Prólogo: El Objetivo y el Plan
Introducción:
Este documento no es el clásico resumen corporativo ni una guía técnica
comprimida. Es la transcripción de una historia contada de forma didáctica y
amigable. El objetivo principal es aprender a obtener la independencia IT para las
telecomunicaciones, mostrando el proceso de aprendizaje real entre un técnico y
un experto en redes IP.
A través de
un formato de conversación fluida, se desvelan todos los secretos de las redes
híbridas, explicando no solo el qué, sino el porqué de cada clic,
de cada dirección IP y de cada protocolo. Está diseñado para que cualquier
persona, sin importar su nivel de experiencia previa en redes, pueda abrir las
cajas de los rúters desde cero, comprender la lógica del tráfico de datos y
desplegar con éxito un sistema de control remoto para repetidores de radio
Kenwood, ahorrando desplazamientos kilométricos para realizar modificaciones de
programación o comprobación, ganando en calidad de vida
Carlos:
Mira, Experto, me gustaría ser un referente en soporte técnico con los
repetidores Kenwood y alcanzar la autonomía absoluta o casi absoluta en
movilidad ya que ahora con internet se pueden hacer muchas formas de forma
remota y prácticamente todas las herramientas de programación monitoreo o
actualización se hacen por PC. ¿Qué significa esto? Quiero que me dé
exactamente igual si el repetidor Kenwood del laboratorio está en la habitación
de al lado o metido en una torre en mitad de una montaña a 400 kilómetros de
distancia. Creo que con los repetidores actuales y algunos equipos adicionales
esto se puede hacer. ¿Qué opinas?
El
Experto: Sí, creo que se puede hacer perfectamente. Pero ¿en qué estás
pensando? ¿Qué quieres hacer exactamente y cuáles son tus necesidades reales? Explícame.
Carlos:
La verdad es que lidiar con las redes internas de las empresas o de los
clientes es muy complicado y los accesos son muy limitados y siempre
dependientes del equipo IT. A mí me gustaría estar fuera al 100% con equipos
propios, ya que ellos con sus redes ponen muchas limitaciones, hacen cambios que
generan fallos en los sistemas y que hacen caer las redes. Si no hay equipo de
IT lo subcontrato, pero es igual sigo siendo dependiente de terceros para que
me monten y mantengan todo el sistema, lo que encarece muchísimo el proceso.
El
Experto: Claro, si trabajas desde fuera es mucho más fácil. Y si lo montas
tú directamente para tener un acceso rápido y solucionar cualquier problema que
surja sobre la marcha, mejor que mejor. De todos modos, si quieres, te cuento
lo que se me ocurre que podemos hacer aprovechando las redes que ya tiene
contratadas el cliente, pero para hacerlo existe un requisito insalvable en
todo lo que te voy a explicar: necesitamos que el cliente tenga una dirección
IP pública fija, que no cambie nunca.
Carlos:
¿Cómo? ¿Para qué? Explícame eso.
El
Experto: Verás, Carlos, las direcciones IP públicas pueden ser fijas o
dinámicas. Las que no son fijas dependen del operador y pueden cambiar cada
poco tiempo, o mantenerse solo si no se apaga el equipo, perdiéndose al
reiniciarlo. La IP fija, como su nombre indica, no cambia jamás. ¿Para qué la
necesitamos? Es simple: requerimos un punto de destino fijo al que llamar; a
partir de ahí, los equipos ya pueden hablar y comunicarse entre sí.
Carlos:
¿Y solo necesitamos una única IP fija?
El
Experto: Sí, porque el resto de los equipos llamarán a esa IP fija estén
donde estén, y la IP que tengan esos equipos remotos en ese momento será
completamente indiferente. Es como cuando no había telefonía móvil: llamabas a
casa (la IP fija) desde cualquier cabina pública para solucionar un asunto;
daba igual desde qué cabina llamases, pero necesitabas conocer de antemano ese
número inicial de conexión.
Carlos:
Ya, pero de este modo seguimos atados y dependiendo del equipo de IT del
cliente.
El
Experto: Sí, en parte sí, pero utilizaremos nuestro propio router. No les
pediremos reglas especiales ni configuraciones complejas. Hay una función en
los routers llamada DMZ (Zona Desmilitarizada); si nos la activan
apuntando a la IP de nuestro router o Gateway, el control absoluto será nuestro
utilizando su conexión de fibra, pero sin llegar a entrar en su red local. Tú
tendrás el control y la configuración total de tu router. Si el cliente contrata
el servicio, instalamos el router; si deja de pagar el servicio, te lo llevas y
lo reutilizas en otro cliente. ¿Cómo lo ves?
Carlos: Sigue, sigue, que esto suena muy bien.
El
Experto: Mira, existen muchos routers en el mercado. Si quieres, yo tengo
unos equipos Ruijie RG-EG105GW (T) que te podría dejar para probar, ya
que cuentan con todo lo necesario. Solo hace falta que un router en cada
extremo nos dé salida a internet y nosotros montaremos estos routers Ruijie
justo detrás, conectados por un cable desde la entrada WAN del Ruijie a la LAN
del cliente. De esta forma no se modifica nada de la red existente. ¿Por qué lo
hacemos así? Porque estos routers Ruijie específicos no tienen ranura SIM ni
conexión directa de fibra, por lo que requieren obligatoriamente una conexión
WAN externa para acceder a internet.
Piensa en
este esquema: tu ordenador de soporte debe ser capaz de "estirar" un
cable invisible que cruce internet, entre a tu taller central y, desde ahí,
salte de forma directa al corazón de cualquier repetidor remoto.
La lógica
que vamos a seguir para lograr este plano visual es la siguiente:
1.
El Acceso del Técnico (WireGuard): Tu PC
se conecta desde el exterior mediante un túnel virtual ultra rápido y ligero
(WireGuard) contra tu oficina central o la del cliente. Esto te introduce
virtualmente en el en esa red tuya sin importar dónde te encuentres
físicamente.
2.
El Puente entre Sedes (IPsec): Tu oficina
central y la maleta remota están unidas permanentemente por un puente blindado
(Túnel IPsec de sitio a sitio).
3.
