GhostAcademy — Configurar y asegurar un router doméstico con NetSim Router Lab

Ejercicio guiado · Redes y seguridad

Configura, repara y asegura
un router doméstico

El router de casa reparte direcciones, traduce nombres, emite el Wi-Fi, decide qué entra desde Internet y qué tráfico pasa primero. Con NetSim Router Lab vas a resolver las cinco incidencias más típicas de un técnico de soporte, atacar tu propio router (escaneo de puertos, ataque WPS e inundación DoS) y dejarlo con la auditoría de seguridad en 100/100.

⏱ 2-3 sesiones (≈ 4 h)🎓 SMR · ASIR · Certificados IFCT🧰 Solo navegador📤 Entrega: informe .txt + reflexión

Qué vas a aprender

Qué funciones reúne un router doméstico y cómo funciona el NAT entre la IP pública y las privadas.
Diagnosticar fallos de DHCP (direcciones 169.254.x.x) y de DNS (hay ping por IP pero no abren las webs).
Elegir canal y ancho del Wi-Fi, y por qué WEP, el PIN de WPS y una red de invitados sin aislar son un riesgo.
Publicar un servicio con Port Forwarding sin caer en la DMZ, y leer las reglas con iptables.
Distinguir un puerto open, closed y filtered, y qué hace el firewall SPI.
Entender el bufferbloat y cómo lo corrige la QoS.

Cómo usar esta guía

Lee la teoría antes de tocar el simulador

Las secciones 1 a 5 explican lo necesario. El ejercicio te remitirá a ellas.

Trabaja con dos ventanas

Abre el simulador con ▶ Abrir el simulador y colócalo junto a esta guía. Los comandos de la guía tienen botón Copiar: pégalos en la Terminal CLI del simulador.

Sigue las fases en orden

Cada fase parte del estado en que dejaste el router en la anterior. Las direcciones IP y las puntuaciones de los puntos de control solo coinciden si haces las fases en orden y sin saltarte pasos. Los tiempos de ping y el tráfico varían un poco cada vez: no tienen que coincidir al milisegundo.

✖ El simulador no guarda nadaSi recargas la página, el router vuelve a la configuración de fábrica y se pierden los casos resueltos. Haz cada sesión de un tirón o, si tienes que parar, apunta en qué fase estabas: al volver tendrás que repetir las fases anteriores (son rápidas la segunda vez).

Antes de empezar

🗺️ Mapa del simulador

Esquema del panel principal de NetSim Router Lab — Esquema del panel principal: chasis del router con sus LED y puertos, y el monitor de tráfico en tiempo real.

La cabecera

EstadoWAN IP (la IP pública del router) y Auditoría: NN/100 con su letra (A+ a F). Esta nota es tu marcador durante todo el ejercicio.

BotonesInforme Oficial (informe imprimible y descargable), Log de Actividad (registro de lo que pasa en el router) y Modo Didáctico.

Fila 1 · ROUTER & REDDashboard & Hardware, Wi-Fi & Espectro, Red LAN & DHCP, Seguridad & Firewall, Port Forwarding (NAT), QoS & Tráfico y Dispositivos.

Fila 2 · LAB DIDÁCTICOLab Ciberseguridad, Terminal CLI, Sniffer Paquetes, Taller de Averías, Misiones Didácticas y Glosario de Redes.

La regla de oro: «Guardar y Aplicar»

Las pestañas de configuración (Wi-Fi, LAN, Seguridad, Port Forwarding y QoS) funcionan como el panel web de un router real: lo que cambias es un borrador hasta que pulsas Guardar y Aplicar, arriba a la derecha. El botón cambia a ¡Cambios Guardados! durante unos segundos.

⚠ Si cambias de pestaña sin guardar, pierdes los cambiosEs el error más frecuente en este ejercicio. Si un punto de control no te sale, comprueba primero que guardaste.

En cambio, la pestaña Dispositivos aplica los cambios al momento (es como enchufar un cable o encender un equipo).

Las herramientas de diagnóstico

Esquema de la terminal y el sniffer del simulador — Esquema de la terminal (derecha) y del sniffer de paquetes (izquierda).

Terminal CLIEl desplegable Ejecutar en: elige desde dónde lanzas el comando: un equipo de la casa (ipconfig, ping, nslookup…) o la Consola del Router (192.168.1.1) (show, iptables, netstat…). El aviso cambia: usuario@smartphone-movil:~$ o NetSim-AX3000#. help lista los comandos de cada modo.

Taller de AveríasCinco incidencias. Simular Avería estropea el router de verdad; Ir a Reparar → te lleva a la pestaña adecuada; Comprobar si está solucionado valida tu arreglo.

Lab CiberseguridadLa nota de seguridad, el escáner de vulnerabilidades y cuatro pruebas: escaneo Nmap, ataque WPS, inundación DoS y test de aislamiento.

«¿Qué hace?»Con el Modo Didáctico activado, junto a cada opción aparece un botón ¿Qué hace? que abre una ficha explicativa. Úsalo cuando dudes.

ℹ No uses los atajos que lo hacen todo soloEl escáner de vulnerabilidades tiene botones Aplicar Solución con 1 Clic, y cada incidencia tiene Ver Pista de Diagnóstico. En este ejercicio el arreglo lo haces tú, desde la pestaña correcta. La pista solo si te atascas.

Teoría — 01

📦 El router por dentro y el NAT

El «router» de casa son en realidad cuatro aparatos en una caja.

CAPA 3

Router

Une dos redes: la WAN (Internet, por la fibra) y la LAN (tu casa). Hace el NAT.

CAPA 2

Switch

Los 4 puertos LAN de la parte trasera. Conecta los equipos con cable entre sí.

CAPA 1-2

Punto de acceso

Las radios Wi-Fi 2.4 GHz, 5 GHz y la red de invitados.

CAPA 7

Servidores

DHCP (reparte IP), relé DNS, panel web de administración y firewall.

IP pública e IP privada

Tu operador da al router una sola IP pública (en el simulador, 185.220.101.42). Todos los equipos de casa usan IP privadas, que no existen en Internet y se repiten en millones de casas:

Rango privado (RFC 1918)	Uso típico
`10.0.0.0/8`	Empresas grandes
`172.16.0.0/12` (172.16 a 172.31)	Empresas, Docker
`192.168.0.0/16`	Hogares y pymes. El simulador usa `192.168.1.0/24` con el router en `192.168.1.1`.

NAT: muchos equipos, una sola IP pública

Cuando el móvil (192.168.1.102) abre una web, el router cambia la IP de origen del paquete por la pública y anota la conexión en su tabla NAT. Cuando llega la respuesta, consulta la tabla y se la devuelve al móvil. En Linux esta regla se llama MASQUERADE, y el número de conexiones anotadas es el contador Sesiones NAT del Dashboard.

Consecuencia clave: desde Internet no se puede iniciar una conexión hacia tu casa. Si llega un paquete que no responde a nada de la tabla, el router no sabe a qué equipo dárselo. Eso protege, pero impide publicar un servidor.

