Buenas @klabog
Hombre, para acceso al Router por interfaz Web lo ideal sería remapear el puerto 443 a otro, pero aunque algunos Routers se lo tragan, no es algo que sea muy bueno. De cualquier modo con una buena contraseña no deberías de tener muchos problemas, aunque obviamente siempre es un riesgo aunque sea bajo. De todos modos una de las cosas que más valoro positivamente de Movistar es precisamente el control que suelen dar de sus equipos, no el que quisiese, pero a años luz de lo que otros ISP hacen.
Sobre la posibilidad de un servidor VPN... potencia tienen, pero son equipos residenciales, y ojo que yo mismo uso mi propio Router y tengo configurado mi propio servidor VPN en mi Router, pero entiendo que no es algo que sea necesario en un ámbito doméstico, quizás tengamos suerte algún día y lo vemos implementado.
Respecto montar una rasp, perfecto, tendría que ir bien. Redirecciones de puertos y otros, la verdad es que la configuración es mínima para OpenVPN, la facilidad además de poder levantarlo en cualquier puerto y ya sea por UDP/TCP, lo hace casi inmediato, es una apertura de puertos y poco más.
Sobre el Firewall es confusión común, parte por falta de conocimientos a veces, pero también porque aun teniéndolos las interfaces Webs llevan a engaños. Siempre uso la misma imagen para ilustrar como funciona, no es la más completa ni rigurosa, pero se puede ver perfectamente como va la cosa:
Es un esquema del flujo básico de los paquetes que circulan por el Router. Un paquete llega a una interfaz del Router, así que lo primero que hace ese paquete es pasar por la candena Prerouting de algunas tablas, como mangle o NAT. Aquí se toma la primera decisión en función de las cadenas Prerouting, y se decide si dicho paquete va dirigido hacia el propio Router o el destino es otro equipo, otra red. Si es para el propio Router, se pasa a la cadena INPUT, si es para otro equipo/red, se pasa a la cadena Forward. Sea INPUT o FORWARD el paquete pasará por la correspondiente cadena de la tabla correspondiente. Si el paquete sale o lo genera el propio Router, va a parar directamente a OUTPUT, y ya sea desde OUTPUT o desde FORWARD, pasa a POSTROUTING.
El problema es que las interfaces Web como entenderás exponen un conjunto muy limitado de funciones, y es lógico. Si ya tienen problemas con implementar 3 cosas por Web, te imaginas tener que lidiar con una interfaz web que permita gestionar cada una de las tablas y cadenas?? No es viable. Que es lo que se hace?? En los routers residenciales por regla general simplifican todas las tablas/cadenas en:
1. Port Forwarding / Virtual Server
Reenvío de puertos es un término un poco desafortunado que se ha usado de siempre... Cuando hacemos esto lo que queremos es enviar el tráfico que va de una interfaz del Router a otra, en función de ciertas reglas. Es decir, decirle al Router que cierto tipo de tráfico será tráfico FORWARD. Si miras el esquema básico, eso significa alterar al menos la cadena Prerouting de la tabla NAT. Y es lo que hace la interfaz Web ni más ni menos. Cuando creamos un mapeo de puerto lo que el Router hace es crear una regla iptable con los parámetros que nosotros queremos. Imagínate que queremos abrir el puerto 443 a la IP local 192.168.1.2 para la interfaz WAN PPPoE (Internet). El Router lo que realmente hace es esto:
iptables -I PREROUTING -t nat -i ppp0 -p tcp -m tcp --dport 443 -j DNAT --to-destination 192.168.1.2:443
Es decir.... añade a la cadena prerouting un "salto" cuando entre un paquete por la interfaz pppoe que quiere acceder al puerto 443, y lo manda a la IP especificada al puerto especificado. Esto se puede complicar lo que quieras, Podría no especificar interfaz de entrada y que se aplicase a todas, podría usar un rango de puertos, podría... pero en esencia la interfaz web de virtual server hace esto, que es lo que el 99% veces de los casos queremos hacer.
2. Filters
Aquí es donde suele existir la confusión. Algunos lo llaman Filtros, otros Firewall, otros Reglas del FW... en realidad lo más correcto es llamarlos efectivamente Filtros, porque realmente lo que hace esto es modificar la tabla filter. Pero hay un "problema"... la cadena filter la encontramos en diferentes cadenas, la encontramos en INPUT, en FORWARD y en OUTPUT. Por simplificación, la inmensa mayoría de los fabricantes al implementar este menu en la interfaz web lo que nos permite es modificar sólo las cadenas INPUT y OUTPUT de filter. Técnicamente no hay problema de que se aplicase también a FORWARD, pero dado que no es nada normal que el usuario necesite esto, se suele omitir. Generalmente el comportamiento de un Router es permitir todo el tráfico que sale hacia Inet, y bloquear todo lo que entra que no sea solicitado antes. Con Filters creamos excepciones, ya sea para bloquear o permitir. En los equipos que filter sólo actua sobre INPUT o OUTPUT, significa que sólo se tendrán en cuenta para el tráfico que entra o sale del propio Router, no es tráfico FORWARD. Por ejemplo, en tu caso, si quieres poder acceder a la interfaz de tu Router desde fuera, necesitas que en Filter exista una excepción que permita el tráfico entrante por la interfaz pppoe, que vaya al puerto 443. Y y tienes que permitirlo para cualquier IP de origen y cualquier ip de destino, recuerda que el Router tiene asignada una IP publica así que...
Esto se podría aplicar igual para el tráfico que sale del Router o incluso en algunos equipos tambien para filtrar el tráfico FORWARD. Imagina que quisiésemos crear una excepción para denegar que un equipo de la red local pudiese acceder a que te digo yo... un servidor Web concreto. Ese tráfico ya no sería INPUT/OUTPUT, sería FORWARD. Pero como te digo por lo general, los equipos residenciales no permiten este tipo de filtros, por simplificar. En cualquier caso, si miras el esquema, verás que antes de que se aplicase la tabla INPUT y la cadena Filter, el Router ya decide si es FORWARD o INPUT, si es FORWARD un filtro INPUT jamás se aplicará, y viceversa.
Es posible perfectamente instalar un certificado Let's Encrpt en un Router incluso doméstico, pero requiere una serie de requisitos que hacen que sea "complicado" en cierto modo. Para poder obtener un certificado válido, lo primero que requieres es un dominio. Eso te obliga o a tener un dominio propio y que apunte al Router, u otra solución que están usando algunos, como hace ASUS por ejemplo, y es que el propio Router tiene un servicio de DDNS propio gestionado por el fabricante. En esos casos, dado que el Router tiene su propio dominio dinámico, es factible tener un certificado, que será válido siempre y cuando accedamos desde el propio dominio dinámico.
En la inmensa mayoría de Routers residenciales es posible configurar servicios tipo DDNS, pero no está integrado de forma interna, son servicios externos. Y a eso ni que contar por supuesto, la posibilidad de instalar un certificado propio ;).
No me gusta el FritzBox, no porque sea malo, sino porque cuando se requiere algo más específico, lo mejor es irte al mercado y coger algo que se ajuste perfectamente a tus necesidades, que por suerte tenemos mucho donde escoger.