La Interconexión Total (El Cruce de Rutas):
El verdadero truco de ingeniería consiste en enseñar al router del taller y al
de la maleta a reconocer tu IP virtual de WireGuard dentro de ese puente IPsec.
De este modo, tu tráfico cruza ambos túneles de forma automática y
transparente. Al terminar esta guía, este mapa de ruta será una realidad
interactiva en tu pantalla.
El
Experto: Antes de empezar, es mejor que te familiarices con los routers.
Mira este vídeo; aunque abarca más conceptos, explica muy bien las conexiones
iniciales. Muestra que la red Wi-Fi viene sin seguridad al arrancarlo de
fábrica, que debes establecer una contraseña de inmediato (aunque la inicial
sea admin), y enseña la vinculación al Cloud y el manejo de su aplicación
móvil, añadiendo diferentes redes Wi-Fi que nos interesan. Es una forma
excelente de navegar por las opciones de control: https://www.youtube.com/watch?v=_lFUO8zygK4
Hay un
detalle importante que debemos tener en cuenta: estos Gateways no permiten
añadir más de una unidad dentro de un mismo proyecto en la nube. Por lo tanto,
si los sincronizamos en el Cloud para gestionarlos en remoto, se debe definir
cada uno de ellos como un proyecto independiente.
¡Al lío!
Carlos:
Oye, amigo, me gustaría documentar todo esto y compartir la información para
que otros también puedan hacerlo. Quiero crear un único documento que unifique
todo el proceso junto a un plano visual global, en lugar de tener la
información separada por máquinas sin entender muy bien qué se está haciendo.
Los expertos como tú lo tenéis muy claro, pero los novatos como yo, no. ¿Qué te
parece si me echas un cable y lo englobamos todo de una vez por todas?
Revisamos
ese plano mental que debes tener en la cabeza donde "estiras un cable invisible" a
través de internet. Tu PC se conectará desde fuera (desde casa o un hotel)
mediante un túnel rapidísimo llamado WireGuard contra el router central. Una
vez dentro de la oficina, tu tráfico se meterá de forma automática por un
puente blindado llamado Túnel IPsec, que une permanentemente el taller con la
maleta o repetidor remoto. El verdadero secreto de este manual consiste en
enseñar a ambos routers a reconocer la IP virtual de tu ordenador dentro de ese
puente, y lograr que los datos viajen de punta a punta de forma totalmente
transparente sin importar tu IP de conexión.
Carlos:
Me queda claro el destino del viaje. Con ese mapa visual en la cabeza, pongamos
las coordenadas reales sobre la mesa antes de tocar ningún cable. Muéstrame
cómo se organiza el tráfico IP de mi laboratorio.
El Experto: Aquí lo tienes, Carlos. Estas son las IPs reales de tu
escenario. Una vez establecidas, vamos a respetarlas al milímetro en cada menú
para que todo encaje. Podrían ser otras dependiendo de las redes utilizadas,
pero en nuestro caso son estas, están completamente documentadas y las vamos a
seguir de manera estricta; de esa forma, si aparece algún problema, las
repasaremos una a una.
|
Ubicación /
Nodo |
Dispositivo
Físico |
Segmento
LAN / Ruta |
Dirección
IP Clave |
|
Punto de Entrada Central |
Router de Operador (Movistar) |
Red Externa / Enlace WAN |
Pública Fija: xxx.96.36.247 LAN Enlace: 192.168.1.1/24 |
|
Central / Taller |
Router Ruijie Taller (Servidor IPsec) |
192.168.110.0/24 |
IP WAN: 172.16.0.13 IP LAN: 192.168.110.1 |
|
Maleta Remota |
Router Ruijie 5G (Cliente IPsec) |
192.168.120.0/24 |
IP LAN: 192.168.120.1 Repetidor: 192.168.120.18 |
|
Soporte VPN Técnico |
PC del Técnico (WireGuard) |
10.0.0.0/24 (Virtual) |
IP Servidor WG: 10.0.0.1 IP PC Técnico: 10.0.0.2 |
Capítulo 2: El Desembalaje y el Gran
Conflicto de Fábrica
Carlos:
De acuerdo, las piezas están claras. Ahora imagínate que me llegan las cajas de
los dos routers Ruijie nuevecitos de fábrica, los saco de la caja, los enchufo
a la corriente... ¿Qué pasa si los intento interconectar directamente?
Si intentáramos levantar un túnel VPN entre ellos manteniendo esa IP idéntica en los dos lados, se produciría una colisión de redes inmediata. Es el equivalente a que en tu misma ciudad existieran dos calles idénticas, con el mismo nombre y los mismos números de casa, y el cartero tuviera que entregar un paquete. El sistema colapsaría. Si tu PC está en el taller e intenta buscar el repetidor remoto, no sabría si quedarse en la oficina local o viajar por el túnel. Por eso, nuestra primera misión obligatoria es "separar los barrios": el taller se queda en su rango nativo (192.168.110.1), pero a la maleta la vamos a mudar obligatoriamente a la red 192.168.120.1. Así eliminamos cualquier confusión de tráfico.
Capítulo 3: La Central de Mandos en la Nube:
Ruijie Cloud Platform
Carlos:
Entendido lo del rango. Pero antes de ir a los cables de la oficina, háblame de
la nube. Ruijie tiene la plataforma Ruijie Cloud (o Reyee Cloud) para gestionar
los equipos en remoto. ¿Cómo se integran los routers en la nube desde el primer
encendido?
El
Experto: ¡Es el complemento ideal para tu objetivo. Carlos! La nube nos da
una ventana centralizada para ver el estado de salud del túnel IPsec y las
maletas 5G en tiempo real sin tener que desplazarnos. El proceso se hace justo
al inicio:
1.
Creación del Proyecto: Entras en la
plataforma web de Ruijie Cloud (o usas la App oficial en tu móvil) con tu
cuenta corporativa y creas un proyecto nuevo, por ejemplo, "Red de Soporte
Kenwood".
2.
Vinculación de Equipos: Cada router
Ruijie trae una pegatina trasera con un código QR, un código de barras y un
número de serie (SN). Con la App del móvil, basta con escanear ese código QR
para añadir tanto el router del taller como el de la maleta a tu proyecto en la
nube.
3.
