Router Mitrastar HGW-2501 GN R2 no redirecciona puertos

[ivajg]

Hola.

He venido teniendo problemas en mi fibra con la VozIP. Me quedaba frecuentemente sin teléfono. Finalmente, me han cambiado la ONT y se han solucionado los problemas. Sin embargo, desde el cambio de la ONT no funciona la redirección de puertos en el router.  Me han cambiado el router también (aunque por el mismo modelo) y no hay forma de que funcione. Redirecciono el puerto 8000 a una cámara web. Accediendo con la IP local todo funciona. Desde internet, como no hay redirección del puerto, no puedo ver la cámara. Lo he probado todo. Alguien ha tenido un parecido y lo ha podido solucionar?

Gracias.

[Theliel]

Buenas @ivajg

No hay absolutamente nada que impida el correcto funcionamiento del Rotuer en este aspecto, posíblemente estés haciendo algo mal. Te pongo unas cuantas de cosas para uqe hagas uan doble verificacion

-NO ALEJANDRA!! No uses alejandra para esto, si quieres abrir puertos hazlo en el Router, desde la interfaz Avanzada, no en la simple tampoco.

-Hazlo dentro de NAT como PortForwarding

-Asegúrate que la IP de la cámara esté asignada correctamente por DHCP estático desde el Router, para evitar que esta cambie y el mapeo pueda fallar.

-Desde fuera, igualmente, asegúrate que la IP a la que estás intentando acceder (la pública) es la corecta

[Técnico.Global-Movistar]

Hola @ivajg

Si a pesar de las indicaciones de @Theliel (gracias por tu aportación) no se ha resuelto, puedes pasarnos tus datos por mensaje privado (Nº teléfono, móvil de contacto y DNI) para que lo podamos mirar e intentar ayudarte.

Saludos.

[ivajg]

Gracias, pero todo eso ya lo he probado.

- Redireccionar puerto: desde alejandra, desde interfaz basica, desde interfaz avanzada. No funciona de ninguna forma.

- NAT > Port Forwarding. Claro, no hay otra forma.

- La IP de la cámara es estática. No cambia, no tiene conflictos con otras IPs. Está fuera del rango de asignación por DHCP.

- La IP pública es correcta. Utilizo dyndns y además compruebo que la IP pública corresponde antes de probar.

Además, la IP interna contesta perfectamente al puerto al que estoy intentando redirigir.

[Theliel]

Buenas @ivajg

Haz una cosa.

Resetea el Router. Una vez reseteado, sin hacer nada más, Interfaz avanzada del Router, NAT, PortForwarding...  y lo creas. Por cierto, asegurate claro está que en Port Forwarding seleccionas la interfaz internet en el desplegable

[Técnico.Global-Movistar]

Hola @ivajg

Vemos que ya tienes abierta una incidencia por esta razón, está aún pendiente, en breve contactarán contigo.

Un sld

[JuanC-Movistar]

Buenos dias @ivajg; como te comenta @Theliel no existe ningun problema en la redirección de puertos en el router. Has podido solucionarlo ya? .

Saludos.

[ivajg]

Hola.

Sigue sin funcionar.

Creo que la redirección funciona, en efecto, y que el problema está en las reglas "iptables" que se ejecutan para evitar ataques. Puede que sean demasiado estrictas (y no tienen en cuenta que los puertos redireccionados deberían ser excluidos de estos controles) y que las peticiones de la app que usamos para el acceso a la cámara sean detectadas como un intento de ataque. De ahí que después de reiniciar el router, el puerto está abierto, pero tras arrancar la app, se realizan varias peticiones en un minuto, y se interpreta como un ataque y la IP de origen acaba "banneada". Después, el puerto aparece como cerrado, impidiendo la conexión.

Veo logs en el fichero /var/log/sysLog.all que provienen de la aplicación de esta regla:

LOG        all  --  anywhere             anywhere            limit: avg 1/min burst 1 LOG level debug prefix `RemoteManagement: Action=DROP Unsecured Client Access Deny '

Creo que es un error en la configuración del router. Voy a intentar confirmarlo.

Saludos.

[JuanC-Movistar]

Los puertos aparecen en la tabla del router por lo que es seguro que están abiertos.

Lo que veo es que tienes la version de firmware B23, que es la última, tenias la misma versión en el router anterior? o quizás tenias la B21? si quieres puedo cargarte la B21 por si fuera el problema porque si tenías la misma no se si también tuviste que hacer algo de eso la otra vez porque si no, no le veo mucho sentido.

Saludos.

[Theliel]

@ivajg, esas reglas creo recordar que sólo se aplican si activas la protección DDoS desde el Firewall del Router, que por defecto viee deshablitado. De todos modos ahora mismo te digo si hay alguna regla estricta que esté afectando

[Theliel]

Buenas @ivajg

Efectivamente, no hay ningún filtro activo que puda estar cortando en iptables la conexión. Tan sólo si se habilita la protección DoS (que puede configurarse) se activan filtros para descartar los paquetes ante ciertas detecciones. Si es cierto por otro lado, que las reglas de DoS se establecen después del reenvío de puertos, pero esto es normal, que el puerto esté abierto no implica que por ello quede "fuera" de la protección general.

Deshabilita la protección DoS y listo

[ivajg]

La protección DoS está deshabilitada. No es eso.

[ivajg]

Hola.

Por probar... Si es posible volver a la B_21, podemos intentarlo.

Cómo se puede hacer sin interferir, porque el router está en un comercio que necesita internet y teléfono. Se puede hacer en un horario no comercial? A las 21:00h estaría bien.

Otra cosa, la configuración actual se pierde o se puede conservar (Wifi SSID y clave, puertos, DynDNS) ?

Gracias.

[Theliel]

Buenas compi, pues me temo que no existe ninguna regla en iptables para denegar la conexión ni filtrarla, y el mapeo de puertos estoy más que harto de usarlo. Sí existe una regla para logear lo que el llama "intrusión", pero sólo loggea, no descarta (a menos como digo se habilite la protección DoS)

Tu mismo pudes sacar si quieres las iptables y verlas :), entras por telnet, cambias a la shell avanzada con sh, metes la contraseña para la b23 que es "g/4ru8w;6" y las consultas

(por hacer el Downgrade no pierdes en teoría la configuración que tenías, a menos que hagan un reset luego)

[ivajg]

Sí, en efecto, la acción para "intrusión" es -j LOG.

[JuanC-Movistar]

Buenos dias @ivajg, yo estoy en turno de mañana,la actualización es un momento, no requiere demasiado tiempo. En cuanto al DynDNS no te lo puedo asegurar; el wifi y el SSID no habría problemas porque si cambia yo podria dejarlo como estaba; cabe también la posibilidad de que se lo diga a un compañero y lo intente hacer a ultima hora; o mañana por la mañana yo mismo a primera hora (7:30). Ya me dices.

Saludos.

[ivajg · Accepted solution]

Hola a todos,

Finalmente la solución ha sido cambiar el router por otro de otra marca. Ahora funciona todo. Lo que me lleva a pensar que el Mitrastar es un router "malo" y/o el firmware tiene muchos problemas.

Gracias a todos por la ayuda prestada.