Normalmente está en el recibidor. O en el sótano. Un aparato plano, templado, con luces parpadeantes que el operador dejó al firmar el contrato. Lo conecta, asocia el wifi, lo olvida. Años después sigue funcionando — mismo firmware, misma contraseña, mismas grietas que el primer día.

Nadie en casa sabe qué ocurre dentro. Nadie puede averiguarlo. El aparato que vigila el paso entre el internet público y todo lo que a uno le importa — tráfico bancario, aparatos familiares, cámaras, el túnel VPN hacia el teletrabajo — es una caja negra. Y el balance de estas cajas negras es, francamente, catastrófico.

Una crónica del fracaso

No hay que cavar mucho para hallar historias que pongan los pelos de punta. La historia del equipo en casa del cliente — los llamados CPE, Customer Premises Equipment — es una sucesión de escándalos que cada cual levantó breve alarma y quedó olvidado en la generación de aparatos siguiente.

En 2016 el gusano Mirai tomó cientos de miles de dispositivos, simplemente probando accesos de fábrica y contraseñas predeterminadas que nadie había cambiado. Los routers figuraban entre ellos. Esos mismos aparatos fueron luego movilizados como ejército contra infraestructura crítica — el ataque al proveedor DNS Dyn dejó caer a la vez Twitter, Reddit, Netflix y GitHub.

En 2018 apareció VPNFilter. Nada de casualidad de aprendiz, sino un atacante profesional atribuido a un Estado. Afectó a routers SOHO de Linksys, MikroTik, Netgear, TP-Link y QNAP. Las estimaciones hablaban de más de medio millón de aparatos infectados en 54 países. El malware sobrevivía a reinicios, podía destruir firmware, interceptar tráfico, cosechar credenciales y convertir los aparatos en relevos anónimos para nuevos ataques. El FBI confiscó un dominio de control. El mensaje era inequívoco: quien opera un router de consumo opera potencialmente a un soldado bajo órdenes ajenas.

Antes y después: Misfortune Cookie (2014), una falla en el software RomPager presente en incontables puertas de enlace del ISP, que dejó más de doce millones de aparatos susceptibles de obtener root remotamente. Gusano TheMoon contra Linksys. Interfaces TR-069/CWMP que permiten al operador gestionar los aparatos a distancia — y cuya apertura quedaba expuesta a cualquiera que encontrara la interfaz. UPnP, que abría puertos hacia fuera automáticamente y hacía vulnerables a millones de redes. Procedimientos de la FTC contra ASUS (2016, mandato de auditoría de veinte años) y D-Link (querella 2017), porque el márketing prometía «Advanced Security» mientras los aparatos carecían de funciones básicas de protección.

Y esa es apenas la cara involuntaria.

Agujeros involuntarios — y puertas traseras deliberadas

Aquí se vuelve incómodo. No toda vulnerabilidad es un accidente.

En 2013 un investigador halló un servicio oculto en el puerto TCP 32764 en decenas de modelos de routers del fabricante Sercomm — aparatos vendidos bajo marcas Linksys, Netgear, Cisco, Diamond y otras, unos dos millones de unidades. El servicio aceptaba comandos en texto claro con privilegios de root. Sin autenticación. Mando remoto incorporado, sencillamente olvidado de apagar. Siguió informes de cuentas codificadas permanentemente en diversos aparatos de consumo y pymes, de interfaces de depuración dejadas en imágenes de producción, de canales de actualización firmados pero opacos.

A ello se suman advertencias políticas que no se pueden despachar con un gesto. Estados Unidos, Australia y varios estados europeos han prohibido equipamiento de ciertos fabricantes en infraestructura crítica — alegando posible influencia estatal. Probado en sentido forense estricto no siempre lo está. Pero la cuestión de si un aparato tiene detrás una puerta cuya llave solo posee el fabricante — y quizá un Estado — no se puede responder con firmware cerrado. Punto. Y ese es precisamente el problema.

Con código revelado se puede buscar. Con firmware cerrado solo se puede esperar. Esperar que no exista un segundo puerto 32764. Esperar que la imagen de actualización contenga de verdad únicamente lo que anuncia el registro de cambios. Esperar que nadie haya dejado un acceso de emergencia que nadie documentó. Fundar la seguridad en la esperanza no es estrategia. Es juego de azar.

Por qué «solo es el router» resulta mortal

Una y otra vez escucho: «Pero en ese router solo cuelgan aparatos privados.»