Sincronización Automática: En cuanto el router
de la oficina y el de la maleta reciban internet por primera vez a través de
sus puertos WAN, se comunicarán con los servidores de la plataforma. La nube
reconocerá sus números de serie, los adoptará en tu panel y te permitirá
monitorizarlos y gestionarlos desde cualquier rincón del mundo.
4.
Hay que
tener en cuenta que en el proyecto que se crea en la plataforma solo puede
haber un router (Gateway) principal en uso. Por tanto, tenemos que crear dos
proyectos diferentes y meter un router en cada uno de ellos. Desde la
plataforma y con tu usuario único puedes gestionar todos tus proyectos de
manera unificada; en este caso, llamaremos KWD al proyecto del router de
la oficina y KWD_Movil al del repetidor que estará desplegado en
el campo.
Aquí tienes
otro vídeo de referencia sobre el entorno, aunque encontrarás muchos más en la
red:
El cloud de Ruijie: https://www.youtube.com/watch?v=t6iMcbItTIA
Capítulo 4: Configurando al Guardián de la
Puerta (El Router Movistar)
Carlos:
Perfecto, la nube nos dará el control visual de la salud de los equipos. Vamos
al taller central. Frente a mí tengo el router de Movistar que tiene vuestra IP
pública fija (xxx.96.36.247) y el Ruijie del taller. ¿Cómo los conecto
físicamente y qué toco en el de Movistar?
El Experto: Vamos con el cableado de la central:
1.
Coge un cable de red Ethernet normal y conéctalo
a uno de los puertos LAN (los de color amarillo) del router de Movistar.
2.
Lleva el otro extremo de ese cable directo al
puerto etiquetado como WAN (o WAN0) de tu router Ruijie del taller.
¡Ojo, no lo metas en las bocas LAN, tiene que ir obligatoriamente a la WAN!
3.
Para poder configurar el router de Movistar,
conecta de forma temporal tu ordenador con otro cable a uno de los puertos
amarillos que le queden libres al propio equipo de Movistar y configuraremos la
DMZ.
Carlos: Cables listos. Abro el navegador en el
PC. ¿Qué dirección pongo y cómo configuro lo de la DMZ para que no me
bloquee nada?
El Experto: Lo primero es entrar en el router de
operador. Normalmente, si pones en la barra de direcciones la IP de gestión de
Movistar (192.168.1.1) y pulsas Intro, accedes. Introduces la contraseña que
viene en la pegatina debajo del router (donde dice "Clave de acceso al
router") o la que le cambiaras en su momento.
Carlos: Me suena que no es esa IP, que estamos en
una red diferente en la oficina, pero no sé cuál es exactamente.
El
Experto: Si no recuerdas la IP pero sí te sabes la contraseña de acceso, la
podemos averiguar en un segundo. Si no te supieras la contraseña, tendríamos
que resetear el router a valores de fábrica manteniendo el botón de Reset
apretado unos 30 segundos, devolviendo la IP por defecto (192.168.1.1 o
192.168.0.1) y el password de la etiqueta.
Carlos:
Sí, la contraseña la tengo apuntada, lo que no sé es la IP de gestión del
router.
El
Experto: Como tienes la clave, vamos a buscar la IP actual. En Windows ve a
la barra de búsqueda, escribe CMD y abre el Símbolo del Sistema.
En la
ventana negra, escribe el comando “ipconfig/all” sin comillas y pulsa Intro.
Busca el
adaptador que estás usando..
Carlos:
¿Y como se cual estoy buscando?
El Experto:
Tranquilo normalmente solo hay uno de Ethernet y quizás uno de wifi, si
tuvieses más de una tarjeta de red o adaptadores USB te aparecerían varios, en
ese caso lo mejor para no liarte nunca es que solo tengas una conexión, ya que
el PC solo muestra las conexiones que están activas.
Carlos: Vale solo tengo una tarjeta y un cable.
El
Experto: bien pues venga, escribe CMD, abre el Símbolo del Sistema. En la
ventana negra, escribe el comando “ipconfig /all” sin comillas y pulsa Intro.
Lo ves ahí
lo tienes Ethernet, y fíjate que tu IP actual es la 172.16.0.16 y la puerta
de enlace es la 172.16.0.1. esa dirección de la puerta de enlace es
la IP de tu router. Pon esa dirección en el navegador, anota también las DNS
que te aparezcan (las usaremos luego), introduce la contraseña y entremos a
configurar.
Carlos:
Vale, ya estoy dentro del menú de Movistar. ¿Adónde voy ahora?
El
Experto: Ve a la sección de Configuración Avanzada. Una vez dentro,
busca el menú de NAT o Puertos, y localiza la función llamada DMZ
(Zona Desmilitarizada). Por defecto, el router de Movistar bloquea todas
las conexiones entrantes no solicitadas desde internet por seguridad. Al
activar la DMZ y decirle que apunte a la dirección IP estática que le
asignaremos a la WAN del Ruijie (por ejemplo, la 172.16.0.13), le estás
ordenando al router de Movistar: "Cualquier paquete que llegue desde el
exterior a nuestra IP pública, no lo filtres ni le hagas preguntas; dáselo
limpio e intacto al router Ruijie, que él sabrá cómo gestionarlo".
Esto evita problemas de "Doble NAT" y abre limpiamente los puertos
para las VPNs.
Carlos: Huy, esto me da un par de advertencias de
seguridad en pantalla, pero he seguido hacia adelante y al final lo he
encontrado. Lo tengo: está en Advanced Settings > NAT > DMZ.
El
Experto: Perfecto. Ahora tenemos que elegir una dirección IP fija para la
WAN de nuestro Ruijie que esté dentro de ese mismo rango del router de operador
(es decir, que empiece igual, pero con el último número diferente). Nos
aseguraremos de elegir una que no esté usando ningún otro equipo de la oficina.
Carlos:
Pues como el compañero de IT es muy supersticioso, pondremos la .13, que seguro
que no la ha utilizado. Así que introduzco 172.16.0.13 en la casilla de la DMZ.
El
Experto: Excelente pero mejor vamos a comprobarlo, sin cerrar esta ventana
del navegador vuelve al Simbolo del sistema Sistema y haz un :ping 172.16.0.13
y si no responde nadie entonces vuelves al navegador a la configuración de tu
Movistar y reinicia el router de Movistar para que aplique la regla y limpie
sus tablas de tráfico.
