Xbox live y Firewall HGU

[XxAlvRoxX]

Si es posible que el soporte técnico me pudiera explicar como crear una regla en el firewall del router HGU

para que el puerto 3074 TCP/UDP el que utiliza xbox live ,pase sin problemas a través del firewall del router

aunque estaría bien que se solicitara por parte de los técnicos que en próximas actualizaciones del router,esta regla ya esté predefinida en el router o se pueda aplicar fácilmente por los clientes que utilizamos xbox live,o al menos una opción donde el cliente que no tenga conocimientos avanzados sobre crear reglas en el firewall,pueda crearlas fácilmente si quiere hacer pasar un puerto a través del firewall del router.

dado que si el router trabaja a través de un firewall no es suficiente abrir los puertos en virtual server para que funcione correctamente xbox live,además de eso se debe dejar pasar con reglas esos puertos a través del firewall del router.

aquí os dejo un video de alguien de reino unido,donde explica como se hace ahi con ipv6 o ipv4

[JulioC-Movistar]

Para conectar a xbox live solo necesitas activar el UPnP o en caso de que lo prefieras abrir el puerto, el firewall del router no lo tienes que tocar en ningún caso, por seguridad y porque no afecta en nada a los puertos, solo afecta a las comunicaciones dirigidas al propio router, no a la red interna del domicilio donde está la xbox.

Tienes tutoriales de como hacerlo aquí  PS4 – XBox Configuración con Movistar - Comunidad Movistar   veo que tienes instalado el HGU Mitrastar, tienes un compendio de utiles tutoriales de este modelo concreto de router en MitraStar GPT-2541GNAC (HGU) - Comunidad Movistar

[XxAlvRoxX]

---

@JulioC-Movistar@  ha escrito:

Para conectar a xbox live solo necesitas activar el UPnP o en caso de que lo prefieras abrir el puerto, el firewall del router no lo tienes que tocar en ningún caso, por seguridad y porque no afecta en nada a los puertos, solo afecta a las comunicaciones dirigidas al propio router, no a la red interna del domicilio donde está la xbox.

Tienes tutoriales de como hacerlo aquí  PS4 – XBox Configuración con Movistar - Comunidad Movistar   veo que tienes instalado el HGU Mitrastar, tienes un compendio de utiles tutoriales de este modelo concreto de router en MitraStar GPT-2541GNAC (HGU) - Comunidad Movistar

---

todo eso lo se, que puedo activar el upnp,que puedo abrir los puertos en nat/virtual server,que puedo activar el dmz,pero me puedes indicar que debo hacer para que el puerto 3074 pueda pasar por el firewall del router,como crear una regla en el router para que este puerto en el firewall este permitido a una ip determinada de mi consola,es lo unico que quiero saber,como crear una regla en el firewall para poder permitir todas las conexiones entrantes y salientes al puerto 3074,que este puerto solo lo utiliza xbox live.

PD: te dejo una imagen de lo que dice microsoft en su web,y te remarco en rojo lo del firewall:

[JulioC-Movistar]

En nuestros routers no se puede hacer lo que indicas, permitir el tráfico externo de un puerto para una IP determinada, es lo que te indicaba anteriormente, el firewall solo afecta a las comunicaciones dirigidas al propio router no a los equipos internos, son dos cosas distintas.

Puedes abrir un puerto externo hacia la xbox pero lo abres para cualquier dirección IP de internet, no puedes bloquear el acceso para una o unas IPs determinadas.

[XxAlvRoxX]

---

@JulioC-Movistar@  ha escrito:

En nuestros routers no se puede hacer lo que indicas, permitir el tráfico externo de un puerto para una IP determinada, es lo que te indicaba anteriormente, el firewall solo afecta a las comunicaciones dirigidas al propio router no a los equipos internos, son dos cosas distintas.

Puedes abrir un puerto externo hacia la xbox pero lo abres para cualquier dirección IP de internet, no puedes bloquear el acceso para una o unas IPs determinadas.

