero no lo se. En cualquier caso especificar esa ip como gateway en la ruta estática tanto como 0.0.0.0 me dice que que la ruta es incompatible o ilegal. Supongo que esto es por la interfaz del router y que la única manera de hacerlo seria por consola pero me gustaría saber si lo que estoy intentado es correcto. Entiendo que en la ONT al estar en modo bridge no hace falta crear ninguna ruta estática.

La otra es que puedo especificar la red de la ONT en la ONT. Como ya digo esta en una diferente al router. Dado que la ONT solo se conecta al router sirve de algo o es conveniente ponerla un /29 o /30 en vez de /24??

Como te digo si no tiene sentido o es una estupidez me lo dices como tal.

Agradecerte otra vez las molestia y el tiempo invertido en este hilo y en todo el foro en general.

Saludos,

Hola CCNA_Rookie 

Agradecemos a Theliel su colaboración y esperamos que su aporte te haya servido de ayuda.

Un saludo.

Fernando.

Buenas CCNA_Rookie 

Perdona, suelo "perder" los hilos 🙂

Por lo general el aislamiento evita que dispositivos puedan conectarse con otros. No obstante dependiendo de internamente como cada fabricante lo configure pues así variará. Incluso dentro de los propios aislamientos hay enfoques diferentes. Para algunos el aislamiento es total, es decir, no pueden ver a nadie ni interactuar con nadie. Para otros pueden interactuar dentro de la misma red WIFI pero no fuera de ellos. Para otros pueden tener acceso al Router para otros no... internamente son sencillas reglas iptables/ebtables que limitan la interacción de unos con otros, pero como puedes hacerlo de mil formas diferentes, al final es el que esté desarrollando dicha firmware la que entiende que es mejor una u otra opción.

En cualquier caso esto es irrelevante, el Router no es más inseguro o seguro porque alguien pueda por WIFI acceder a él, para eso tiene un acceso restringido por contraseña y además acceso a él, y partamos de la base repito que a menos que la red WIFI esté abierta, nadie va a conectarse a tu red WIFI sin la contraseña. Y a día de hoy pese a lo que muchos puedan creer, si se tiene deshabilitado WPS (esencial), WPA2-PSK AES (o WPA3) con una contraseña que sea mínimamente decente, no se requiere absolutamente nada más.

Vale, se podría robar la contraseña estando conectado en la propia red local de la casa con un ataque Mitm, pero de nuevo implicaría poder estar conectado a la casa, lo cual con lo anterior explicado es inviable.

La tecnología repito, debe de ser siempre una herramienta para facilitarnos el día a día, no para ser esclavos de ella. Obviamente no existe el sistema perfecto, así que la seguridad va siempre en manos de la usabilidad. De nada sirve poner una contraseña de 100 letras si esta la apuntamos en un posit al lado del PC, pero igualmente tampoco vale para mucho una contraseña de 100 letras, ya que cada vez que la tengas que poner tienes que escribir una parrafada que posiblemente incluso teclees algo mal. A día de hoy existen sistemas con una seguridad altísima sin sacrificar obviamente esa usabilidad.  Es lo mismo que cuando un usuario se dedica a mantener una lista negra en los filtrados MAC, invirtiendo horas de su tiempo a lo largo del año... cuando cualquiera que realmente si quisieses colar en la red tardaría escasos 5 segundos en saltarlo. Es decir... no compensa, hay que buscar otros sistemas.

A todo ello hay que añadir que además, en cualquiera de los casos son equipos donde tú no puedes crear tus propias políticas de seguridad, con lo que en cualquier caso estás confiando la seguridad al fabricante del dispositivo o a quien ha creado la firmware. Con lo que de nuevo sigues estando totalmente vendido por esa regla de tres.

-------------------------

Respecto a denegar a Movistar el acceso al Router es sencillo, pero entonces te quedas sin actualizaciones de firmware lo cual es esencial, sobre todo para la seguridad. Movistar no necesita acceder a la ONT para nada, y menos a través del Router, aunque existen protocolos específicos para ello a través de OMCI. Es decir, que si quisiese podrían acceder a la ONT igualmente. En este caso al estar la ONT integrada, de todos modos cualquier modificación o cambio sería a través de actualización de firmware estándar, del mismo modo que se actualiza por ejemplo el SoC quantenna del propio Router, no se lanzan actualizaciones parciales de uno de los componentes del Router

Si por alguna razón te es esencial que Movistar no pueda acceder, pues se eliminan las reglas en el Firewall y se deshabilita el cliente TR069 del Router, aunque repito que todo ello conlleva indirectamente una peor seguridad.

----------------------------

Y con relativo a impedir al final el acceso de quien sea al Router, el propio Firewall del Router se puede configurar para ello sin necesidad de aislamiento alguno, se puede crear una cadena nueva para el bridge, y sobre ella las reglas que uno quiera. No da la misma libertad que podría dar el poder escribir reglas iptables directamente, pero se puede más o menos configurar a gusto.

----------------

Eso es todo lo que encontré. Pero el radio no se deshabilita si apagas el wifi en el menú básico??

Lo de solo tener el guest wifi no es solo por el isolation, si no por si el router pudiera aplicar otras cosas automáticamente respecto a seguridad (que lo desconozco).