Tres formas de abrir la puerta desde fuera

	Qué hace	Riesgo
Port Forwarding (DNAT)	«Lo que llegue al puerto externo 25565, envíalo a `192.168.1.50:25565`». Una regla por servicio.	Bajo, si solo abres lo necesario.
DMZ	Todo lo que no tenga regla se envía a un único equipo.	Alto: ese equipo queda expuesto a Internet entero (SMB, RDP…).
UPnP	Los programas de la red piden al router que abra puertos solos, sin preguntar.	Medio: un malware puede abrirse su propia puerta.

Una regla de reenvío tiene puerto externo (el que ve Internet), IP interna, puerto interno (donde escucha de verdad el programa) y protocolo (TCP, UDP o ambos). Si el puerto interno está mal, el tráfico llega al equipo correcto pero a una puerta donde no hay nadie.

Teoría — 02

🏷️ DHCP y DNS

Dos servicios que nadie ve hasta que fallan.

DHCP: la dirección automática

Al conectarse, un equipo no tiene IP. Pide una al servidor DHCP del router en cuatro mensajes (DORA):

Mensaje	Quién	Qué dice
Discover	Cliente → todos	«¿Hay algún servidor DHCP?»
Offer	Servidor → cliente	«Te ofrezco la 192.168.1.102»
Request	Cliente → servidor	«La quiero»
Ack	Servidor → cliente	«Es tuya durante 24 h, con esta máscara, este gateway y este DNS»

Pool: el rango de IP que el servidor puede repartir (aquí 192.168.1.100 a 192.168.1.200: 101 direcciones). No debe incluir la IP del router ni salirse de la subred.
Concesión (lease): cuánto tiempo dura la IP antes de renovarla. Las IP dinámicas pueden cambiar.
Reserva estática: «a esta MAC, dale siempre esta IP». Se usa para servidores, impresoras, cámaras… Lo habitual es reservar fuera del pool.

APIPA: la señal de que DHCP ha fallado

Si nadie responde al Discover (servidor apagado o pool agotado), Windows y la mayoría de sistemas se ponen solos una dirección 169.254.x.x (APIPA o link-local). En un equipo real esa dirección lleva máscara 255.255.0.0 y no tiene puerta de enlace: no hay Internet.

Regla de diagnóstico: ver 169.254 en un equipo = problema de DHCP, no de cable ni de Wi-Fi.

DNS: de nombre a IP

Los equipos solo saben conectarse a direcciones IP. El servidor DNS traduce google.com a 142.250.200.14. El router puede funcionar de dos maneras:

DNS del proveedor (ISP): el router hace de relé. A los clientes les da como DNS su propia IP (192.168.1.1) y reenvía las consultas a los DNS del operador.
DNS personalizados: servidores públicos como Cloudflare (1.1.1.1), Google (8.8.8.8) o Quad9 (9.9.9.9). Se configuran dos (primario y secundario) por si falla uno.

Síntoma	Diagnóstico
`ping 8.8.8.8` falla	No hay conectividad: cable, Wi-Fi, IP o router.
`ping 8.8.8.8` funciona, `ping google.com` no encuentra el host	Fallo de DNS. La conexión está bien.
`nslookup` responde NXDOMAIN	El DNS funciona, pero dice que ese nombre no existe (o lo está bloqueando).
`nslookup` responde request timed out	El servidor DNS no contesta.

Teoría — 03

📶 Wi-Fi: canales y cifrado

Dos bandas

	2.4 GHz	5 GHz
Alcance	Mayor, atraviesa mejor las paredes	Menor
Velocidad	Baja	Alta
Canales	13, muy solapados	Muchos, sin solapar (36, 40, 44, 48, 149…)
Interferencias	Muchas (vecinos, microondas, Bluetooth)	Pocas
Quién la usa	IoT: cámaras, enchufes, sensores	Móviles, portátiles, TV

La regla 1-6-11

En 2.4 GHz los canales están separados solo 5 MHz, pero cada emisión ocupa unos 20-22 MHz. El canal 3 pisa del 1 al 5; solo 1, 6 y 11 no se solapan entre sí. Además, un ancho de 40 MHz en 2.4 GHz ocupa casi media banda y choca con todos los vecinos.

En 2.4 GHz: canal 1, 6 u 11 y ancho de 20 MHz. Si necesitas velocidad, usa la banda de 5 GHz, donde sí caben 80 MHz.

El cifrado

Modo	Cómo funciona	Veredicto
Abierta	Sin contraseña ni cifrado	Cualquiera lee el tráfico
WEP	RC4 con un vector de inicialización de 24 bits que se repite	Se rompe en minutos. Prohibido.
WPA2-Personal	AES-CCMP con clave compartida (PSK)	Correcto, pero si alguien captura el saludo puede probar contraseñas sin conexión (diccionario)
WPA3-Personal	Intercambio SAE y tramas de gestión protegidas (PMF)	El mejor: resiste los ataques de diccionario sin conexión
WPA2/WPA3 mixto	Acepta los dos	Compatibilidad con equipos antiguos

WPS: el atajo que anula la contraseña

WPS conecta equipos sin escribir la clave, con un PIN de 8 dígitos o pulsando un botón (PBC). El PIN tiene un fallo de diseño:

El 8.º dígito es una suma de control: solo hay 7 dígitos de verdad.
El router valida cada mitad por separado y dice cuál falla: 10⁴ + 10³ = 11.000 intentos como máximo, en lugar de 10 millones.
El ataque Pixie Dust aprovecha routers que generan mal sus números aleatorios y saca el PIN en segundos.

Con el PIN, el router entrega la clave WPA completa, sea lo larga que sea. El modo botón solo acepta conexiones durante unos minutos tras pulsarlo físicamente.

Red de invitados y aislamiento

La red de invitados da Internet a las visitas sin darles tu contraseña principal. Con AP Isolation (aislamiento), sus equipos solo pueden salir a Internet: no ven ni a tus equipos ni a los demás invitados. Sin aislamiento, el móvil infectado de una visita puede escanear tu NAS o tu PC.

Teoría — 04

🛡️ El firewall y la auditoría

SPI: el cortafuegos con memoria

Un firewall SPI (Stateful Packet Inspection) recuerda las conexiones que salen de tu red. De lo que llega de Internet, deja pasar solo lo que responde a una de ellas (estado RELATED,ESTABLISHED) y lo que tenga una regla explícita (reenvío de puertos). El resto se descarta: la política de la cadena es DROP. Sin SPI, la política pasa a ACCEPT.

Cómo se ve un puerto desde Internet

Estado (Nmap)	Qué recibe el atacante	Qué significa
open	SYN-ACK	Hay un servicio escuchando (o el router lo reenvía a uno).
closed	RST	El equipo existe y responde, pero no hay nadie en ese puerto.
filtered	Nada (silencio)	Un firewall descarta el paquete. El atacante no sabe ni si hay alguien.

filtered es lo mejor que puede ver un atacante: no le das ninguna información. Con el mismo criterio, el modo oculto (no responder al ping en la WAN) evita que los escáneres masivos descubran que tu IP está activa.