Carlos: Pone tiempo
agotado 100%, eso es que no hay nadie verdad? Venga Vuelvo al navegador, guardo
la IP DMZ y reinicializo… Hecho.
Capítulo 5: Inicializando el Ruijie Central
del Taller
Carlos:
Genial, el guardián de Movistar ya sabe a quién entregarle todo el tráfico
entrante. Esto es lo que el departamento de IT tiene que hacer para darme a mí
el tráfico y yo poder trabajar con mi router, ya empiezo a saber, ja,ja,ja. Ahora
cambio el cable de mi ordenador y lo enchufo a un puerto LAN del Ruijie del
taller para configurarlo por primera vez. ¿Qué pasos sigo en sus pantallas?
El
Experto: Abre el navegador de tu ordenador y escribe la dirección de
fábrica: 192.168.110.1. Si te aparece un aviso de conexión no segura, haz clic
en Configuración avanzada > Acceder al sitio (no seguro).
Introduce admin como contraseña inicial para abrir el menú, sigue los
pasos básicos del asistente, establece tu contraseña de administración
corporativa definitiva y accede al panel avanzado. Vamos a programar la
interfaz de cada router:
Paso 1: Configurar la
interfaz WAN (La cara que mira a Movistar)
Ve al menú izquierdo: Gateway > WAN. En
la casilla de tipo de conexión a internet, cambia el modo de "DHCP" a
Static IP (IP Estática) e introduce los datos exactos que configuramos
en la DMZ del router de Movistar:
●
IP Address: 172.16.0.13
●
Subnet Mask: 255.255.255.0
●
Gateway: 172.16.0.1 (La IP del router de
Movistar)
●
DNS Server: 80.58.61.250
Haz clic en
guardar. Tu router Ruijie ya tiene acceso transparente a internet.
Paso 2: Verificar la
interfaz LAN (La red local de la oficina)
Carga de nuevo la página para comprobar que la
configuración WAN se ha guardado correctamente y ahora vamos a por la red
local. Ve en el menú a Gateway > LAN. Comprueba que la
dirección IP está fijada en 192.168.110.1 con máscara 255.255.255.0. Al
ser la central, la dejamos exactamente como viene de fábrica; este será nuestro
Rango Central Oficial del taller.
Capítulo 6: Configuración de la Maleta Móvil
y el Cambio Anticolisión
Carlos:
Entendido el taller o la central del cliente con el router Movistar que es suyo
y el Ruijie que pongo yo. Ahora cojo el segundo router Ruijie, el destinado a
la posición remota con el repetidor Kenwood, lo pongo solo en mi mesa de
trabajo de forma independiente y conecto mi PC a su puerto LAN. ¿Cómo hago el
cambio de rango para que no colisione con el taller?
El
Experto: Sigue este orden estricto para no quedarte bloqueado fuera del
equipo: entra en tu navegador a la IP de fábrica 192.168.110.1, pasa el
asistente inicial, ponle su contraseña de acceso y ve directo al menú
izquierdo: Gateway > LAN.
Borra la IP
192.168.110.1 y escribe la dirección de la maleta remota: 192.168.120.1.
Deja la máscara de subred en 255.255.255.0 y haz clic en guardar y aplicar
cambios.
Carlos:
¡Oye! Le he dado a guardar y la pantalla se ha quedado en blanco; pone que no
se puede conectar a la página. ¿He roto algo?
El
Experto: ¡Para nada, Carlos! Al contrario, eso significa que el cambio se
ha realizado con éxito. Lo que ha pasado es que le has cambiado el nombre a la
calle mientras estabas dentro de la casa. Tu ordenador tenía una IP asignada
del rango viejo (110.X) y el router se ha mudado por completo al rango nuevo
(120.X).
Espera unos
10 segundos a que el router termine de aplicar los cambios y reiniciarse.
Desconecta el cable de red de tu PC y vuélvelo a conectar (o desactiva y activa
el adaptador de red en Windows) para obligar a tu ordenador a pedir una
dirección IP nueva por DHCP. Abre una pestaña limpia en tu navegador e
introduce la dirección real del router: 192.168.120.1. ¡Verás cómo
aparece la pantalla de acceso de inmediato!
Una vez
dentro, configuraremos la salida a internet.
Carlos:
Listo ahora tengo acceso. que hago.
El
Experto: Tenemos que programar el repetidor en el mismo rango de IPs,
Carlos:
Ya está programado con las 192.168.120.18.
El
Experto: Perfecto, conecta también tu repetidor Kenwood mediante un cable
de red a un puerto LAN libre del router, ahora desde tu navegador debes tener
acceso al menú del router 192.168.120.1 y al repetidor 192.168.120.18 ¡Ya
tenemos los dos extremos del mundo listos!
Carlos:
Pero y el WAN dices que ya tenemos los dos lados yo solo he tocado el LAN que
es el interno, no he hecho nada en el externo WAN.
El
Experto: Tranquilo, Carlos. En la maleta vas a tener un router 5G de
operador que actúa entregando DHCP, es decir, que asigna las IPs de
forma automática a todo lo que se le conecte. Tu router Ruijie viene de fábrica
con la entrada WAN configurada en modo DHCP por defecto; simplemente verifícalo
en el menú.
Por tanto,
solo tienes que hacer la conexión física con un cable de red desde un puerto
LAN del router móvil (el que tiene la tarjeta SIM con internet) hasta el puerto
WAN del router Ruijie. Ellos se comunicarán y se asignarán la IP
automáticamente. De esta forma, aunque cambies el módem o el router que da
internet en el futuro, mientras ese equipo entregue DHCP tú no tendrás que
tocar absolutamente nada de tu configuración. Da igual el operador, la marca
del equipo o la tecnología celular; por DHCP se entenderán siempre. Al no fijar
parámetros WAN rígidos en el Ruijie remoto, el sistema es totalmente compatible
con todo: puedes pinchar este router Ruijie remoto detrás de cualquier conexión
a internet y te funcionará a la primera.