Ahí reside el error de razonamiento. El router no es un aparato periférico cualquiera. Es la puerta por la que pasa todo. Cada correo, cada sesión bancaria, cada videollamada con el asesor fiscal, cada inicio de sesión en la red corporativa desde el teletrabajo — todo circula frente a este aparato. Quien controla el router controla todo el flujo de datos. Puede torcer la resolución DNS y redirigir sitios bancarios a servidores falsificados. Puede inyectar certificados y romper el cifrado de forma silenciosa. Puede lanzar movimiento lateral hacia la red interna — hacia el NAS, las cámaras, los gadgets domóticos desprotegidos, los puestos con acceso corporativo. Y puede usar el conjunto como cabeza de playa para ataques que nada tienen que ver con el propietario, sino con el papel del aparato como relevo de botnets.

En contexto empresarial, el CPE es el borde de toda la organización. Una pequeña sucursal con un router de operador mal mantenido no es un riesgo aislado — es la vía de entrada.

Nuevos enemigos, aparatos viejos

La situación se tensa. Dos desarrollos vuelven más perentorio el statu quo.

Primero: los aparatos perimetrales se han convertido en el blanco predilecto de atacantes alineados con Estados. Los routers SOHO están poco vigilados, rara vez se actualizan y ofrecen larga permanencia. Justo lo que busca quien opera orientado a persistencia. Las grandes campañas de los últimos años no apuntaron a centros de datos, sino a las cajas sin vigilancia en el borde de la red.

Segundo: las herramientas para encontrar y explotar vulnerabilidades se vuelven de consumo masivo. Escáneres automáticos, generación de exploits asistida por IA, sistemas ofensivos autónomos — la barrera baja. Quien antes necesitaba meses para analizar un firmware hoy obtiene en horas pistas sobre anomalías. La defensa, en cambio, sigue esperando el parche del fabricante, que muchas veces nunca llega. Muchos modelos dejan de recibir actualizaciones a los dos o tres años — formalmente fin de soporte, en la práctica sentencia de muerte.

Este desequilibrio es estructural. El atacante debe ganar una vez. El defensor debe ganar cada vez — con una caja negra que no puede ni leer ni parchear.

Las alternativas sensatas

Existen. Y no son exóticas. Cuatro familias de sistemas constituyen la única respuesta racional cuando se toma en serio el control del paso de red.

OpenWrt. Nacido precisamente del momento en que, en 2003, el Linksys WRT54G, firmware Linux incluido, tuvo que liberarse bajo GPL — una historia que muestra lo que el copyleft aplicado puede desatar. OpenWrt sustituye el firmware de routers de consumo compatibles por un sistema Linux abierto. Configuración legible, gestor de paquetes incluido, actualizaciones periódicas, la interfaz web LuCI. Si ya dispone del hardware adecuado, rescata la inversión y gana un aparato que entiende.

OPNsense. Basado en FreeBSD, surgido en 2014 como bifurcación de pfSense, con interfaz más moderna, configuración por defecto dura y política activa de versiones. Trae a bordo IDS/IPS mediante Suricata, WireGuard e IPsec, gestión de certificados y registro. Corre en mini-appliances x86 o máquinas virtuales. Para muchos, la entrada más sensata a un sistema de cortafuegos «auténtico».

pfSense. También FreeBSD, el pariente mayor y muy difundido. Maduro, productivo en innumerables entornos pyme, con alta disponibilidad, multi-WAN y amplia documentación. Quien busca un sistema estable y probado lo encuentra aquí.

Cortafuego manual en Linux o BSD. Para quien quiere control total: nftables sobre el núcleo Linux (sucesor de iptables, parte de netfilter) o pf en OpenBSD — configurados en un host endurecido que a la vez actúa como router. Conjunto de reglas versionado como código, auditable, reproducible. Máxima transparencia, máxima responsabilidad. Quien toma esta ruta entiende cada paquete que pasa.

Estos sistemas son la alternativa sensata porque son abiertos. Porque se puede leer el conjunto de reglas. Porque llegan actualizaciones, porque una comunidad los respalda. Porque no hay que esperar — se puede saber.

Es más fácil de lo que la mayoría cree

La objeción dice: «Eso es para profesionales. Demasiado complicado para un usuario corriente.»

No es cierto. La barrera de entrada es más baja de lo que su reputación sugiere.