Otras defensas

Protección DoS / SYN Flood: un SYN flood envía miles de inicios de conexión falsos por segundo para llenar la tabla de conexiones y la CPU del router. La protección limita la tasa (por ejemplo, más de 300 SYN/s desde una IP se descartan).
Gestión remota: abre el panel de administración a Internet. Debe estar desactivada.
Filtrado MAC: lista blanca (solo entran las MAC listadas) o negra (se bloquean las listadas). Es una medida débil: la MAC se puede falsificar en segundos.
Control parental por DNS: el router responde NXDOMAIN («no existe») cuando alguien pregunta por un dominio prohibido. No bloquea el acceso directo por IP.

Cómo calcula el simulador la nota de auditoría

Parte de 100 y resta por cada fallo. Te servirá para predecir la nota en cada fase:

Fallo	Resta
Wi-Fi abierta (en una banda activa)	−40
Cifrado WEP	−35
Firewall SPI desactivado	−30
WPS activo con PIN	−25
DMZ activa	−20
Gestión remota activa	−20
Protección DoS desactivada	−15
Red de invitados activa sin aislamiento	−12
UPnP activo	−10
Responder a ping en la WAN	−8

Letras: A+ ≥ 95 · A ≥ 85 · B ≥ 70 · C ≥ 50 · D ≥ 35 · F por debajo. La nota nunca baja de 0.

Teoría — 05

⚡ QoS y bufferbloat

Ancho de banda y latencia no son lo mismo

El ancho de banda es cuántos datos caben por segundo (la línea del simulador: 300 Mbps de bajada y 100 de subida). La latencia es cuánto tarda un paquete en ir y volver (el ping). Una partida online gasta muy poco ancho de banda (12 Mbps), pero necesita latencia baja y estable.

El bufferbloat

Cuando la demanda de todos los equipos supera la línea, los paquetes que no caben esperan en la memoria del router (la cola). Sin gestión, la cola es una sola fila por orden de llegada (FIFO): el pequeño paquete del juego espera detrás de cientos de paquetes de una descarga. El ping sube de 18 ms a más de 100 ms aunque el juego apenas consuma. Eso es el bufferbloat.

La solución: QoS

La QoS (calidad de servicio) clasifica el tráfico en colas con prioridad: lo de prioridad Máxima sale primero.
Los algoritmos de gestión inteligente de colas (FQ-CoDel, CAKE) mantienen las colas cortas para que nadie espere mucho.
Para que funcione, el router tiene que conocer la velocidad real de la línea: por eso pide el ancho de bajada y subida contratado.

En este router la prioridad se asigna por dispositivo, no por tipo de tráfico. Lo verás en la fase 9: si un equipo con prioridad alta se pone a descargar, su descarga también pasa por delante.

Ejercicio — Fase 0 · 5 min

⚙️ Preparar el simulador

0.1

Abre el simulador desde cero

Pulsa ▶ Abrir el simulador. Si ya estaba abierto, recárgalo para partir de la configuración de fábrica.

Cabecera: WAN IP 185.220.101.42 · Auditoría: 50/100 C · Modo Didáctico: Activado · Misiones Didácticas 0/5.

0.2

Predice la nota inicial

Abre Lab Ciberseguridad y baja hasta AUDITORÍA DE VULNERABILIDADES Y BUENAS PRÁCTICAS.

3 riesgos encontrados: WPS activado con código PIN (CRITICAL), Protección Anti-DoS Desactivada (WARNING) y UPnP Activo (WARNING).

Con la tabla de la teoría 4, ¿por qué la nota es exactamente 50?

Ver respuesta

100 − 25 (WPS con PIN) − 15 (sin protección DoS) − 10 (UPnP) = 50, letra C. El resto de comprobaciones ya están bien de fábrica: SPI activo, sin DMZ, sin gestión remota, modo oculto y Wi-Fi cifrado.

Ejercicio — Fase 1 · 20 min · Guiado total

🔍 Reconoce el router

1.1

El esquema de la red

En Dashboard & Hardware, mira la TOPOLOGÍA LÓGICA DE LA RED DOMÉSTICA y el panel posterior del chasis.

Internet Pública (WAN) 185.220.101.42 con puerta de enlace del ISP 185.220.100.1 · router con LAN 192.168.1.1 y NAT + SPI: Activo · QoS: Off · Clientes Conectados: 5 de 6 dispositivos · solo el puerto LAN 1 (PC Gamer) tiene cable.

El router tiene dos IP. ¿Cuál ve Internet y cuál ven tus equipos?

Ver respuesta

Internet ve la pública 185.220.101.42 (interfaz WAN). Los equipos de casa ven la privada 192.168.1.1 (interfaz LAN), que es su puerta de enlace.

1.2

La configuración de dos equipos

Abre Terminal CLI. En Ejecutar en: está el PC Gamer (Torre LAN). Lanza:

TERMINAL · PC Gamer

ipconfig

Adaptador ETHERNET LAN1 · IPv4 192.168.1.50 · máscara 255.255.255.0 (/24) · puerta de enlace 192.168.1.1 · DNS 192.168.1.1 (relé DNS del router) · origen Reserva DHCP estática (PC-Gamer-Torre).

Cambia Ejecutar en: a Smartphone Móvil y repite ipconfig.

Adaptador WIFI 5G · IPv4 192.168.1.102 · origen DHCP automático (concesión 24 h).

¿Por qué el PC está en la .50 y el móvil en la .102? ¿Por qué los dos tienen como DNS la IP del router?

Ver respuesta

El PC tiene una reserva que le da siempre la .50, fuera del pool. El móvil recibió una IP dinámica del pool (100-200). El DNS es 192.168.1.1 porque el router está en modo «DNS del proveedor» y hace de relé (teoría 2).

1.3

Vecinos y camino a Internet

Desde el Smartphone Móvil, lanza de uno en uno:

TERMINAL · Smartphone

arp -a
ping gateway
traceroute 8.8.8.8

arp -a: el gateway 192.168.1.1 → 00:90:A9:7B:44:01 y los otros cuatro equipos en línea. ping gateway: 4 respuestas con TTL=64. traceroute: 4 saltos: 192.168.1.1 [Router Gateway Local], 185.220.100.1 [Nodo Agregador ISP Fibra], 185.220.100.254 [Backbone Red Principal] y 8.8.8.8 [Destino alcanzado].

¿Por qué el primer salto es siempre 192.168.1.1 y el segundo la IP del operador?

Ver respuesta

Todo lo que va fuera de 192.168.1.0/24 se envía al gateway (el router). El router lo saca por la WAN hacia su propio gateway, el del operador (185.220.100.1).

1.4

El router por dentro

Cambia Ejecutar en: a Consola del Router (192.168.1.1). El aviso pasa a NetSim-AX3000#. Lanza:

CONSOLA DEL ROUTER

show ip interface brief
show dhcp leases

show ip interface brief: wan0 (GPON) 185.220.101.42 DHCP up, br-lan 192.168.1.1 manual up, lan1 up y lan2 a lan4 down, wlan0 y wlan1 up, wlan-guest administratively down.

show dhcp leases: pool 192.168.1.100 - 192.168.1.200 (101 direcciones, 4 en uso); el PC Gamer como estática, cuatro equipos como dinámica y Servidor-NAS 192.168.1.10 (sin equipo).

¿Qué significa «administratively down» en la red de invitados? ¿Y por qué lan2 está «down» a secas?

