Buenas RRTTSS
Intento explicarte algunas cosillas y resolverte algunas dudas, pues creo que estáis mezclando diferentes cuestiones, y otras se están mal interpretando.
Empecemos por los tracert:
1º.Si existiese algún problema en la red de Movistar, los paquetes, todos ellos, se perderían en su red. No es así. En el salto 14 estamos en la red de Amazon, que es realmente la infraestructura en la que se encuentra el servidor de epicgames que pones. Es decir, que realmente si hiciésemos caso tan solo a este dato, que ya veremos más adelante que no es real, Movistar no tendría absolutamente nada que ver en ello, sería problema de la red de Amazon, o incluso a los servidores de EpicGames que tengan en AWS. El tráfico sale de la red de Movistar de forma correcta, lo que pasa más allá, ya no depende de Movistar, sino de la siguiente red.
2º. En este caso en particular también es falso que se pierdan los paquetes. Y explicar esto es algo más complicado. Las herramientas tipo tracert/ping funcionan haciendo uso de un protocolo especial llamado ICMP, que en esencia "inducen" al destino a responder con tráfico ICMP específico. Pero los destinos no tienen por qué responder a esto. De echo muchos nodos bloquean directamente todo el tráfico ICMP, otros tan solo lo discriminan o priorizan. Por ejemplo, si miras el salto 12 o 13 pasa lo mismo, supuestamente se pierden.... pero si realmente se pierdiese ahí el 100%, no existiría nunca el salto siguiente, obviamente.
Y como saber si esa pérdida es real? Bueno, es complicado, normalmente se requiere algo de práctica, sentido común y un poco de investigación. Por lo general miramos el destino, para ver si existe un final accesible, lo cual nos suele dar la pista. En este caso el destino final en apariencia no responde, con lo que no podemos saber si quien no responde es el servidor final, o un nodo anterior... que en cualquier caso repito estaría en la red de Amazon, con lo que no se podría hacer nada.
PERO, aquí entra ahora la experiencia. Amazon suele por regla general bloquear el tráfico ICMP en su red. Esto significa que normalmente una vez llegas a su red, poco más vas a poder obtener. Pero esto no quiere decir que los paquetes realmente se pierdan, sino que esos nodos y servidores finales están configurados para no responder específicamente al protocolo ICMP, todo el resto de tráfico normal funciona sin problema alguno. Repito, esto es simplemente basado en la experiencia. Otros escenarios podrían ser totalmente diferentes. Pero esto no es una ley, y aquí las cosas hay que demostrarlas, así que es cuando la experiencia nos dice algo, podemos comprobarlo igualmente, si ver si realmente ese destino es inalcanzable.
Puedo realizar la misma prueba que tú, y lanzo un WinMTR para ver la traza y si hay contestación del destino. Obtengo lo mismo que tú, borro algunos nodos para no hacer el copiar/pegar largo:
|-------------------------------------------------------------------------------------------|
| WinMTR statistics |
| Host - %% | Sent | Recv | Best | Avrg | Wrst | Last |
|-------------------------------------------------|------|------|------|------|------|------|
| 192.168.2.1 - 0 | 14 | 14 | 0 | 0 | 1 | 0 |
| 192.168.144.1 - 0 | 14 | 14 | 1 | 1 | 3 | 2 |
...
| 5.53.4.63 - 60 | 5 | 2 | 115 | 116 | 118 | 115 |
| 5.53.1.229 - 0 | 14 | 14 | 114 | 115 | 121 | 114 |
...
| 52.93.28.98 - 0 | 14 | 14 | 115 | 117 | 129 | 115 |
| No response from host - 100 | 3 | 0 | 0 | 0 | 0 | 0 |
...
| No response from host - 100 | 3 | 0 | 0 | 0 | 0 | 0 |
Pero hay muchas otras formas de saber si realmente ese destino bloquea el tráfico ICMP o realmente está caído. Por ejemplo, se puede lanzar un escaner de puertos sin ping:
nmap -Pn qosping-aws-us-east-1.ol.epicgames.com
Starting Nmap 7.92 ( https://nmap.org ) at 2023-05-07 03:10 Hora de verano romance
Nmap scan report for qosping-aws-us-east-1.ol.epicgames.com (54.82.195.216)
Host is up (0.0020s latency).