Carlos:
Ahora sí, queda claro: conecto el puerto LAN del router 5G al puerto WAN del
Ruijie remoto y se configuran solos.
Capítulo 7:
Levantando el Puente IPsec (Servidor vs Cliente)
Carlos:
Perfecto, el taller está en la red 110.X y la maleta con el repetidor Kenwood
en la red 120.X. Cada uno con su internet independiente. Ahora viene el núcleo
de la cuestión: cómo los enlazamos mediante el túnel IPsec y cómo metemos el
rango de mi PC (la red virtual de WireGuard 10.0.0.0/24) en la ecuación para
que pueda cruzar los datos de un lado a otro.
El Experto: Aquí es donde vamos a proceder con total paciencia
porque los menús de Ruijie varían en función del rol que desempeñe cada router.
Vamos a configurarlo por partes:
Parte
A: Configuración en el Router del Taller (Modo Servidor)
Entra en la
web de gestión del router del taller (192.168.110.1). Si te aparece la
advertencia de conexión no segura, ve a Avanzado y haz clic en Acceder
a 192.168.110.1 (no seguro) que aparece al final
1.
Introduce la contraseña de administrador para
abrir el panel de control de configuración del Router.
2.
En el menú izquierdo, ve a Gateway y
despliega las opciones de VPN > IPsec.
3.
Haz clic en el botón de añadir o crear una nueva
política VPN; se abrirá una ventana flotante.
4.
Tipo de directiva: Selecciona
obligatoriamente la opción Servidor (puesto que el taller central
dispone de la IP pública fija de la empresa y se quedará escuchando de forma
permanente a la espera de conexiones).
5.
Nombre de directiva: Asigna un nombre
descriptivo, como cloud_ipsec_policy.
6.
Clave previamente compartida (PSK):
Introduce vuestra contraseña secreta de cifrado para el túnel. Apúntatela bien,
porque tendrá que ser exactamente idéntica en el otro extremo.
7.
El Secreto de la red WireGuard: En el
apartado denominado Subredes, verás que el router carga de forma
automática tu red local: 192.168.110.0/24. Justo debajo, verás un botón azul
con bordes discontinuos llamado + Subredes locales. ¡Haz clic en él!
Aparecerá una casilla blanca vacía justo debajo de la primera. En ese nuevo
recuadro escribe la red de los técnicos: 10.0.0.0/24.
¿Por qué
hacemos esto, Carlos? Porque si no registramos la red 10.0.0.0/24 como una
subred local del servidor, cuando tú envíes un paquete desde tu casa (IP
10.0.0.2) hacia el repetidor de la maleta, el router del taller lo recibirá a
través de WireGuard pero no sabrá que tiene autorización para reinyectarlo
dentro del túnel IPsec hacia la maleta. Al añadirlo aquí como subred local, el
servidor le avisa a la maleta: "Oye, yo también enruto y represento el
tráfico que venga de la red virtual 10.0.0.0/24, acéptamelo en las tablas de
retorno".
Carlos: Pero esa IP del WireGuard, ¿de dónde
sale? ¿De dónde la sacas? No me entero.
El Experto: No la saco de ningún sitio físico; me la acabo de
inventar, es una red completamente virtual para vuestro equipo de soporte. Tú
simplemente introduce esas IPs tal y como lo estamos desglosando, baja hasta el
fondo de la ventana flotante y haz clic en el botón azul de Aceptar para
salvar la regla en el taller.
Parte B:
Configuración en el Router Movil (Modo Cliente)
Ahora
conecta el cable de tu PC al router Ruijie móvil de la maleta (asegurándose de
que tu tarjeta de red esté en DHCP automático), abre la interfaz web de gestión
(192.168.120.1) y dirígete al mismo menú: VPN > IPsec. Dale a
crear una nueva regla y rellena los campos aplicando la lógica del cliente
remoto:
1.
Tipo de directiva: Selecciona la opción Cliente
(ya que las líneas móviles cambian de IP pública continuamente y el cliente es
el encargado de salir a internet a buscar de forma activa al servidor del
taller).
2.
Dirección del servidor remoto: Introduce
nuestra IP pública fija empresarial: la de vuestra oficina central (xxx.96.36.247).
3.
Clave previamente compartida (PSK):
Escribe exactamente la misma contraseña de cifrado que definiste en el taller
central, carácter por carácter.
4.
El truco de la Coma Sin Espacios: Busca
el apartado de Subredes. Aquí verás dos casillas blancas enfrentadas
horizontalmente. La de la izquierda (Subred local) tiene prefijada la IP
de la propia maleta: 192.168.120.0/24. La de la derecha (Subred
homóloga/remota) tiene la del taller: 192.168.110.0/24. Haz clic con el
ratón justo al final de ese texto de la derecha, añade una coma (,) y, de
inmediato, sin introducir espacios de ningún tipo, escribe la red de tu
WireGuard: 10.0.0.0/24. El campo completo de la derecha debe quedar con esta
sintaxis exacta:
192.168.110.0/24,10.0.0.0/24
5.
Baja hasta
el final de la ventana flotante y haz clic en el botón azul de Aceptar.
Carlos:
Entonces, si yo ahora estoy conectado al router Ruijie fijo de la oficina o taller
por cable o por Wi-Fi, abro el Símbolo del Sistema y lanzo un ping escribiendo
192.168.120.1, ¿el otro router remoto me contestará?
El Experto: Sí, por supuesto. Pruébalo y lo
verás.
Carlos:
Es decir, si hago un ping al router de la maleta, ¿responderá?:
¡Genial! Y
si introduzco esa IP en el navegador de la oficina, ¿me abrirá su interfaz web del
router Ruiji móvil aunque yo esté físicamente en la red 192.168.110.1? Eso es
genial. Venga, lo pruebo...
¡Ostras, es
verdad! Funciona. Pero una cosa, esa IP de internet que veo en el estado del
router móvil, ¿de dónde sale?
El
Experto: Esa IP local es la que le está entregando el módem 5G al puerto
WAN del Ruijie. Si te fijas, la WAN de este Ruijie de la maleta o remoto está
configurada en modo DHCP automático; el router móvil le ha asignado de forma
transparente una dirección interna (por ejemplo, la 192.168.0.20), siendo la IP
del módem la 192.168.0.1. La IP pública que tenga la SIM en ese momento no
importa en absoluto, puede ser dinámica y cambiar continuamente porque es el
cliente el que busca al servidor central.