Ver respuesta

«Administratively down» quiere decir que el administrador la ha apagado en la configuración (la red de invitados está desactivada). «Down» a secas significa que está activa pero no hay nada conectado (no hay cable en el puerto 2).

Ejercicio — Fase 2 · 25 min · Guiado total

🏷️ Incidencia 1: DHCP agotado

2.1

Provoca la avería

Abre Taller de Averías. En la Incidencia #1: Pool DHCP Agotado, lee el ticket del usuario y pulsa Simular Avería.

La tarjeta se marca en ámbar y aparecen Comprobar si está solucionado y la línea Cómo observarlo: Consola del Router → "show dhcp leases" · en un móvil → "ipconfig".

2.2

Observa el síntoma

En Terminal CLI, desde la Consola del Router:

CONSOLA DEL ROUTER

show dhcp leases

pool 192.168.1.100 - 192.168.1.101 (2 direcciones, 2 en uso). Smart TV en .101, Smartphone en .100 y el aviso 2 cliente(s) sin concesión, autoconfigurados con APIPA: Cámara IP Seguridad, Portátil Teletrabajo.

Ahora, desde la Cámara IP Seguridad:

TERMINAL · Cámara IP

ipconfig
ping 8.8.8.8

ipconfig: IPv4 169.254.245.91. ping: error: Interfaz de red sin conectividad. · Estado actual: Pool DHCP agotado (2 direcciones, todas ocupadas): APIPA 169.254.x.x.

⚠ Un detalle del simuladorJunto a la IP 169.254, el ipconfig de la cámara sigue mostrando la máscara /24 y el gateway 192.168.1.1. En un equipo real, una dirección APIPA lleva máscara 255.255.0.0 y no tiene puerta de enlace (teoría 2).

El móvil tenía la .102 antes de la avería y ahora tiene la .100. ¿Por qué ha cambiado, y por qué el PC Gamer no ha notado nada?

Ver respuesta

La .102 quedó fuera del nuevo pool, así que el móvil pidió una IP nueva y le tocó la única libre (.100). El PC Gamer no depende del pool: tiene una reserva estática (.50).

2.3

Comete dos errores a propósito

Abre Red LAN & DHCP. En SERVIDOR DHCP verás el pool roto (192.168.1.100 a 192.168.1.101). El router valida la configuración antes de aplicarla. Compruébalo:

Pon en IP Final del Pool 192.168.2.200 y pulsa Guardar y Aplicar.
Pon IP Final 192.168.1.200 e IP Inicial del Pool 192.168.1.1, y guarda otra vez.

Primer intento: No se han aplicado los cambios: El pool DHCP está fuera de la subred LAN del router. Segundo intento: El pool DHCP incluye la IP del propio router.

⚠ Ojo con los camposLa Dirección IP del Router (arriba, en PARÁMETROS DE RED LOCAL) también vale 192.168.1.1. No la toques: cambia solo los campos del pool.

2.4

Repara el pool

Deja IP Inicial del Pool en 192.168.1.100 e IP Final del Pool en 192.168.1.200. Pulsa Guardar y Aplicar.

El botón cambia a ¡Cambios Guardados! y el aviso de error desaparece.

Vuelve al Taller de Averías y pulsa Comprobar si está solucionado en la incidencia #1.

La tarjeta pasa a verde con el texto «Al ampliar el pool de direcciones IP, el demonio DHCP vuelve a tener direcciones libres…» y el contador muestra Casos Resueltos: 1 / 5.

Repite show dhcp leases en la Consola del Router.

(101 direcciones, 4 en uso), sin aviso de APIPA. La Cámara IP tiene ahora la 192.168.1.102 y el Portátil la 192.168.1.103.

2.5

Dale a la cámara una IP fija

La cámara ha cambiado de IP dos veces en esta fase. Si la grabadora o una app la buscan por IP, la perderían. Crea una reserva. En Red LAN & DHCP, sección RESERVAS ESTÁTICAS DHCP, rellena Añadir Nueva Reserva Estática:

Nombre	`Camara-Entrada`
MAC	`70:B3:D5:E2:34:01` (la de la cámara: compruébala con su `ipconfig`)
IP	`192.168.1.20`

Pulsa Añadir Reserva y después Guardar y Aplicar.

La tabla muestra tres reservas: PC-Gamer-Torre, Servidor-NAS y Camara-Entrada 70:B3:D5:E2:34:01 192.168.1.20.

Desde la Cámara IP Seguridad:

TERMINAL · Cámara IP

ipconfig
ping 192.168.1.50

ipconfig: IPv4 192.168.1.20 · origen Reserva DHCP estática (Camara-Entrada). ping: 4 respuestas del PC Gamer con TTL=128.

El router respondía con TTL=64 y el PC Gamer responde con TTL=128. ¿Qué te dice eso de cada equipo?

Ver respuesta

Cada sistema operativo empieza con un TTL distinto: Linux (como el del router) usa 64 y Windows 128. Como están en la misma red, no hay routers que resten saltos, así que el TTL recibido delata el sistema del otro equipo.

Ejercicio — Fase 3 · 15 min · Guiado total

🌐 Incidencia 2: DNS caído

3.1

Provoca la avería y diagnostica

En el Taller de Averías, pulsa Simular Avería en la Incidencia #2: Fallo de Resolución DNS. Después, en la terminal, desde el Portátil Teletrabajo, lanza de uno en uno:

TERMINAL · Portátil

ping 8.8.8.8
ping google.com
nslookup google.com
ipconfig

ping 8.8.8.8: 4 respuestas, 0% perdidos. ping google.com: La solicitud de ping no pudo encontrar el host google.com. nslookup: DNS request timed out · Servidor: UnKnown · Address: 192.0.2.1. ipconfig: servidores DNS 192.0.2.1, 192.0.2.2.

Con la tabla de la teoría 2, ¿qué funciona y qué no?

Ver respuesta

La conectividad funciona (el ping por IP llega). Falla la resolución de nombres: los servidores DNS configurados no contestan. Las direcciones 192.0.2.x pertenecen a TEST-NET, un rango reservado para documentación: ahí no hay ningún servidor.

3.2

Cambia los DNS

En Red LAN & DHCP, sección CONFIGURACIÓN DE SERVIDORES DNS, pulsa el preset Cloudflare (1.1.1.1). Comprueba que el primario pasa a 1.1.1.1 y el secundario a 1.0.0.1, y pulsa Guardar y Aplicar.

En el Taller de Averías, pulsa Comprobar si está solucionado en la incidencia #2.

Casos Resueltos: 2 / 5.

TERMINAL · Portátil

nslookup google.com

Servidor: 1.1.1.1 · Respuesta no autoritativa · Nombre: google.com · Address: 142.250.200.14.

Antes de la avería, ipconfig mostraba como DNS 192.168.1.1 (relé DNS del router). ¿Qué muestra ahora? ¿Por qué?

Ver respuesta

Ahora muestra 1.1.1.1, 1.0.0.1: en modo DNS personalizados el router entrega a los clientes los servidores públicos directamente, en vez de hacer de relé.

Ejercicio — Fase 4 · 20 min · Guiado

📶 Incidencia 4: interferencias en 2.4 GHz

Saltamos a la incidencia 4 porque también es de la red local. La 3 la verás en la fase siguiente, con el NAT.