---

entonces que debo hacer que el firewall permita todo el trafico hacia la xbox o en el puerto 3074

o como tu dices abrir el puerto externo hacia la xbox para cualquier dirección IP de internet

[Theliel]

Buenas @XxAlvRoxX

Creo que no entiendes bien como funciona el firewall de un Router, y como funcionan estos como dispositivo NAT. Por otro lado, o estoy totalmentemente malentendiendo la cuestión, o el amigo Julio también se ha liado al decir que el equipo de Movistar no funciona así... lo que tu quieres que haga el Router, es de echo lo que hace VirtualServer/Port Forwarding.

El Router actua como dispositivo NAT debido a que la IP es compartida por toda la red del usuario, de modo que cada equipo en la red local queda isolado de Internet con una IP privada. Por este modo y por motivos también de seguridad, los Routers para el 99% de todas las líneas domésticas usan el clásico esquema de NAT Simétrico o Port Restricted. Este primero es mucho más seguro pero puede a veces ocasionar algunos problemillas, y tampoco vamos a entrar en detalles aquí porque es algo tedioso de explicar y comprender

En cualquier caso, lo que dices originalmente y luego parece que repites, "Abrir un puerto para que el tráfico pase sin problemas..." es precisamente lo que hace PortForwarding/VirtualServer. Un dispositivo NAT por defecto va a filtrar cualquier conexión externa que no haya sido antes solicitada. Cuando se requieren conexiones entrantes sin que hayan sido solicitadas de forma interna, es necesario crear "agujeros" en el Firewall para permitir esas conexiones, y enviarlas al equipo donde se requiere, eso es Port Forwarding/VirtualServer, es decir, convierte NAT en ese caso en Full Cone NAT (para ese puerto sólo).

Así que no tengo bien claro que es por tanto lo que necesitas o quieres. Si lo que quieres es que todo el tráfico por dicho puerto pase hacia tu consola, sólo tienes que crear una regla en NAT en port forwarding/virtual server.

Si lo que quieres es conectar directamente la consola sin NAT, entonces tienes que configurar la consola como cliente PPPoE, pero perderás la conexión en el resto de los equipos de tu casa.

Otra cosa muy diferente sería preguntarse si es posible cambiar el tipo de NAT que usa los dispositivos de Movistar, que muy posiblemente será NAT simétrico... en este caso no podrías cambiarlo, pero si la xbox (en este caso) hace las cosas como las tiene que hacer, no tendría que suponer muchos problemas.

[XxAlvRoxX]

---

@Theliel@  ha escrito:

Buenas @XxAlvRoxX

Creo que no entiendes bien como funciona el firewall de un Router, y como funcionan estos como dispositivo NAT. Por otro lado, o estoy totalmentemente malentendiendo la cuestión, o el amigo Julio también se ha liado al decir que el equipo de Movistar no funciona así... lo que tu quieres que haga el Router, es de echo lo que hace VirtualServer/Port Forwarding.

El Router actua como dispositivo NAT debido a que la IP es compartida por toda la red del usuario, de modo que cada equipo en la red local queda isolado de Internet con una IP privada. Por este modo y por motivos también de seguridad, los Routers para el 99% de todas las líneas domésticas usan el clásico esquema de NAT Simétrico o Port Restricted. Este primero es mucho más seguro pero puede a veces ocasionar algunos problemillas, y tampoco vamos a entrar en detalles aquí porque es algo tedioso de explicar y comprender

En cualquier caso, lo que dices originalmente y luego parece que repites, "Abrir un puerto para que el tráfico pase sin problemas..." es precisamente lo que hace PortForwarding/VirtualServer. Un dispositivo NAT por defecto va a filtrar cualquier conexión externa que no haya sido antes solicitada. Cuando se requieren conexiones entrantes sin que hayan sido solicitadas de forma interna, es necesario crear "agujeros" en el Firewall para permitir esas conexiones, y enviarlas al equipo donde se requiere, eso es Port Forwarding/VirtualServer, es decir, convierte NAT en ese caso en Full Cone NAT (para ese puerto sólo).