Al guardar
ahora ambos routers Ruijie negociarán los parámetros de seguridad de forma
automática en menos de 10 segundos y el estado del túnel IPsec estará activo
(mostrándose en verde). ¡El puente blindado entre sedes ya está operativo!
Capítulo 8: La Autopista Invisible del
Técnico y el Misterio de la Configuración
Carlos:
Esto marcha que da gusto. Los dos extremos físicos ya se entienden
perfectamente. Pero antes de irme a casa o de viaje para probar el laboratorio
de forma remota, tengo una laguna importante en la cabeza. En el capítulo
anterior puse o me invente la red virtual 10.0.0.0/24 para el puente IPsec,
pero ¿cómo se configura eso? ¿viene por defecto en el programa o es una regla
obligatoria? ¿Puedo utilizar cualquier otra? Lo digo para dejarlo todo
configurado del tirón en la oficina y no tener que ir luego de equipo en equipo
hacia adelante y hacia atrás.
El
Experto: ¡Qué gran vista técnica tienes, Carlos! Es fundamental dejar este
paso perfectamente masticado para que cualquiera pueda levantar un laboratorio
nuevo desde cero sin dar palos de ciego. Vamos a destripar el origen del
archivo y la lógica de esa dirección IP para que veas que todo sigue un orden
matemático impecable:
El WireGuard
es un programa de PC muy simple que ejecuta unas reglas que se le facilitan a
través de un texto de configuración que debemos introducir. El programa WireGuard
lo puedes descargar en https://www.wireguard.com/install/
o directamente desde el panel del router como veras cuando entremos en su menú.
El texto de configuración que necesita tu ordenador portátil no se descarga de
internet, sino que lo genera el propio router Ruijie de tu taller, que
es el que hace el papel de "Servidor Central" de la VPN WireGuard.
Como estás físicamente en la oficina central, aprovechas lo programas y sacas
todo del tirón siguiendo estos pasos en su menú web:
1.
Entras en la web de gestión del Ruijie fijo del
taller (192.168.110.1) y vas al menú izquierdo: Gateway > VPN
> WireGuard.
2.
Si no lo tienes o no has descargado ya el programa
WireGuard en este menú lo puedes descargar desde del enlace que hay en la barra
azul que pone Cliente VPN WireGuard. En cualquier caso, instala el programa.
3.
Seguimos en el router Primero configuramos el
router como "Servidor" marca la pestaña Servidor VPN WireGuard
y hacemos clic en +Añadir. Se abre un menú, en Nombre de la directiva ponemos
un nombre (el que quieras (ejem VPN_Casa). Estado activado Servidor la IP de
entrada a internet que nos da el router movistar xxx.96.36.247. El router Ruijie
genera de forma automática sus propias llaves de seguridad (Clave Privada
y Clave Pública) que aparecen en gris, introduce un puerto 51820 es un
puerto usado en otros modelos por defecto) lo usamos nosotros también. En el
campo de dirección “IP de la interfaz”, le asignamos la primera IP de
nuestra red virtual: la 10.0.0.1/24. Guardas cambios y el router del
taller ya se queda escuchando a la espera de llamadas.
4.
Ahora pasamos a la pestaña "Clientes" también
llamada por algunos routers “Peers” o “Pares”. Aquí es donde creamos tu perfil
de acceso para el viaje. Haces clic en el botón Add (Añadir) y se abrirá
un recuadro. Le pones un nombre identificativo (como PC_Casa) y en la casilla
de IP le asignamos la dirección de tu PC: 10.0.0.2. el resto lo dejas
tal cual, la “Clave publica” ya estará cumplimentada, la casilla “Solo
la IP de la interfaz” debe estar activa y “Clave previamente compartida”
en blanco, antes de cerrar descarga el archivo de cliente y guárdalo para luego
usarlo con el programa WireGuard, veras que nada más poner el nombre y
la IP aparece un código QR que indica que el archivo se ha creado y se puede
descargar y si te pones sobre el QR te muestra el texto del mismo. Descarga y guarda
el archivo, después guarda la regla en el router dándole al botón “Aceptar”.
¡ATENCION! Este archivo no lo podemos usar todavía, lo editaremos antes de
usarlo.
Carlos: Me
surge una pregunta por qué 10.0.0.2?
El
Experto: Como te dije esa dirección la elijo yo como diseñador de la
red porque pertenece a los rangos de IPs Privadas (las que están
reservadas para laboratorios y redes internas y que nunca chocan con las
páginas web de internet).
La lógica es puramente numérica: como al servidor del taller le dimos la
IP 10.0.0.1, al primer cliente que creamos (tu PC de soporte) le asignamos la
IP inmediatamente posterior para llevar un orden limpio, es decir, la 10.0.0.2.
Si el día de mañana tienes que crear un acceso para un segundo técnico, en la
pestaña “Clientes” le darás la IP 10.0.0.3, al tercer técnico la 10.0.0.4, y
así sucesivamente. Cada ordenador tiene su propio número exclusivo dentro del
canal virtual.
Carlos: ¿Se
puede utilizar cualquier otra dirección IP?
El
Experto: Sí, Carlos, puedes inventarte el número de red que te dé la gana,
pero bajo dos Reglas de Oro de Ingeniería estrictas para que el
"invento" no haga colapsar todo el sistema de radio:
●
Regla 1: El principio de no solapamiento (No
Overlap). El rango virtual que elijas para tus técnicos de WireGuard jamás
puede coincidir con las redes físicas reales que ya existen en tu instalación.
Como tu taller ya trabaja en la red 192.168.110.X y la maleta remota funciona
en la 192.168.120.X, no podrías usar esos números. Pero si quisieras usar, por
ejemplo, el rango 10.50.50.X o la red 192.168.200.X para el túnel de los
portátiles, funcionaría de cine porque están libres.