4.1

Provoca la avería y mide

En el Taller de Averías, pulsa Simular Avería en la Incidencia #4: Wi-Fi con Jitter Severo. La cámara es el único equipo en 2.4 GHz. Compara su ping con el del móvil (en 5 GHz):

TERMINAL · Cámara IP y después Smartphone

ping 8.8.8.8

Cámara: unos 48 ms, y a veces algún Tiempo de espera agotado con el aviso de pérdida de paquetes. Smartphone: unos 24 ms, sin pérdidas.

Desde la Consola del Router:

CONSOLA DEL ROUTER

wifi-status

wlan0 2.4 GHz: canal 3 / 40 MHz ⚠ canal solapado (usa 1, 6 u 11) · Clientes: 1.

4.2

Míralo en el analizador de espectro

Abre Wi-Fi & Espectro y baja hasta el Analizador Gráfico de Espectro Wi-Fi, pestaña Banda 2.4 GHz (13 Canales).

Canal Configurado: Canal 3 (40 MHz) · Tipo de Canal: Solapado (Interferencia) · Nivel de Interferencia: 85% (Severo). La campana de tu red pisa las de Vecino_Piso2, MOVISTAR_6A y Vodafone_WiFi.

4.3

Arréglalo a medias (a propósito)

Sube a BANDA 2.4 GHZ. Fíjate en el desplegable Canal (Frecuencia): muestra Canal 1, pero el router está en el 3.

⚠ Trampa del simuladorEl desplegable solo tiene los canales 1, 6 y 11. Como el 3 no está en la lista, enseña el primero (Canal 1) aunque el canal real sea el 3. Si eliges «Canal 1» cuando ya lo muestra, no cambia nada. Mira siempre el canal real con wifi-status o en el analizador de espectro.

Cambia solo el Ancho de Canal a 20 MHz (Estable / Sin interferencia) y pulsa Guardar y Aplicar. Repite wifi-status en la consola.

canal 3 / 20 MHz ⚠ canal solapado (usa 1, 6 u 11): el canal sigue mal.

4.4

Termina la reparación

En Wi-Fi & Espectro, elige Canal 6 (2.437 GHz - Típico) y guarda. Comprueba con wifi-status y con un ping desde la Cámara.

canal 6 / 20 MHz sin aviso. Ping de la Cámara: unos 33 ms, sin pérdidas. En el analizador: No Solapado (Limpio).

Pulsa Comprobar si está solucionado en la incidencia #4.

Casos Resueltos: 3 / 5.

El ping de la cámara ha bajado de 48 a 33 ms, pero sigue siendo mayor que el del móvil (24 ms). ¿Por qué?

Ver respuesta

La banda de 2.4 GHz es más lenta y tiene más interferencias que la de 5 GHz aunque el canal esté limpio. Para una cámara compensa por el alcance; para jugar o hacer videollamadas, mejor 5 GHz o cable.

Ejercicio — Fase 5 · 20 min · Guiado

🔄 Incidencia 3: el servidor de Minecraft

5.1

Provoca la avería y lee la regla NAT

En el Taller de Averías, pulsa Simular Avería en la Incidencia #3: Servidor de Juegos Inaccesible. Desde la Consola del Router:

CONSOLA DEL ROUTER

iptables -t nat -L -n -v

Cadena PREROUTING: DNAT tcp wan0 … 185.220.101.42 tcp dpt:25565 to:192.168.1.50:8080 /* Minecraft Server */. Cadena POSTROUTING: MASQUERADE all * wan0 192.168.1.0/24.

Traduce las dos reglas a lenguaje normal. ¿Dónde está el fallo?

Ver respuesta

DNAT: «lo que entre por la WAN al puerto 25565, envíalo al 192.168.1.50, puerto 8080». Minecraft escucha en el 25565, no en el 8080: el tráfico llega al PC pero a una puerta vacía. MASQUERADE: «lo que salga de 192.168.1.0/24 hacia la WAN, sale con la IP pública» (el NAT de la teoría 1).

5.2

Añade la regla buena… sin quitar la mala

Abre Port Forwarding (NAT). En la tabla, la regla Minecraft Server 25565 → 192.168.1.50 : 8080 está Abierto. En Cargar Preajuste Rápido pulsa Minecraft (25565 TCP): rellena el formulario con 25565 → 192.168.1.50:25565 TCP. Pulsa Añadir y Guardar y Aplicar.

Pulsa Comprobar si está solucionado en la incidencia #3 y repite el iptables -t nat -L -n -v.

El taller responde Todavía no está resuelto. La consola muestra dos reglas DNAT para dpt:25565: primero la de :8080 y después la de :25565.

¿Por qué no basta con añadir la regla correcta?

Ver respuesta

Las reglas se evalúan en orden y gana la primera que coincide. La regla del 8080 está antes y sigue capturando el tráfico. Dos reglas para el mismo puerto externo es una configuración contradictoria: hay que borrar la mala.

5.3

Borra la regla mala

En la fila del 8080, pulsa la papelera (Eliminar regla) y guarda. Comprueba la incidencia #3.

Tabla: Servidor Web HTTP (Cerrado) y Minecraft Server 25565 → 192.168.1.50 : 25565 TCP (Abierto). Taller: Casos Resueltos: 4 / 5. Cabecera: Misiones Didácticas 1/5.

5.4

Escanéate desde Internet

Abre Lab Ciberseguridad, PRUEBA 1: ESCÁNER DE PUERTOS WAN, y pulsa Lanzar Escaneo Nmap. Simula lo que vería un atacante que escanea tu IP pública.

Resultado: 1 puertos abiertos detectados desde el exterior. 25565/TCP OPEN (Reenviado a 192.168.1.50:25565). Los otros 8 puertos (21, 22, 53, 80, 443, 3389, 8443, 32400): FILTERED (Bloqueado por Firewall SPI).

La regla «Servidor Web HTTP» existe en la tabla. ¿Por qué el puerto 80 sale FILTERED?

Ver respuesta

Porque la regla está desactivada (Cerrado). Solo cuentan las reglas activas; para el resto, el SPI descarta los paquetes sin responder (teoría 4).

Ejercicio — Fase 6 · 20 min · Guiado

🚪 Incidencia 5: DMZ y firewall apagado

Esquema del laboratorio de ciberseguridad del simulador — Esquema del Lab Ciberseguridad: nota de auditoría, escáner de vulnerabilidades e histórico de ataques bloqueados.

6.1

Provoca la avería

En el Taller de Averías, pulsa Simular Avería en la Incidencia #5: Vulnerabilidad de Red Abierta y DMZ Descontrolada. Mira la cabecera.

Auditoría: 0/100 F.

Calcúlalo con la tabla de la teoría 4.

Ver respuesta

Partías de 50. La avería activa la DMZ (−20) y apaga el SPI (−30): 50 − 20 − 30 = 0.