Así que no tengo bien claro que es por tanto lo que necesitas o quieres. Si lo que quieres es que todo el tráfico por dicho puerto pase hacia tu consola, sólo tienes que crear una regla en NAT en port forwarding/virtual server.

Si lo que quieres es conectar directamente la consola sin NAT, entonces tienes que configurar la consola como cliente PPPoE, pero perderás la conexión en el resto de los equipos de tu casa.

Otra cosa muy diferente sería preguntarse si es posible cambiar el tipo de NAT que usa los dispositivos de Movistar, que muy posiblemente será NAT simétrico... en este caso no podrías cambiarlo, pero si la xbox (en este caso) hace las cosas como las tiene que hacer, no tendría que suponer muchos problemas.

---

si se nota que controlas el tema,pero entonces lo que hace en el video el de reino unido ,en el primer mensaje,para que sirve? esa gente por lo visto ya tienen ipv6

en fin,igual me estoy comiendo mucho el coco con este tema y quizas lo unico que hace falta es abrir los puertos en virtual server y listo,pero estaria bien que movistar digera que esto es suficiente y que no se esta bloqueando nada por parte del firewall del router a los servidores de xbox live.

[Theliel · Accepted solution]

Buenas @XxAlvRoxX

Con todos mis respetos, ese Youtubers, más que otra cosa lo que hace es liar a las personas con pasos totalmente inncesarios, pero te lo explico con gusto por partes.

En primer lugar lo que hace es asignar a la consola una IP estática dentro de la red local. Esto es necesario si se quieren abrir los puertos manualmente y no se quiere usar upnp (que es más recomendable por ser más seguro y sencillo). Pero puede hacerse así, es digamos el modo tradicional. La asignación estática se debe a que para crear esos "agujeros" en el Router se requiere enviar el tráfico a un equipo, y queremos que el equipo sea siempre el mismo, así que se hace la asignación estática DHCP. Esto en el  HGU lo tienes en el apartado LAN, asignas una IP estática local a una MAC.

En segundo lugar realiza el mapeo propiamente dicho, crea el "agujero" en el Router, lo que es básicamente PortForwarding/VirtualServer. Estos mapeos lo que hacen es asociar un puerto (o rango) externo/visible del Router a un puerto (o rango) específico de un equipo concreto de la red local, aquí es donde es necesario por tanto que ese equipo específico tenga una IP asignada de forma estática. Esto es también necesario si se opta por el mapeo manual, repito, no necesario tampoco este paso si se prefiere usar upnp.

A partir de aquí, el resto de todo lo que hace es muy discutible. Mientras que en el caso de IPv6 podría tener cierto sentido dependiendo de como el ISP y el Router asignan las direcciones IPv6, en IPv4 tal como el lo usa no tiene ninguno.

En tercer lugar, lo que hace es crear "agujeros" de salida (en primer lugar) y luego de entrada (en segundo lugar) en los filtros del Router. Aquí es donde se equivoca de arriba abajo y en varias cosas.

El primer error que se comete, y muy muy habitual,  es que esos filtros no significan lo que muchos creen. Un Router ve 3 tipos diferentes de tráfico fundamentalmente: El tráfico que llamamos "Redirigido" o Forward, el tráfico que llamamos Entrante (Inbound/incoming) y el tráfico que llamaos Saliente (outbound/outgoing). El tráfico Forward es todo el tráfico que el Router tiene que cambiar de red, es decir, pasar de una red a otra red. El tráfico Entrante es todo el tráfico que va dirigido hacia el propio Router, y el Saliente es el tráfico que se genera y sale del propio Router.

El 99% de las veces, cuando un Router habla de filtros de este tipo, se refiere siempre desde el punto de vista del propio Router, y antes que aplicar dicho filtro, el Router aplicará ANTES cualquier regla que exista en Forward.

Es decir, pongamos que creas en PortForwarding una regla para el puerto 3074, y lo envías a la consola, y por otro lado creas un filtro en el Firewall para tráfico entrante y en el mismo puerto. Ese filtro jamás se va ni siquiera a evaluar, porque el tráfico en cuanto llegue al Router, este va a mirar en la tabla NAT, y como creaste el mapeo lo pasa directamente a la red interna, es decir, está tratando el tráfico como Forward, lo está cambiando de red: Llega desde Internet, y lo manda a la Red Interna. El filtro en el Firewall en ese caso jamás se usaría.

