Llegar a la página de administración del router por VPN, no por la WAN

La página de administración del router se abre en dos segundos desde el sofá y caduca desde una habitación de hotel, mientras el cliente VPN informa de que está conectado todo el tiempo. Lo que tienes es una vía de salida, no una vía de vuelta: el túnel lleva tu tráfico a internet y se detiene ahí. Para llegar a un dispositivo dentro de tu propia LAN hace falta una sesión que termine en algo con una ruta hacia ella. Eso es una decisión de diseño, no un ajuste, y determina si el resto del trabajo es posible siquiera.

La distinción se pierde con facilidad porque un solo producto puede hacer ambas tareas. Un cliente de salida comercial y un servidor de acceso remoto pueden hablar el mismo protocolo en el mismo puerto, y la diferencia es qué lado posee el espacio de direcciones detrás del extremo.

Qué lado del túnel posee la LAN

Para administrar, el extremo tiene que estar dentro de la red a la que quieres llegar, o tener una ruta autorizada hacia ella. Un router que ejecuta su propio servidor VPN cumple el requisito; también un equipo pequeño siempre encendido con dirección fija y una ruta hacia la LAN. Un servicio de salida operado por un tercero no lo cumple, porque su extremo no tiene interfaz en tu LAN ni regla alguna que permitiera que apareciera una. Esa es la comprobación que hay que terminar antes de tocar cualquier otra cosa.

El firmware rara vez etiqueta esa diferencia, así que lee qué hace la función y no qué protocolo nombra. WireGuard, OpenVPN e IKEv2 aparecen en ambos lados del mercado: una compilación envía el tráfico doméstico hacia fuera, otra acepta tu dispositivo remoto. Una compilación solo de cliente no puede convertirse en servidor por configuración, por mucho que se reformule el menú.

Hacer que exista la ruta de vuelta

Un servidor WireGuard en el router tiene una dirección de interfaz como 10.8.0.1/24 y una entrada de par para el portátil. El cliente decide qué destinos enviará al túnel, y una lista que solo contiene la subred del túnel deja la LAN invisible, esté como esté configurado el servidor. Ambos extremos tienen que ponerse de acuerdo, y normalmente solo se edita uno de ellos.

wg show wg0 allowed-ips
ip route get 192.168.1.1

El primer comando informa de lo que cada par puede enviar desde el punto de vista del servidor; el segundo informa de adónde iría realmente una dirección de la LAN en el cliente. Un destino de la LAN que resuelve hacia la interfaz del túnel es enrutamiento que funciona, y el que sale por la puerta de enlace física nunca llegará, diga lo que diga el cortafuegos. Añade el prefijo de la LAN a la lista permitida del cliente y los mismos dos comandos se convierten en un paso de verificación en lugar de un diagnóstico.

El mismo salto para las puertas de enlace IPsec lo describe la documentación de reenvío de strongSwan, donde el reenvío y una regla de NAT de origen son lo que conecta un cliente de túnel con un equipo interno. El direccionamiento cambia; el requisito no.

Quién puede abrir la página de administración

El control de acceso pertenece al router, no a la intención de ser cuidadoso. Permite solo la identidad de túnel autenticada o el rango de origen que necesita la página, y lee la propia cadena de entrada del router así como cualquier política de LAN reenviada. Una regla que deja que la LAN cableada llegue a la página de administración no dice nada sobre un cliente que llega por la interfaz del túnel. Escribe la excepción para una identidad concreta y luego mantén una segunda identidad que deba rechazarse.

El oyente es la otra mitad y es invisible en la salida del cortafuegos. ss -ltnp muestra la dirección a la que está ligado el servidor web, y un servicio ligado solo a la dirección de la LAN no responderá en la dirección del túnel, por permisivas que sean las reglas. Volver a ligarlo o añadir una dirección es un cambio de configuración en el router, no un cambio de cortafuegos.

Mantén la autenticación y la validación del transporte activadas en la misma pasada. Llegar no es confiar, y cada dispositivo dentro de un túnel no se convierte por ello en administrador. La credencial del túnel y la cuenta del router son privilegios separados con ciclos de vida separados, así que la clave de un portátil perdido puede revocarse sin restablecer la contraseña de cada administrador.

Probar desde fuera, no desde el sofá

Prueba desde una red que no controles. Conéctate por el túnel aprobado, abre una sesión de administración nueva y cambia algo inofensivo que veas reflejado en la página. Desde el sofá demuestras que la LAN funciona, algo que nunca estuvo en duda.

Después prueba los rechazos con el mismo cuidado. Intenta abrir la página sin el túnel y confirma que falla, y confirma que el servicio de administración no escucha en absoluto en la dirección WAN. Una página que solo no está enlazada no es control de acceso, y un oyente en la WAN que muestra un formulario de acceso sigue siendo un oyente en la WAN. Si una contraseña es lo único entre internet y la consola del router, el diseño es una contraseña.

Los servicios de casa merecen un vistazo mientras estás allí. Endurecer las reglas de gestión a menudo rompe la red de invitados o el resolutor que usan los dispositivos de la familia, y eso aparece días después como una queja no relacionada.

Mantener una vía de vuelta mientras cambias cosas

Antes de cambiar rutas o ajustes del túnel en remoto, prepara una vía de vuelta independiente. Una sesión existente puede sobrevivir al cambio que ya bloquea conexiones nuevas, y es exactamente así como la gente se deja fuera mientras mira una sesión que todavía funciona. Las opciones son concretas: un reinicio programado a una configuración conocida, acceso por consola o físico, un segundo túnel que no dependa del ajuste que se está editando, o gestión fuera de banda donde el hardware la ofrezca. Elige una y demuéstrala antes de la ventana de mantenimiento, no durante.

Mantén el registro corto y actual: qué equipo termina el túnel, qué identidades pueden llegar a la página, a qué dirección se liga el servicio y cómo se revoca un dispositivo perdido. Esa lista hace también de plan de recuperación, porque dice dónde vive cada dependencia. Una ruta de vuelta ausente es un problema de enrutamiento que hay que reparar, y nunca es motivo para publicar la administración en la WAN.