6.2

Mira el daño

Lanza otra vez el Lanzar Escaneo Nmap en el Lab Ciberseguridad. Después, desde la Consola del Router:

CONSOLA DEL ROUTER

iptables -L -n -v

Nmap: [ALERTA DE SEGURIDAD]: Todos los puertos están abiertos debido a la regla DMZ activa hacia 192.168.1.50! Los 9 puertos OPEN. iptables: Chain INPUT (policy ACCEPT), Chain FORWARD (policy ACCEPT), una regla ACCEPT all wan0 br-lan … 192.168.1.50 /* DMZ */ y el aviso Firewall SPI desactivado: política ACCEPT, cualquier paquete entrante es aceptado.

El PC Gamer tiene ahora el Escritorio Remoto (3389) y las carpetas compartidas expuestos a todo Internet. Es lo que pasa cuando alguien activa la DMZ «porque el juego no conectaba».

6.3

Desactiva la DMZ

En Port Forwarding (NAT), sección DMZ (ZONA DESMILITARIZADA), desactiva el interruptor Estado de la DMZ y guarda. Repite el escaneo Nmap.

Auditoría: 20/100 F. Nmap: 25565/TCP OPEN y los otros 8 puertos CLOSED (Firewall SPI desactivado: puerto responde RST).

Pulsa Comprobar si está solucionado en la incidencia #5.

Todavía no está resuelto.

Los puertos han pasado de OPEN a CLOSED. ¿Ya estás protegido? ¿Qué le dice CLOSED a un atacante?

Ver respuesta

Mejor que antes, pero no. CLOSED significa que el router contesta con RST: el atacante sabe que hay alguien y puede seguir probando. Sin SPI, además, cualquier servicio que se abra en la red quedaría accesible.

6.4

Reactiva el firewall SPI

En Seguridad & Firewall, activa Firewall SPI (Stateful Packet Inspection) y guarda. Comprueba la incidencia #5 y repite el escaneo.

Auditoría: 50/100 C. Taller: Casos Resueltos: 5 / 5. Nmap: 1 puertos abiertos (25565) y el resto FILTERED.

Resume la evolución de los 8 puertos sin regla: OPEN → CLOSED → FILTERED. ¿Qué medida provocó cada cambio?

Ver respuesta

OPEN por la DMZ (todo se reenviaba al PC). Al quitar la DMZ, CLOSED: sin SPI, el router responde RST. Al activar el SPI, FILTERED: los paquetes no solicitados se descartan en silencio.

Ejercicio — Fase 7 · 25 min · Semiguiado

🔐 Blindar el Wi-Fi

A partir de aquí la guía te dice qué conseguir y dónde, pero ya no cada clic.

7.1

Ataca tu propio WPS

En Lab Ciberseguridad, PRUEBA 2: ATAQUE DE FUERZA BRUTA WPS PIN, pulsa Iniciar Ataque WPS y espera unos segundos.

El log comprueba la primera mitad del PIN (3829) y luego la segunda (4615), y termina con ¡PIN WPS CRACKEADO CON ÉXITO!: [ 38294615 ] y Clave WPA2/WPA3 obtenida: [ "WifiSegura2026!" ].

La clave Wi-Fi tiene 15 caracteres con mayúsculas, números y símbolos. ¿Por qué no ha servido de nada?

Ver respuesta

Porque el atacante no ataca la clave, sino el PIN: con él, el router entrega la clave. Y el PIN se valida en dos mitades (teoría 3), así que hay muy pocas combinaciones. Una clave robusta no protege si dejas abierta otra puerta.

7.2

Cierra el PIN

En Wi-Fi & Espectro, sección WPS (WI-FI PROTECTED SETUP), cambia el Método de Emparejamiento WPS a Botón Pulsador Físico (PBC) y guarda. Repite el ataque.

Log: El router está en modo botón pulsador físico (PBC) · Ataque de PIN rechazado · ¡Ataque de PIN bloqueado!. Cabecera: Auditoría: 75/100 B.

7.3

Abre la red de invitados y mete al móvil

En Wi-Fi & Espectro, sección RED DE INVITADOS, activa Habilitar Red de Invitados. Comprueba que Aislamiento de Invitados (AP Isolation) está en Aislamiento Activado (Seguro) y guarda.

En Dispositivos, en la tarjeta del Smartphone Móvil, cambia Medio de Conexión a Wi-Fi Invitados (MiFibra_Invitados). Este cambio se aplica al momento.

Diagnóstico de Enlace del móvil: Aislado en Red de Invitados (Acceso a Internet exclusivo, LAN inaccesible). Cabecera: Misiones Didácticas 2/5.

7.4

Prueba el aislamiento desde el móvil

Desde el Smartphone Móvil, lanza de uno en uno:

TERMINAL · Smartphone

arp -a
ping 192.168.1.50
ping gateway
ping 8.8.8.8

arp -a: solo el gateway, y el aviso Con AP Isolation solo ves la puerta de enlace. ping 192.168.1.50 y ping gateway: 100% perdidos por el aislamiento. ping 8.8.8.8: 4 respuestas.

Confírmalo con PRUEBA 4: TEST DE AISLAMIENTO (Probar Aislamiento) del Lab Ciberseguridad.

AISLAMIENTO EXITOSO.

7.5

Experimento: quita el aislamiento

Desactiva el Aislamiento de Invitados, guarda y repite desde el móvil arp -a y ping 192.168.1.50. Lanza también la Prueba 4.

Auditoría: 63/100 C. arp -a muestra todos los equipos de la casa; el ping al PC responde con TTL=128. Prueba 4: ¡FALLO DE SEGURIDAD!.

Vuelve a activar el aislamiento y guarda.

Auditoría: 75/100 B.

ℹ Una simplificación del simuladorLos invitados reciben IP de la misma red (192.168.1.x) y solo los separa el aislamiento. Muchos routers reales ponen la red de invitados en otra subred (por ejemplo 192.168.2.0/24) o en otra VLAN, que es una separación más fuerte.

7.6

Reto: ¿cuánto vale el cifrado?

Antes de probarlo, calcula con la teoría 4 qué nota tendrías si la banda de 2.4 GHz pasara a Abierta, y cuál con WEP. Pruébalo en Wi-Fi & Espectro → Modo de Seguridad de la banda 2.4 GHz (guarda cada vez y espera a que el botón vuelva a decir Guardar y Aplicar).

Ver solución

Abierta: 75 − 40 = 35, letra D. WEP: 75 − 35 = 40, también D. Solo cuenta el fallo más grave de las bandas activas.

⚠ Déjalo como estabaVuelve a poner WPA2-Personal (AES) en 2.4 GHz y guarda. La auditoría debe volver a 75/100 B.

Ejercicio — Fase 8 · 20 min · Semiguiado

🔥 Ataque DoS y filtro MAC

8.1

Lanza un SYN flood contra el router

Apunta en Dashboard & Hardware la CPU, el Ping Promedio y las Sesiones NAT. Después, en Lab Ciberseguridad, PRUEBA 3: SIMULADOR DE INUNDACIÓN DOS, pulsa Lanzar Ataque DoS. El ataque sigue aunque cambies de pestaña.

Estado del Ataque: ATAQUE EN CURSO (60.000 pps) · Protección DoS en Router: DESACTIVADA · ¡COLAPSO DE RED!. En el Dashboard: CPU por encima del 90 %, Ping Promedio ¡LAG / BUFFERBLOAT! de varios cientos de ms, pérdida de paquetes alrededor del 30 % y miles de sesiones NAT.