Pongamos ahora que no existe el mapeo en PortForwarding pero creamos igualmente el filtro en el Firewall para tráfico entrante. Como el Router no encuentra una referencia en la tabla NAT, interpreta el tráfico como destinado a sí mismo, así que ahora sí mira los filtros. Como la entrada está creada, permite el tráfico, pero repito, ese tráfico ahora lo estaría tratando para él mismo, es decir, como si el Router fuese quien necesitase tener ese puerto abierto para usarlo. Esto es necesario para servicios que el propio Router usa, como servidores FTP, SSH, Web...

No tiene ningún sentido crear un filtro en un Firewall para un puerto/servicio si existe un mapeo de puertos para el mismo puerto. El mapeo le va a decir al Router que es tráfico reenviado y lo mandará a LAN, que es lo que queremos, lo otro simplemente permite el tráfico hacia el Router en sí mismo, no hacia tu red, y aquí no tendría ningún sentido dado que esos puertos el Router no los usa para nada, el tráfico entraría en el Router pero el propio Router descartaría el tráfico por no tener ninguna aplicación que los use.

Con el tráfico Saliente es  aun un mayor sinsentido. Si es un filtro saliente, aplica exactamente lo mismo que he dicho anteriormente al tráfico entrante, pero encima es aun menos usado, y menos en escenarios domésticos. Aun cuando dichas reglas se aplicasen directamente sobre el tráfico saliente de los equipos de la red (y no del tráfico que sale desde el Router), tampoco tendría sentido.

En el 99% de los equipos domésticos la configuración base es siempre la misma:

1. Se permite el 100% de TODO el tráfico saliente desde LAN y desde el Router. Es decir, cualquier equipo dentro de la red local puede iniciar una conexión hacia cualquier destino. Ese tráfico es trafico Forward de todos modos porque el Router lo va a coger de la red local y ponerlo en Internet. Pero también se permite por defecto todo el tráfico saliente del propio Router. ¿Por qué? Porque por regla general, en un escenario normal, nadie quiere filtrar su tráfico. Ojo que esto puede ser muy interesante de cara a control parenta, o bloquear servicios, se puede usar para ello (en este caso sería necesario filtros aplicados al tráfico forward), pero el comportamiento normal y estandar de los equipos domésticos es permitir todo lo que vaya hacia fuera.

2. Por defecto se bloquea TODO lo que llegue por Internet si no ha sido antes solicitado/iniciado desde dentro.

Así que como ves, no es necesario permitir nada desde dentro hacia fuera porque ya se permite todo por defecto. Y sí, es cierto, se necesita permitir el tráfico desde Internet deseado hacia nuestros equipos, pero es que ya lo hacemos desde PortForwarding/VirtualServer. Los filtros (filter en el Firewall) que usan la inmensa mayorías de Routes son aplicados SIEMPRE al tráfico saliente/entrante, NO AL TRAFICO REDIRIGIDO. Sí, existen equipos que permiten aplicar filtros a este tipo de tráfico (no, no es el del vídeo precisamente), pero en entornos domésticos no lo vas a ver. Es decir, no tienes que preocuparte ni lidiar con esos filtros a menos que, por alguna razón muy específica, quisieses bloquear a algún equipo de la red local acceder a algún servicio específico del Router, o que el Router no pudiese comunicarse con algún equipo de la red local por algo, o querer bloquear que Movistar pueda gestionar tu Router de forma remota... para eso sí es necesario Filters, pero nada que ver con lo tuyo.