●
Regla 2: El "Efecto Dominó" en el
puente IPsec. Esto es lo más importante de entender para un técnico. Si
decides que la red virtual de tus técnicos ya no es la 10.0.0.0/24 sino que te
apetece usar la 10.50.50.0/24, tienes que ir obligatoriamente a
actualizar los menús del Capítulo 7. Tendrías que corregir el botón de +
Subredes locales en el Ruijie del taller y modificar el truco de la Coma
sin espacios en el Ruijie de la maleta para cambiar el viejo 10.0.0.0/24
por el nuevo número 10.50.50.0/24. Si cambias la IP en el perfil de WireGuard
de tu PC pero te olvidas de avisar al puente IPsec que une las sedes, los
paquetes de audio del repetidor Kenwood sabrán llegar al taller, pero al
intentar regresar a tu portátil se perderán en el limbo porque los routers de
las maletas no sabrán que esa nueva calle existe.
Carlos:
Vale, ahora sí que me encajan todas las piezas del puzzle. Y entiendo que la IP
10.0.0.2 la gobernamos nosotros desde ese menú, pero si la cambio, tengo que
actualizar los permisos del IPsec de ambos routers para que la carretera de
vuelta no quede cortada. ¡Continuemos con la instalación en el PC portátil!
El Experto: ¡Exacto, Carlos! Has pillado la
lógica de enrutamiento a la perfección. Vamos con ese archivo .conf que nos
hemos descargado desde el router Ruijie fijo , pero recuerda que no podemos usarlo
directamente, lo tenemos modificar.
Ábrelo con
el “bloc de notas” de Windows y lo vamos a editar antes de usarlo vamos a configurar
lo que en ingeniería llamamos un Split Tunneling (Túnel Dividido). Le vamos
a indicar al programa la lista exacta las únicas subredes que queremos que
viajen de forma obligatoria por la VPN. Todo lo demás (tu navegación web
normal, vuestro correo electrónico corporativo o cualquier chat) seguirá
fluyendo libremente a través de la conexión directa de tu casa o del hotel sin
cortes ni ralentizaciones.
Carlos:
es decir, que ese puente solo se usa cuando yo utilizo esas IPs en concreto, el
resto de IPs o tráfico de mi PC no pasará por ese canal oy por el router Ruijie
fijo aunque este activo el programa WireGuard.
El
Experto: Exacto, dame el archivo y te explico.
Carlos:
Aquí esta
[Interface]
PrivateKey = IOpAjo2Rdn6V925TpiEiztcAK15M+eObRQuAFZDlOGI=
Address = 10.0.0.2/32
DNS = 8.8.8.8
[Peer]
PublicKey = TRjQ8awvr6+4IG/AieDbr2eP8DD3T5DWpScazqObJ10=
Endpoint = *xxx.96.36.247:51820
AllowedIPs = 0.0.0.0/0,10.0.0.2/32,10.0.0.1/32
*xxx. es la ocultación por seguridad de la IP
El
Experto: hay una Regla de Oro de Enrutamiento que hay que seguir:
Fíjate muy bien en la línea AllowedIPs del apartado [Peer]. Se permite el
acceso solo a las IPs que forman el WireGuard, con la última IP veremos
el router Ruijie fijo pero no tendríamos acceso a otras IPs como son las del
router de taller o el router de la maleta remota
Mira hago
los cambios con “Bloc de Notas” de windows, lo guardo con el mismo nombre y
extensión y te explico, mira ahora este es
el documento que vamos a usar.
[Interface]
PrivateKey =
IOpAjo2Rdn6V925TpiEiztcAK15M+eObRQuAFZDlOGI=
Address = 10.0.0.2/32
DNS = 8.8.8.8
[Peer]
PublicKey =
TRjQ8awvr6+4IG/AieDbr2eP8DD3T5DWpScazqObJ10=
Endpoint = xxx.96.36.247:51820
AllowedIPs = 10.0.0.1/32,
192.168.110.0/24, 192.168.120.0/24
además
podemos restringir su margen de escucha ya que sabemos perfectamente cuales son
nuestras IPs.
Hemos
registrado la IP interna del servidor WireGuard (10.0.0.1/32), el rango IP
local del taller (192.168.110.0/24) y el rango de la maleta remota
(192.168.120.0/24) si no, no llegaríamos ni al repetidor ni a la maleta. Además,
MUY IMPORTANTE, fíjate que he eliminado por completo tu propia IP
virtual del PC (10.0.0.2/32) de esa casilla. Si dejas tu propia dirección IP de
cliente dentro de los AllowedIPs del Peer, le estás ordenando a Windows:
"Busca mi propia tarjeta de red fuera de mi ordenador, a través del
túnel", provocando un bucle infinito de enrutamiento que colapsará el
adaptador virtual en un segundo.
Carlos: Vale lo veo, pero hablas de IPs y luego
de rango explícame.
El Experto: El número que
aparece detrás de la barra (/) se conoce en ingeniería como notación CIDR.
No es más que una forma abreviada de escribir la máscara de subred (el
equivalente al clásico 255.255.255.0).
En este laboratorio solo se utilizan dos números, y su
función en el plano mental es muy simple:
- /24 (Equivale a 255.255.255.0): Significa un
"Barrio Entero". Abarca todos los equipos de esa calle
(desde el .1 hasta el .254). Se usa para dar acceso a redes completas.
- /32 (Equivale a 255.255.255.255): Significa una
"Casa Única". Apunta a un solo dispositivo exacto. Se usa
para identificar a un único equipo.
Carlos: Ahora sí, aclarado gracias
El Experto: Abre la aplicación WireGuard en
Windows que habías instalado, haz clic en "Añadir túnel(es) desde
archivo" y abre el archivo .conf que has editado.
El
Experto: Una vez importado puedes revisarlo con editar y finalmente actívalo,
si todo va bien el punto se pondrá de color verde y ya tendrás tu túnel creado.
El
Experto: WireGuard arranca con tu PC y su icono se mantendrá oculto en la
barra de tareas en segundo plano con la indicación del punto verde si todo es
correcto.
Carlos:
Guardado y limpio. Hago clic en el botón de Activar en mi WireGuard...
¡Y se enciende el icono verde fijo! Compruebo que sigo conectado a internet.
Ahora viene la prueba de fuego de nuestro plano mental. ¿Cómo verifico paso a
paso que la carretera está abierta desde mi ordenador hasta el repetidor
Kenwood?