"Creo" y repito creo que en alguna ocasión con algún router domestico aun teniendo el client isolation si te deja acceder al a interfaz si estas conectado al wifi domestico/casa/principal y por lo general la opción de bloquear el acceso a la interfaz de configuración por wifi no es posible. Como no me gusta que se pueda acceder a la interfaz por wifi, no necesito que mis dispositivos se comuniquen entre si pues uso directamente la guest y ya esta (y esto tampoco siempre dejan hacerlo). Hablo siempre de routers domésticos.

Como podría hacer para que Movistar tenga acceso a la configuración de la ONT pero a nada mas del router. Si bloqueo las reglas en el firewall entiendo que tampoco tendrán acceso a la ONT para realizar cualquier cambio de configuración de los que me comentabas en los primeros post no?

Gracias.

Saludos.

Buenas CCNA_Rookie 

He accedido por remoto al de una "hermana"

Está tanto oculto como deshabilitado el control, se puede tanto habilitar como mostrar. Sí, al aceptar o refrescar posiblemente se esfume de nuevo, pero el ajuste se debería de aplicar.

Sobre redes de invitados no soy para nada partidario su uso. Si por el motivo que sea se requiere una red abierta que va a estar a disposición de media humanidad, o con contraseña pero de acceso constante por terceras personas que no son de la casa (un hotel, piso compartido, bla bla bla), con mucha diferencia la mejor forma de hacerlo es interponiendo un Router dedicado para ello, creando una red totalmente independiente, teniendo el Router únicamente acceso a Internet.

Sí, en principio se puede habilitar el aislamiento WIFI para evitar que la red WIFI pueda tener contacto con otros dispositivos, para eso está (isolate), al igual que también se podría configurar el Firewall del Router para evitar el acceso a él según que dispositivos, aunque sería por IP en este caso.

Con el aislamiento de red no es necesario realmente nada más, está precisamente para eso. Tener otra red independiente para la red WIFI implicaría en esencia o tener una red diferente real con otro Router, o hacerlo por VLAN y tener otro servidor DHCP asignando en dicha VLAN. En teoría el Askey también lo puede hacer, en Interface Grouping creo que se llama, donde se tendría que sacar la red de invitados del bridge principal y crear un grupo solo con ella. Eso debería permitir otro servidor DHCP. No obstante que funcione o no es otro cantar, sin contar con diversos problemas que puedan aparecer.

Dejarlo en Monopuesto no tiene mayor complicación, deshabilitar WIFI que es totalmente innecesario y nada más.

Respecto a conectar el teléfono directamente y que todo funcione, dudo bastante que sea conectar y funcionar, por dos motivos. El primero es que es obligado configurar el ATA interno del Fritz o no puede funcionar de modo alguno, y en segundo lugar porque aun cuando estuviese configurado lo que es el ATA, el Router lo tendría bien complicado saber hacia donde tendría que reenviar el tráfico.

No es algo que pueda detectar automáticamente, tendría que tener en todo caso unos perfiles internos y poder seleccionar tu específicamente Movistar o lo que fuese.

Hola Theliel 

No pasa nada. De verdad que te entiendo. Quizás sea yo el que no me explique bien o simplemente no lleve razón.

Ayer estuve mirando y encontré varias opciones ocultas. En configuración avanzada/wireless tanto en wl0 como wl1 la primera pestaña es la de  "Basic" que es el cuadro donde te aparecen todas las SSID para habilitarlas, ocultarlas en numero máximo de clientes etc..

Tolas las opciones que están ocultas aparecen arriba de ese cuadro como deshabilitar el guest wifi, radio y mas. No habilite todas pero tampoco encontré una que sea claramente la importante por eso te preguntaba. Dentro de wireless/advanced habilite todas las opciones pero no encontré ninguna oculta. No puedo subir capturas ahora pero lo hare, por que además tardo un rato en hacerlo y me expira la sesión, si refresco la pagina no me carga y tengo que cerrar todo y hacerlo otra vez.

No se si se puede editar el código de forma "permanente" pero tampoco me gustaría hacerlo no vaya a ser que la lie y no sepa arreglarlo.

No se que es exactamente lo que tengo que buscar pues entiendo que quito el check de "enable" a las ssid de la tabla en la pestaña "basic" y hago lo mismo con las interfaces en la pestaña "guest AP" (creo recodar) eso debería tumbar el wifi no?? No se si te refieres a algo que deshabilite las antenas a nivel de hardware o algo así.

Otra cosa que me gustaría hacer si se puede es bloquear el acceso a la interfaz por wifi. Ahora solo tengo levantada la red de invitados con lo que en teoría no hay acceso pero me gustaría configurarlo para que solo se pueda por ethernet.

También me gustaría que la interfaz de invitados estuviera en una red diferente. Todos los dispositivos reciben el mismo rango IP y entiendo que mi red es un .0/24 por que puedo configurar el DHCP del 1 al 254. Entiendo que el bloqueo es a nivel de firewall pero en teoría es mejor tener una red diferente no? Imagino que esto si se podrá hacer pero no se exactamente como y no te quiero freír a preguntas. Lo que mas me interesa es dejar el monopuesto lo mejor posible.

También he visto quien con el HGU simplemente en monopuesto y la voz configurada en el FritzBox el teléfono funciona. No se si el Fritzbox hará lo oportuno automáticamente pero me resulta extraño la verdad. Ya lo probare. 

Intentare subir capturas y resultado de todos para quien la pueda valer.

Gracias,

Saludos.