Un mini-PC dado de baja, un thin client de un saldo de oficina, una pequeña appliance x86 por cien euros — todos se vuelven cortafuegos serios en cuanto corre en ellos OPNsense o pfSense. Una Raspberry Pi basta para redes domésticas pequeñas. Quien ya tiene un router de consumo compatible flashea OpenWrt en diez minutos y conserva el hardware. Un switch administrado barato con capacidad VLAN segmenta la red en zonas de invitados, IoT y trabajo — nigromancia ninguna.

Y no hay que teclear. LuCI, las interfaces web de OPNsense y pfSense guían por la instalación, las reglas, los túneles VPN. La línea de comandos es optativa — quien la quiere gana precisión; quien no, igual llega a la meta. Un fin de semana de aprendizaje, documentación sólida, una comunidad servicial. Después se opera un sistema que se entiende — durante años, a menudo décadas.

Por qué el gran público debería plantearselo en serio

La seguridad no puede seguir siendo un lujo de especialistas. Los valores de fábrica que entregan los operadores no están optimizados para la defensa, sino para el mínimo de llamadas a soporte. No es mala voluntad — es un incentivo económico que estructuralmente juega contra el usuario.

El coste de una intrusión — robo de identidad, cuentas vaciadas, cámaras comprometidas, datos infantiles en manos ajenas, una empresa atacada vía el teletrabajo — guarda proporción nula con el esfuerzo de un fin de semana. Y en términos colectivos: mientras millones de routers sigan siendo utilizables como soldados de botnet, todos estamos afectados, incluso quien esté bien asegurado por su cuenta. La higiene digital no es asunto privado. Quien endurece su router no solo se protege a sí mismo — retira a un soldado potencial de un ejército apuntado contra otros.

Cuando escala: administrabilidad central

A pequeña escala basta un único aparato. Quien opera varios emplazamientos — una pyme, una organización con sucursales, una residencia con múltiples segmentos — necesita más: una flota de cortafuegos gobernada de manera conjunta.

Justo aquí despliegan OpenWrt, OPNsense y pfSense su segunda fuerza. Configuración como código, desplegada vía Ansible o Puppet. Registro centralizado en Graylog o Wazuh. Monitorización mediante Prometheus, Grafana o LibreNMS. VPN malladas vía WireGuard o IPsec que enlazan los emplazamientos. Aprovisionamiento sin intervención que integra un aparato nuevo en un sitio remoto a la estructura existente en el primer arranque. Respuesta coordinada a incidentes en todos los nodos. No es magia negra — es práctica establecida. Pruébelo con una colección de cajas de operador heterogéneas.

Qué supone esto para libcom.de

Aquí se vuelve concreto. Los sistemas de cortafuegos y la seguridad de red son una especialidad de libcom.de. Desde hace más de dos décadas planifico, construyo y opero — Jochen Demmer — soluciones abiertas de cortafuegos y encaminamiento, desde el aparato único endurecido hasta la flota administrada centralmente en varios emplazamientos.

Importante: no son soluciones de estantería. Cada entorno tiene requisitos propios — su topología, su panorama de amenazas, sus obligaciones de cumplimiento, su trayectoria de crecimiento. Una solución prefabricada protege tan poco como el router de operador que pretende sustituir. Por eso el trabajo no empieza con un catálogo de productos sino con un inventario: qué corre, qué protege, qué no, y hacia dónde debe desarrollarse?

Para entornos menores eso suele significar: un aparato OpenWrt u OPNsense endurecido, limpiamente segmentado, documentado, entregado. Para mayores: un sistema de cortafuegos distribuido con administración central, configuración como código, monitorización, alertas y una ruta de migración clara. Nosotros planificamos, implementamos, documentamos y formamos — y no quedamos como cuello de botella. Quien nos deja puede mantener el sistema en marcha, porque es comprensible, estandarizado y trazable.

Si se pregunta si su paso de red actual sigue siendo contemporáneo, o si busca una solución que vaya más allá de la próxima caja de operador: escriba a contact@libcom.de. Hacemos un inventario honesto. Sin presión comercial. Con la vista en lo que perdura a largo plazo.

El router en el borde de su red no es un aparato neutro. Es el punto por donde todo pasa — y donde menos se mira. Es hora de cambiar eso.

Los sistemas de cortafuegos abiertos no son una medida para especialistas. Son la respuesta sensata a una caja negra que quedó demasiado tiempo sin examen.

Aviso: Este artículo ofrece orientación general y no sustituye una revisión de seguridad individual. Las afirmaciones sobre productos o fabricantes concretos se basan en incidentes públicamente conocidos; toda la información se facilita sin garantía.