A todo esto SI HAY que añadir una matización. Con IPv6, si los equipos de la red local reciben una IPv6 pública, esto que he dicho anteriormente cambia. Si los equipos de la red local tuviesen asignada una IPv6 pública, entonces no estarían detrás de un dispositivo NAT, estarían conectados directamente a Internet. En este caso específico, SI SERIA NECESARIO crear filtros en el Firewall, porque ahora no existiría tráfico Forward para IPv6, para las conexiones IPv6 el tráfico sería directamente o entrante o saliente. Por defecto se permitiría igualmente el tráfico saliente para las conexiones IPv6, pero para el tráfico entrante sí sería en este caso necesario crear filtros para permitir dicho tráfico a dichos equipos. Es decir... con IPv6 en ciertos escenarios, en vez de usar PortForwarding tendríamos que abrir las excepciones en Filters, porque las conexiones IPv6 no estarían siendo reenviadas y serían directas, y por tanto tendrían que ser gestionadas por los filtros de entrada/salida.

Esto tampoco te afecta a tí, porque por ahora el despliegue IPv6 de Movistar no ha comenzado. Si eventualmente se produjese, tampoco sería complicado, sólo tendrías que crear PortForwarding para conexiones con Ipv4 y usar Filters para las conexiones IPv6.

De cualquier modo, te das cuenta el sinsentido que hace el muchacho en el vídeo. El abre en filters tanto para reglas de entrada o salida puertos para IPv4, IPv6... además de usar también Port Forwarding. No significa que haga algo que le limite, es que hace montones de cosas que son totalmente innecesarias y que no tienen ningún tipo de sentido.

Un saludo compañero, y si no te queda algo claro con gusto te lo explico.

[XxAlvRoxX]

pues me has aclarado este tema,muchas gracias por tomarte la molestia en responder y explicarlo tan bien,lo que haré es que dejaré el upnp activado y ya que sea el propio router el que redirija el tráfico automáticamente.

[JulioC-Movistar]

Gracias @Theliel por la extensa y estupenda explicación, me la apunto.

@XxAlvRoxX   dices que "...quizas lo unico que hace falta es abrir los puertos en virtual server y listo,pero estaria bien que movistar digera que esto es suficiente y que no se esta bloqueando nada por parte del firewall del router a los servidores de xbox live..."  

Lo primero que te contesté ayer fue que "...Para conectar a xbox live solo necesitas activar el UPnP o en caso de que lo prefieras abrir el puerto..." si activas el UPnP en el router no tendrás ningún problema para conectarte a los servidores de xbox live.

[JulioC-Movistar]

@XxAlvRoxX  si te parece bien lo doy por aclarado y cierro el hilo.

[XxAlvRoxX]

edito:

esta todo aclarado,pero si me pudieras responder a una última cuestión sobre esto que no entiendo,

si activas el upnp en el router y en la consola pones ip estática por ejemplo la 192.168.1.2,el router abre un puerto llamado "teredo"

para que es lo de teredo? y porque no abre los demás puertos que dice microsoft que se necesitan como el 88,53,80,500,3544,4500,porque solo abre el 3074 udp? 

[JulioC-Movistar]

https://es.wikipedia.org/wiki/Teredo

Es un protocolo para que una máquina (tu consola) trabaje en IPv6 estando en una conexión que es IPv4, lo que no llego a entender es porque se comporta distinto cuando tiene IP estática privada a cuando la tiene dinámica, me imagino que para la consola tendrá algún sentido... en definitiva no es importante porque no afecta al funcionamiento correcto de los puertos en ambos casos.

Si te parece bien lo doy por solucionado y cierro el hilo.

[XxAlvRoxX]

---

@JulioC-Movistar@  ha escrito:

https://es.wikipedia.org/wiki/Teredo

Es un protocolo para que una máquina (tu consola) trabaje en IPv6 estando en una conexión que es IPv4, lo que no llego a entender es porque se comporta distinto cuando tiene IP estática privada a cuando la tiene dinámica, me imagino que para la consola tendrá algún sentido... en definitiva no es importante porque no afecta al funcionamiento correcto de los puertos en ambos casos.

Si te parece bien lo doy por solucionado y cierro el hilo.

---

si lo puedes dar como solucionado,y muchas gracias por la ayuda y aclararme este tema.

[JulioC-Movistar]

Gracias a ti...