Other addresses for qosping-aws-us-east-1.ol.epicgames.com (not scanned): 52.203.3.55 34.193.154.39 34.194.116.183
rDNS record for 54.82.195.216: ec2-54-82-195-216.compute-1.amazonaws.com
Not shown: 999 filtered tcp ports (no-response)
PORT STATE SERVICE
53/tcp open domain
Es decir, el servidor que has puesto, aunque bloquea el tráfico ICMP, puede verse que está activo. Es más, tiene un servidor DNS hospedado en él. Como tenemos un puerto que usa el destino, podemos hacer un "ping" a ese puerto para saber la latencia, y lo llamo "ping", pero no es realmente un ping, no hace uso de ICMP, simplemente mide el tiempo de la conexión al puerto:
nping --tcp -p 53 qosping-aws-us-east-1.ol.epicgames.com
SENT (0.1250s) TCP 192.168.2.2:40940 > 52.203.3.55:53 S ttl=64 id=41331 iplen=40 seq=2986582286 win=1480
RCVD (0.1280s) TCP 52.203.3.55:53 > 192.168.2.2:40940 SA ttl=63 id=0 iplen=44 seq=3764077475 win=65535 <mss 1460>
Una latencia por tanto de 30ms hacia el destino final. El servidor es alcanzable, no existe problema alguno en ruta, que ya de por sí, como decía desde un principio, en cualquier caso no existía en la red de Movistar.
-----------------------------------------------
Pasamos a otro punto, los puertos.
Por lo general si acudes al servicio técnico de un desarrollador de juegos o consola, te van a decir sandeces, que ellos mismos saben que carecen de sentido y mezclan conceptos, al final para, obviamente, culpar a cualquiera menos a ellos mismos. Que ojo, muchas veces no tienen culpa de nada, por supuesto, pero muchas otras sí.
En este caso en concreto, tienes que entender algo muy diferente. Cualquier conexión en Internet que use protocolos TCP/UDP (la inmensa mayoría) hacia cualquier servicio requiere tanto un puerto de origen como un puerto de destino. El puerto de origen es el puerto del dispositivo QUE INICIA LA CONEXION. El puerto destino es el puerto que aloja el servicio a usar, obviamente hacia donde está destinada dicha comunicación.
Teniendo en cuenta lo anterior, obviamente si un juego o cualquier aplicación requiere que la comunicación se realice por el puerto X o Y, dichos puertos deben de estar listos para su uso. Pero repito, hay que diferenciar muy bien si el puerto es de origen o destino, y este es la madre del cordero en asuntos de puertos. Los desarrolladores/consolas... en este caso EpicGame no te está diciendo de todos esos puertos cuales se requieren para tráfico entrante y cuales para tráfico saliente, simplemente se limitan a poner una lista de puertos sin más, sabiendo además que lo más normal es que el usuario entre en cólera al ver que "no puede"... pero no es que no pueda, es que realmente no ha entendido lo que te están diciendo... y lo hacen así queriendo para confundir.
Cuando tu te conectas a un Router, al tuyo por ejemplo, este al hacer NAT por defecto bloquea absolutamente todo el tráfico entrante que no ha sido solicitado. Es decir, impide que el exterior inicie una comunicación con un servicio de tus equipos. Es decir, el Router bloquea por defecto cualquier intento de acceder desde fuera a un puerto de destino de tu red. Pero el Router no bloquea por defecto, por otro lado, ninguna conexión saliente, es decir, ninguna conexión que se inicia dentro de tu red local hacia cualquier destino y puerto.
Y esto es una enorme diferencia. Sí, existen empresas y entornos de seguridad donde un Router puede bloquear el acceso a ciertos servicios externos, bloqueando puertos remotos... es decir, un Router puede bloquearte el acceso al puerto 443 de cualquier destino si se configura para ello. Pero esto no pasa en ningún Router residencial
Muchos de los puertos que te ponen en la lista, son puertos hacia los que tú te conectas a destinos remotos. Por ejemplo, cuando dicen que tienes que poder usar el puerto 80 o el 443, no te están diciendo que el Router tenga que habilita el puerto 80/443 para conexiones entrantes, EN ABSOLUTO!! Lo que te están diciendo es que el Router no puede bloquear el puerto 80/443 para una conexión saliente. es decir que si tu equipo quiere conectarse a la página de Google, pueda hacerlo, y digo la página de google porque los puertos 80/443 son los puertos de HTTP/HTTPS, es decir, los puertos por defecto que usan los servidores Web. Si el Router bloquease las conexiones salientes a esos puertos, no podrías navegar por Internet.
El Router no bloquea ninguna conexión saliente, sea cual sea el puerto. Lo único que bloque por defecto son todas las conexiones entrantes no solicitadas. Ahí, y solo ahí, es cuando tenemos que abrir puertos en el Router.
Para que veas lo totalmente absurdo de la lista que te dan sin especificar que tipo de puertos son. Según eso, tendrías que dedicar los puertos desde el 12000 hasta el 65000 solo para un juego para un equipo?? Vamos, que solo un juego se estaría comiendo casi todo el rango de puertos, lo que implicaría que sería complicado que pudieses hacer nada más por internet.
Casi todos ellos son puertos de salida desde el punto de vista de tu Router, es decir, puertos a los que tendrías que poder conectarte desde tu red local... y esto es ya de por sí cierto, ya que repito, el Router no bloquea ninguno.