Desde el PC Gamer, lanza ping 8.8.8.8.

Tiempos de unos 500 ms con el aviso La latencia es alta. A menudo se pierde algún paquete (es aleatorio: si no te pasa, repite el ping).

8.2

Activa la protección con el ataque en marcha

En Seguridad & Firewall, activa Protección contra Ataques DoS / SYN Flood y guarda. Vuelve al Dashboard y repite el ping desde el PC Gamer.

CPU alrededor del 40 %, ping de unos 30 ms sin pérdidas. Auditoría: 90/100 A · Misiones Didácticas 3/5. Prueba 3: ¡Protección Eficaz!.

Mira la regla nueva con iptables -L -n -v en la Consola del Router y después pulsa Detener Ataque DoS.

En Chain INPUT (policy DROP) aparece DROP tcp wan0 … tcp flags:0x17/0x02 limit: above 300/sec burst 50 mode srcip /* SYN flood */.

La regla dice mode srcip. ¿Qué significa, y por qué un ataque desde miles de IP distintas (DDoS) sería más difícil de frenar así?

Ver respuesta

El límite de 300 SYN/s se cuenta por IP de origen: una IP que manda más se bloquea. En un DDoS cada máquina de la botnet envía poco y ninguna supera el límite, aunque la suma sature la línea. Contra eso hacen falta defensas en el operador o servicios anti-DDoS.

8.3

Un equipo infectado dentro de casa

En Dispositivos, en la tarjeta Equipo Sospechoso / Botnet, pon Medio de Conexión en Wi-Fi 2.4 GHz y Actividad en Ataque SYN Flooding / DoS.

La tarjeta muestra IP 192.168.1.199, MAC DE:AD:BE:EF:00:13 y Conectado y transmitiendo (ddos attack), con mucho tráfico de subida.

Bloquéalo. En Seguridad & Firewall, sección Filtrado de Direcciones MAC, elige Lista Negra, escribe su MAC, pulsa Añadir MAC y guarda.

MACs Registradas (1): DE:AD:BE:EF:00:13. En Dispositivos, la botnet pasa a Sin conexión · Bloqueado por filtro de dirección MAC. Un ping 8.8.8.8 desde ella da error: Interfaz de red sin conectividad. y show arp en la consola ya no la muestra.

¿Por qué el filtro MAC es una solución de emergencia y no la definitiva?

Ver respuesta

Porque la MAC se cambia por software en segundos: el malware solo tendría que inventarse otra. La solución real es limpiar o retirar el equipo infectado y cambiar la clave Wi-Fi. Una lista blanca sería más estricta, pero también se salta copiando la MAC de un equipo autorizado.

Ejercicio — Fase 9 · 20 min · Con pistas

⚡ Elimina el lag del gamer

9.1

Provoca el bufferbloat

Haz que la Smart TV 4K Sala y el Portátil Teletrabajo se pongan a descargar a la vez, sin tocar la actividad del PC Gamer (sigue jugando). Mide el ping del PC Gamer en su tarjeta (Ping RTT) y con ping 8.8.8.8 y speedtest desde su terminal.

Pista

En Dispositivos, la Actividad de cada equipo tiene la opción Descarga Masiva Torrent / Steam (180 Mbps). No uses el botón Simular Descarga Masiva (180 Mbps) de arriba: pone a descargar al propio PC Gamer.

Ping RTT del PC Gamer: de unos 17 ms a más de 100 ms. Dashboard: ¡LAG / BUFFERBLOAT!. speedtest: latencia de más de 100 ms y una bajada de pocos Mbps.

Dos descargas de 180 Mbps más el resto suman unos 380 Mbps. ¿Por qué el PC Gamer, que solo usa 12, sufre tanto?

Ver respuesta

La línea es de 300 Mbps: sobran unos 80 Mbps de demanda que se quedan en la cola. Sin QoS hay una sola fila (FIFO) y los paquetes del juego esperan detrás de los de las descargas (teoría 5).

9.2

Activa la QoS

Consigue que el PC Gamer vuelva a tener ping de juego sin parar las descargas.

Pista

Pestaña QoS & Tráfico: hay un interruptor para el motor y una MATRIZ DE PRIORIDAD POR DISPOSITIVO. Mira qué prioridad tiene ya el PC Gamer. No olvides guardar.

Ver solución

Activa Habilitar Motor QoS, comprueba que el PC Gamer está en Máxima (Prioridad Absoluta) (viene así de fábrica) y pulsa Guardar y Aplicar.

Ping RTT del PC Gamer de nuevo en unos 20 ms; ping 8.8.8.8 de unos 24 ms. Misiones Didácticas 4/5.

9.3

Analiza el reparto

En Dispositivos, compara la Bajada de la Smart TV y la del Portátil. Las dos piden 180 Mbps.

El Portátil recibe bastante más que la Smart TV (en la prueba de la guía, unos 170 Mbps frente a unos 110).

¿Por qué la descarga del portátil va más rápida? ¿Es lo que querrías en una casa real?

Pista

Mira en la matriz de QoS qué prioridad tiene cada uno, y recuerda el aviso de la teoría 5.

Ver solución

El Portátil tiene prioridad Alta (por las videollamadas) y la Smart TV Normal. Como la prioridad va por dispositivo, la descarga del portátil hereda la prioridad alta y pasa por delante. En una casa real interesaría priorizar por tipo de tráfico (videollamada sí, descarga no), o bajar el portátil a Normal mientras descarga.

Ejercicio — Fase 10 · 25 min · Autónomo

🏁 Control parental y auditoría 100/100

10.1

Activa el control parental

Antes de nada, desde el Smartphone Móvil, lanza nslookup tiktok.com y apunta la IP que devuelve.

Nombre: tiktok.com · Address: 23.40.100.214.

Ahora activa el filtro de dominios del router. La lista ya trae tiktok.com, bet365.com y roblox.com. Comprueba el efecto desde el Smartphone:

TERMINAL · Smartphone

nslookup tiktok.com
curl -I http://www.tiktok.com
nslookup roblox.com

Pista

Seguridad & Firewall → CONTROL PARENTAL & FILTRO DE DOMINIOS WEB → Estado del Filtro Web.

Misiones Didácticas 5/5. nslookup tiktok.com: Non-existent domain (NXDOMAIN). curl: HTTP/1.1 403 Forbidden · Acceso Bloqueado por Control Parental (también bloquea el subdominio www). nslookup roblox.com: resuelve a 128.116.115.3. La tarjeta del móvil dice Tráfico filtrado por Control Parental.

¿Por qué roblox.com no se bloquea si está en la lista?

Ver respuesta

Porque su casilla en la lista está desactivada: el dominio está apuntado, pero el filtro solo aplica las entradas activas.

10.2

Salta tu propio filtro

Al principio del paso 10.1 apuntaste la IP de tiktok.com: 23.40.100.214. Cualquiera puede conseguirla igual, desde otra red o con otro DNS. Desde el Smartphone:

TERMINAL · Smartphone

ping 23.40.100.214

4 respuestas: el filtro no lo impide.

Explica por qué. Y otra pregunta: el móvil usa como DNS 1.1.1.1 directamente (fase 3). En un router real, ¿podría el router filtrar esas consultas?

