Publicar una VPN doméstica: qué expones en realidad

Reenvías un puerto para el túnel y te dices que el cambio está acotado. En la práctica, el puerto solo admite paquetes; lo que hay detrás es la exposición. Tres cosas deciden esa exposición: el socket que escucha en el lado público, la identidad que acepta el túnel y los destinos que esa identidad puede alcanzar después. Cada una necesita su propia respuesta, porque una elección cuidadosa en una no limita las demás.

Reenviar un puerto no es un servicio

Una regla del router mueve paquetes hacia un host; no nombra el proceso que los lee. La página de reenvío y el socket que escucha viven en lugares distintos, por eso una regla puede apuntar a una máquina que ya no ejecuta el servicio. Para averiguar qué responde en realidad, mira en el host: ss -lntup enumera cada socket que escucha con el proceso que lo posee. Después asocia ese proceso a un componente, una versión y un propietario.

Eliminar la regla que recuerdas haber creado no cierra la puerta. Una asignación UPnP puede haberse añadido sola, una dirección IPv6 puede seguir siendo accesible después de que la entrada IPv4 desaparezca, y puede existir un segundo método de publicación en otra máquina. Lee la lista de asignaciones UPnP del router y sus entradas estáticas, y luego prueba desde fuera de la red.

Un inicio de sesión no es un permiso de LAN

El túnel decide quién puede conectarse; los recursos deciden qué puede abrir un cliente conectado. La guía de confianza cero de NIST hace la misma separación a escala de red: una dirección no demuestra nada sobre la autorización. Da a un portátil inscrito una tarea, como leer un recurso compartido en un host con nombre, y anota ese par. Una dirección de túnel no debería heredar acceso de administrador al resto de la casa.

Inspecciona también las rutas que omite un resumen: tráfico de cliente a cliente, pertenencia al puente, reenvío a internet y traducción de origen. Cada una puede unir dos sistemas que tu tarea escrita nunca menciona. Desactiva las que la tarea no necesita y luego enumera a qué puede seguir llegando el cliente.

Un escaneo limpio demuestra muy poco

Un puerto abierto es un hecho sobre una dirección y un protocolo; un inicio de sesión correcto es un hecho sobre una credencial. Ninguno dice qué ocurre después. Prueba la operación prevista en el host previsto, luego prueba una identidad que nunca se inscribió, un servicio que nadie aprobó y la interfaz de gestión que debería seguir siendo privada. La última prueba suele ser la que falla.

Prueba ambas familias de direcciones y cada ruta que publiques. Un escaneo de la dirección IPv4 no dice nada sobre un servicio IPv6 que escucha, y una prueba interna no puede ver un problema de bucle NAT ni un filtro anterior. Ejecuta al menos una comprobación desde fuera, en una conexión que no vuelva por el mismo router.

Escribe la exposición

Una tabla breve convierte la revisión en algo que la siguiente persona puede auditar. Rellénala de fuera hacia dentro, una fila por servicio accesible, y guárdala con la configuración, no en un hilo de chat. Si una fila no tiene propietario, eso es un hallazgo.

Las filas que solo dicen “la VPN” todavía no son filas. Una fila necesita el socket, el host, la identidad y el destino, porque eso es lo que probaría un auditor o un atacante.

Planifica la retirada antes de necesitarla

Un túnel que no puedes revocar es una puerta permanente. Decide de antemano cómo retirar una credencial de dispositivo, terminar una sesión activa y restaurar el acceso después de que una actualización rompa el servicio. Mantén una ruta de recuperación que no pase por el túnel, porque el túnel es lo que vas a reparar. Guárdala donde puedas llegar sin esa máquina.

La revisión termina cuando el destino previsto funciona y los no deseados no. No es una garantía de que no exista ninguna vulnerabilidad, y la etiqueta verde de un escáner no sustituye a ninguna de las dos. Entrega la tabla y la nota de recuperación a quien herede la configuración.