El 80/443 es servidor Web, así que a menos que hospedes un servidor Web en tu consola/ordenador, esos puertos abiertos en el Router no valen para nada, y obviamente no los requiere ningún juego... repito, no los requiere para conexiones entrantes, que son los puertos que tú abres. Tú, claro que puedes conectarte al destino que sea a esos puertos.
El 3478/2479 se usa para STUN... STUN es una técnica para que por ejemplo un juego o aplicación que tengas pueda conocer tu IP Real... y obviamente son conexiones de nuevo salientes, tampoco se tienen que abrir estos puertos, no valdría para nada, solo para aumentar peligros.
5060/5062 son los puertos SIP, de nuevo, a menos que tengas un servidor SIP en tu casa, y no lo tienes, no tendrías que abrirlos. Realmente en este caso particular si que los usa el Router por la telefonía VoIP, pues el teléfono actual de fibra va por SIP, pero que no tiene nada que ver, ya que de nuevo aquí serían necesarios para tráfico saliente.
El 5222 es habitualmente usado para protocolos tipo Jabber... este en particular, y dependiendo de la aplicación a lo mejor si podría ser realmente necesario abrirlo en el Router, pero sin más datos que puedan dar la compañía y dado que ellos no te dicen realmente que puertos se requieren para conexiones entrantes... pues solo es especular.
El 6250 es desconocido no se usa en general para nada, con lo que sí podría ser realmente el puerto que usa el juego y que sí se requeriría abrir en el Router.
El 12000/65000 ya lo he dicho, es una estupidez, no hacen falta tampoco abrirlos, no vale para nada.
------------------------
Como puedes ver, nada de eso te dice EpicGame. En realidad no te mienten, ellos no te dicen en ningún momento que tengas que coger todos ellos y ponerlos en el apartado NAT, en PortForwarding. No lo hacen porque sería falso. En cambio usan simplemente palabras que pueden ser ambiguas para el usuario menos diestro en el asunto, y solo usan la palabra "bloquear", es decir, que te asegures que esos puertos "no se bloqueen". No te está diciendo que se abran en el Router, que es totalmente diferente. Y repito, por defecto, TODOS los puertos remotos para conexiones salientes están disponibles siempre, no se bloquea nada. Son muy listos, bien podrían darte la lista separada y decirte simplemente los puertos que realmente se requieren en NAT para el juego, que serán uno o dos como mucho por lo general.
-----------------
Voy más allá, todo lo anterior también importa poco, porque si el equipo que se usa tiene habilitado upnp, y el Router también, ni siquiera es necesario abrir ningún tipo de puerto, el Router lo hará automáticamente según lo necesite.
------------------
Y para acabar, sobre lo que dices de el puerto 80... Una regla en el Firewall no tiene absolutamente nada que ver con hacer un mapeo de puertos, aka abrir un puerto, aka PortForwarding/VirtualServer...
Una regla o un filtro en el Firewall se usa para permitir o impedir el tráfico dirigido HACIA EL ROUTER, NO HACIA UN EQUIPO DE TU RED. El Router por defecto aplica reglas/filtros para el puerto 80/443, pero de nuevo repito, son reglas que se aplican SOLO cuando alguien quiere acceder a los puertos 80/443 del Router... es decir, cuando desde el exterior quieres acceder a la interfaz Web del Router. Imagino que entiendes el poso sentido que tiene esto 🙂
Por defecto el Router posee reglas al 80/443 para que solo los equipos de gestión de Movistar tengan acceso al Router. Repito que esto no tiene absolutamente nada que ver con el juego. Cuando un juego o aplicación requiere poder usarse para conexiones entrantes no solicitadas lo que hacemos es abrir puertos, o mapearlos o como lo quieras llamar. No son las reglas que encuentras en el Firewall. Y abrir un puerto tan solo requiere puerto externo (el que ven los equipos remotos y que es un puerto del Router), el puerto Interno al que se realiza la redirección, que es el puerto del equipo al que se va a enviar el tráfico, y la IP de dicho equipo, del equipo de tu red local. NADA MAS
-------------------
Así que siento decirte pero todo el tiempo que has empleado en pelearte con todo ello vale para bien poco, en el mejor de los casos para provocar agujeros de seguridad en tu Router y en tu equipo, nada más. Obviamente cualquier escaner de puertos al puerto 80 saldrá cerrado por muchas razones. Primero, si realmente estuviese bien redirigido saldría cerrado porque el juego no usa dicho puerto, en todo caso se conecta a un equipo remoto a dicho puerto. Así que siempre saldrá cerrado. Y esto es extrapolable a la mayoría de puertos que pones en la lista, como te digo en todo caso se salvaría el 5222 y el 6250... y ojo, en el caso sólo de que el juego los estuviese usando en ese preciso momento, te podría salir en un escaner de puertos como abiertos.
------------------------
Espero haber puesto algo más de claridad en todo ello.