Ver respuesta

El control parental actúa sobre el DNS: si no preguntas el nombre, no hay nada que bloquear. En cuanto a la segunda pregunta: si el cliente pregunta directamente a 1.1.1.1, la consulta no pasa por el DNS del router y un router real no la filtraría (salvo que intercepte el puerto 53 o bloquee los DNS externos). El simulador la filtra igualmente, una simplificación.

10.3

Llega a 100/100

La auditoría está en 90/100. Encuentra qué falta y arréglalo desde su pestaña (no con Aplicar Solución con 1 Clic).

Pista

Abre Lab Ciberseguridad y lee la lista de riesgos. Solo queda uno, y su remediación dice en qué pestaña está.

Ver solución

Port Forwarding (NAT) → UPnP → desactiva Estado del Protocolo UPnP y guarda.

Auditoría: 100/100 A+. El escáner dice ¡Excelente! No hay vulnerabilidades críticas pendientes.

El puerto 25565 sigue abierto hacia el PC Gamer y la nota es 100. ¿Significa eso que el reenvío no tiene ningún riesgo?

Ver respuesta

No. La auditoría solo comprueba la configuración del router. El riesgo se traslada al servidor de Minecraft: si tiene una vulnerabilidad, es una puerta a la red. Por eso solo se abre lo imprescindible y el servicio se mantiene actualizado.

10.4

Reto: la gestión remota

Antes de probarlo, predice la nota si activas la Gestión Remota desde Internet. Actívala, guarda y comprueba la nota, la salida de netstat -tuln en la consola y un escaneo Nmap.

Ver solución

Auditoría: 80/100 B (−20). netstat muestra tcp 0.0.0.0:8443 LISTEN httpd (GESTIÓN REMOTA WAN) y el aviso de que el panel escucha también desde Internet. Nmap: 2 puertos abiertos, 8443/TCP OPEN (Gestión remota WAN habilitada). 0.0.0.0 significa «en todas las interfaces», también la WAN; los servicios normales escuchan solo en 192.168.1.1.

⚠ Déjalo como estabaDesactiva la gestión remota y guarda: la auditoría debe volver a 100/100 A+.

10.5

Repasa y descarga el informe

Abre Misiones Didácticas: las cinco están completadas porque las has hecho a lo largo del ejercicio. Lee el resumen de cada una y relaciónala con su fase.

Pulsa Informe Oficial en la cabecera, revisa la vista previa y pulsa Descargar .txt.

Vista previa: PUNTUACIÓN DE SEGURIDAD 100 / 100 · Grado A+ · MISIONES SUPERADAS 5 / 5, con el inventario de equipos y sus IP.

Se descarga Auditoria_Red_NetSim_AX3000_Dual-Band_Wi-Fi_6.txt con Puntuación Global: 100 / 100, Calificación: Grado A+, WPS HABILITADO (push_button), red de invitados con aislamiento SI, la regla de Minecraft [ABIERTO] y Misiones Completadas: 5 de 5.

Para terminar

📤 Entrega y autoevaluación

Qué entregas

El archivo Auditoria_Red_NetSim_AX3000_Dual-Band_Wi-Fi_6.txt con la nota 100/100.
Las respuestas a estas preguntas, con tus propias palabras:

📝 Preguntas de reflexión

Un cliente llama: «El portátil se conecta al Wi-Fi pero no tiene Internet, y en la configuración pone 169.254.12.7». ¿Qué falla y qué dos causas comprobarías primero en el router?
Otro cliente: «WhatsApp funciona pero no abre ninguna web». Escribe los dos comandos con los que confirmarías un fallo de DNS y qué esperas ver en cada uno.
Explica la diferencia entre un puerto OPEN, CLOSED y FILTERED con lo que viste en la fase 6, y qué medida provocaba cada estado.
Un amigo quiere activar la DMZ hacia su PC «para que el juego conecte». Convéncelo de usar Port Forwarding y explica cómo comprobarías después que solo está abierto lo necesario.
Tu clave Wi-Fi tiene 20 caracteres aleatorios. Explica por qué, aun así, el router de la fase 7 era vulnerable, y qué dos cambios lo arreglan.
Describe el bufferbloat con un ejemplo de tu casa y explica por qué la QoS lo soluciona sin aumentar la velocidad contratada.

Autoevaluación

Marca lo que eres capaz de hacer sin mirar la guía:

✓

Explicar el NAT y la diferencia entre IP pública y privada.

✓

Diagnosticar un fallo de DHCP (APIPA) y configurar un pool y una reserva estática.

✓

Distinguir un fallo de DNS de uno de conectividad con ping y nslookup.

✓

Elegir canal, ancho y cifrado del Wi-Fi, y explicar el riesgo del PIN de WPS.

✓

Crear una regla de Port Forwarding y leerla con iptables -t nat -L -n -v.

✓

Interpretar un escaneo de puertos (open, closed, filtered) y explicar el SPI y la DMZ.

✓

Explicar el bufferbloat y configurar la QoS.

Tu progreso en esta guía

—

Referencia

📖 Glosario

Término	Significado
AP Isolation	Aislamiento de clientes Wi-Fi: los invitados solo pueden salir a Internet.
APIPA	Dirección 169.254.x.x que se pone un equipo cuando no recibe IP por DHCP.
Bufferbloat	Aumento de la latencia por colas demasiado llenas en el router.
DHCP	Servicio que asigna IP, máscara, gateway y DNS automáticamente (DORA).
DMZ	En un router doméstico: equipo al que se reenvía todo el tráfico entrante sin regla.
DNAT	Cambio de la IP de destino de un paquete; es lo que hace el Port Forwarding.
DNS	Servicio que traduce nombres de dominio en direcciones IP.
DoS / SYN flood	Ataque que satura un equipo con miles de inicios de conexión falsos.
Lease	Concesión: tiempo durante el que un equipo puede usar la IP que le dio el DHCP.
MASQUERADE	Regla de NAT de Linux que hace salir a la LAN con la IP pública del router.
NAT	Traducción de direcciones entre la red privada y la IP pública.
NXDOMAIN	Respuesta DNS: el dominio no existe.
PBC	Modo de WPS por botón físico, sin PIN.
Pixie Dust	Ataque que obtiene el PIN de WPS aprovechando números aleatorios débiles.
Pool DHCP	Rango de direcciones que el servidor DHCP puede repartir.
Port Forwarding	Regla que reenvía un puerto de la IP pública a un equipo de la LAN.
QoS	Calidad de servicio: prioridades para repartir el ancho de banda.
Reserva DHCP	Asociación fija entre una MAC y una IP.
SAE	Intercambio de claves de WPA3, resistente a ataques de diccionario sin conexión.
SPI	Firewall con estado: solo deja entrar lo que responde a conexiones salientes.
SSID	Nombre de una red Wi-Fi.
Stealth (modo oculto)	El router no responde al ping desde Internet.
UPnP	Protocolo con el que los programas abren puertos en el router sin intervención.
WEP / WPA2 / WPA3	Generaciones del cifrado Wi-Fi: obsoleta, estándar y la más segura.
WPS	Sistema para conectar equipos al Wi-Fi sin escribir la clave (PIN o botón).