Capítulo 9: El
Momento de la Verdad y la Secuencia del Ping de la Victoria
El Experto: ¡Ese icono verde es la auténtica señal de la victoria,
Carlos! Para auditar la red como un profesional, abre el menú de inicio de
Windows, escribe CMD y abre la ventana negra del Símbolo del Sistema. Vamos a
lanzar una secuencia de diagnóstico en tres niveles sucesivos para verificar
con total exactitud por dónde viajan tus paquetes de datos, busca la consola de
símbolo de sistema, recuerdas con CMD en la casilla buscador de Windows,
y ábrela.
Nivel
1: Verificar el cordón umbilical de la VPN (Tu casa con el Taller)
Escribe en
la consola: ping 10.0.0.1 y pulsa Intro.
Si este ping responde de forma estable y continua, significa que tu PC ha
salido de tu casa limpiamente, ha cruzado el router de Movistar gracias a la
DMZ y está tocando la interfaz virtual interna de WireGuard en la oficina
central. Ya estás virtualmente dentro del taller.
Nivel
2: Verificar el movimiento interno en la central (Las tarjetas del Ruijie
Taller)
Escribe en
la consola: ping 192.168.110.1 y pulsa Intro.
Si este responde, confirma que tu tráfico no se queda estancado en la
interfaz virtual de la VPN, sino que el router del taller procesa tus paquetes
correctamente y te permite moverte por dentro de sus conexiones físicas locales
es decir dentro de los equipos con IP 192.168.110.xxx.
Nivel
3: El Gran Salto Cruzando el Puente IPsec (La Victoria Total)
Escribe el
comando definitivo apuntando directamente al hardware de radio o repetidor que
hay conectado a los puertos locales de la maleta remota, el repetidor tenia la
192.168.120.18 haz el ping.
Carlos. Venga
ping 192.168.120.18 y pulso Intro.
El
Experto: Al pulsar Intro, verás aparecer en tu pantalla las mágicas líneas
de: "Respuesta desde 192.168.120.18: bytes=32 tiempo=18ms TTL=62".
¡Voilà,
Carlos! El plano que habías diseñado funciona y es una realidad: tu paquete
viaja por WireGuard al taller, el Ruijie fijo central lo introduce por dentro
del túnel IPsec, que salta de forma transparente por internet hasta Ruijie
móvil o maleta remota y el repetidor Kenwood que está conectado en esa red te
devuelve la respuesta en milisegundos directo a tu pantalla. ¡Objetivo
conseguido!
Carlos: Genial
funciona todo, abro la interfaz web del repetidor introduciendo su IP, y ahora abro
el KPG-D7 le pongo la misma IP doy a leer. me pide password lo escribo y entro
con el programa y leo y escribo la configuración. ¡Conseguido!
Qué
barbaridad, funciona de locura. Voy a probar a darle internet al PC
compartiendo datos con el teléfono móvil para simular un entorno de movilidad
total.
Carlos: Qué
barbaridad, funciona de locura. Voy a probar a darle internet al PC
compartiendo datos con el teléfono móvil para simular un entorno de movilidad
total. Yo tengo un router 5G portátil donde utilizo un duplicado de mi tarjeta
de datos (MultiSIM) para conectar la maleta o realizar pruebas de campo. Si
conecto mi PC a los datos compartidos de mi propio teléfono móvil, ¿cambiaría
algo o son nubarrones mentales míos y actúan como líneas completamente
independientes?
Capítulo 10: El
Misterio de las Trampas de las Redes Móviles
El
Experto: A nivel de internet, tu router 5G con la tarjeta MultiSIM y tu
teléfono móvil con la tarjeta original actúan como dos líneas de datos
totalmente independientes. Cada dispositivo recibe su propia señal y sus
propias coordenadas IP directamente de la antena de telefonía. Por ahí puedes
estar totalmente tranquilo.
Carlos: Escucha,
Experto, pero si me muevo por el campo con el portátil conectado al móvil, ¿el
sistema de radio Kenwood va a ser igual de estable que en la oficina?
El
Experto: Las redes móviles son un mundo aparte, Carlos. Aunque el sistema
es perfectamente capaz de funcionar en movilidad, debes tener en cuenta que el
tráfico depende al 100% de la red móvil utilizada y de la zona de cobertura.
Dependiendo
del operador, de la saturación de la antena de telefonía o de si estás en una
zona con mala señal, es completamente normal que puedas sufrir microcortes,
retardos intermitentes en el audio o caídas temporales de la VPN. No significa
que los routers Ruijie estén mal configurados, simplemente es la limitación
física de las conexiones inalámbricas celulares.
Por eso,
nuestra Regla de Oro de Ingeniería para Certificar el Laboratorio es muy clara:
cuando estés montando el sistema por primera vez y quieras asegurarte de que
todo funciona al 100% sin volverte loco, apaga los datos móviles. Vete a tu
casa o al taller, conecta el ordenador al cable o al Wi-Fi de una línea de
fibra óptica fija y enciende el WireGuard. Las líneas fijas no sufren estas
inestabilidades y te confirmarán el éxito real de tu programación. Una vez que
sabes que en fibra va de diez, ya puedes salir al campo sabiendo que tu
configuración es perfecta.
¡Andando,
mi querido amigo Carlos! Siguiendo esta guía exhaustiva unificada,
comprendiendo el plano estructural desde el prólogo e integrando la gestión
centralizada en la nube de Ruijie Cloud, te has convertido oficialmente en un
auténtico Integrador IP/Radio de las radiocomunicaciones profesionales.
A partir de
hoy, si te olvidas de programar o un cliente quiere modificar un parámetro en
un repetidor Kenwood a 400 kilómetros de distancia, ya no tienes que perder 8
horas asfixiantes conduciendo en la carretera ni consumir combustible de forma
innecesaria dañando el planeta. Te sientas en el sofá de tu casa con la fibra,
activas el WireGuard en verde, aplicas los cambios en cinco minutos en tu
pantalla y te vas a disfrutar de un buen rato con la familia, con la total
tranquilidad de haber ofrecido un soporte técnico ágil, rápido y de primerísimo
nivel.
¡A disfrutar del éxito del laboratorio
corporativo!
