Motivos para bloquear ping en routers ASUS: Protege tu red y mejora la seguridad online

Los routers domésticos cuentan con diversas interfaces. Por un lado, están la interfaz LAN y WLAN, las cuales se utilizan para conectar todos los dispositivos de la red local del hogar, ya sea mediante cable o Wi-Fi, respectivamente. Por otro lado, está la interfaz WAN, que es el puerto de Internet y está asociada a la dirección IP pública. Una forma efectiva de mantenerse «oculto» en Internet es bloquear cualquier solicitud de tipo ICMP Request y no responder a ella. De esta manera, si alguien intenta hacer un típico «ping» a nuestra dirección IP, no recibirá respuesta y deberá realizar un escaneo de puertos para determinar si el host (nuestro router) está en funcionamiento.

En general, los sistemas operativos orientados a firewall, como pfSense o OPNSense, vienen con todo el tráfico bloqueado de manera predeterminada. Esto significa que si alguien intenta hacer ping desde el exterior a nuestra IP pública, el paquete será descartado automáticamente. Algunos routers domésticos y de operadores permiten configurar su firewall y ofrecen una opción específica para bloquear el ping en el puerto WAN de Internet.

Es importante recordar que no se recomienda bloquear todos los ICMP, sino únicamente aquellos relacionados con el ping, es decir, el ICMP Echo Request (solicitud) y el ICMP Echo Reply (respuesta). Algunos tipos de ICMP son fundamentales para el correcto funcionamiento de la red, especialmente si se trabaja con redes IPv6.

¿Qué es el ping?

Ping es una herramienta de diagnóstico que se utiliza en las consolas de comandos. Permite realizar una verificación rápida de una red al verificar el estado de la conexión entre un host local y un equipo remoto dentro de una red TCP/IP. Con esta herramienta, se puede determinar si una dirección IP o un host son accesibles desde una red.

Normalmente, se utiliza para detectar posibles errores en la red y lo hace mediante un mecanismo muy simple pero útil para encontrar problemas. Envía series de información a una dirección IP, host o servidor específico, y mediante el tiempo de espera de las respuestas, determina si hay retraso o no. También permite determinar datos como la latencia, que puede ser crucial en muchos servicios.

Un ping rápido o baja latencia puede indicar que la conexión se encuentra en buen estado. Por otro lado, una latencia muy alta puede ser un indicio de problemas en la red. Es importante tener en cuenta que los valores de latencia pueden variar según la ubicación geográfica del destino. Algunas de las tareas más comunes del ping son:

• Verificar la conectividad de una red.
• Realizar mediciones de latencia.
• Conocer la dirección IP utilizada por un dominio.
• Crear scripts para comprobar la conexión con un equipo o servidor remoto.

Otro uso del ping se encuentra en los archivos batch, donde se utiliza para retrasar la ejecución de comandos, determinando el momento exacto en que deben activarse. Estos archivos de texto sin formato, que tienen la extensión .bat, ejecutan las órdenes de forma secuencial y son muy útiles en la automatización de tareas.

Motivos para bloquear el comando ping

El bloqueo del comando ping en una empresa puede tener diferentes razones de seguridad.

• Prevención de ataques de denegación de servicio (DDoS): El comando ping se utiliza para enviar paquetes ICMP Echo Request a un dispositivo y recibir respuestas ICMP Echo Reply. Los atacantes pueden abusar de este comando al enviar una gran cantidad de solicitudes de ping a un servidor o dispositivo, lo que puede saturar su capacidad de respuesta y causar una interrupción del servicio. Bloquear el comando ping ayuda a prevenir este tipo de ataques limitando la capacidad de los atacantes para obtener información sobre la disponibilidad y el estado de los dispositivos.
• Ocultar la topología de red: El comando ping permite a los usuarios determinar si un dispositivo está activo y accesible en una red. Al bloquear el ping, una empresa puede evitar que personas no autorizadas obtengan información sobre los dispositivos presentes en la red y su configuración. Esto dificulta el trabajo de posibles atacantes al ocultar la topología de red y hacer que sea más difícil identificar y seleccionar posibles objetivos.
• Protección contra técnicas de escaneo de puertos: El comando ping se utiliza frecuentemente como parte de técnicas de escaneo de puertos, como el escaneo de ping. Estas técnicas se utilizan para descubrir qué puertos están abiertos en un dispositivo y pueden ser explotados para lanzar ataques. Al bloquear el comando ping, una empresa puede dificultar la capacidad de los atacantes para realizar escaneos de puertos y descubrir posibles vulnerabilidades en sus sistemas.
• Mejora de la privacidad y seguridad de la red: Al bloquear el comando ping, una empresa puede limitar la visibilidad de sus dispositivos en la red y reducir la exposición a posibles amenazas externas. Esto ayuda a mantener la privacidad y seguridad de la red al evitar que personas no autorizadas realicen un reconocimiento de la infraestructura y obtengan información sensible sobre los sistemas.
• Cumplimiento de normativas y políticas de seguridad: En algunos sectores y organizaciones, bloquear el comando ping puede ser un requisito específico establecido por regulaciones o políticas internas de seguridad. Estas normativas buscan garantizar un nivel adecuado de protección y confidencialidad de la información, y bloquear el ping puede ser una medida requerida para cumplir con estos estándares.

¿Qué sucede al bloquear el ping en la WAN de Internet?

Todo seguirá funcionando como siempre, la única diferencia es que si alguien desde el exterior (desde Internet), nos hace un «ping» a nuestra dirección IP pública, el router no responderá. Dependiendo de cómo tengamos configurado el router, es posible que ni con un escaneo de puertos se pueda detectar si el host (el router) está activo o no. Si no tenemos ningún servicio funcionando en el router para la WAN y no tenemos ningún puerto abierto en el router, por defecto todos los puertos estarán cerrados y desde el exterior no podrán comunicarse con nosotros. De esta manera, podríamos pasar desapercibidos, es lo que se conoce como seguridad por oscuridad.

¿Es recomendable desactivar el «ping» a través del Firewall? Depende, en algunos casos no tiene mucho sentido, especialmente si realizamos estas acciones en nuestra red local doméstica:

• Si tenemos un servidor web en casa, debemos tener abierto el puerto 80 y 443 (HTTPS), por lo que desactivar el ping no sería de mucha utilidad, ya que estamos exponiendo un puerto a Internet, por lo que no es necesario en absoluto.
• Si no tenemos ningún servicio en funcionamiento o tenemos puertos en uso que no son los habituales, como el puerto 59302 para el servidor FTP, entonces sería recomendable bloquear el ping. En muy raras ocasiones se realizan escaneos a todos los puertos de una misma IPv4. Los bots suelen utilizar directamente los puertos más habituales para intentar atacarlos, como el puerto 80, 443, 22 o el 21 del FTP.

Aunque hayamos deshabilitado el ping en la WAN de Internet, podremos hacer ping a hosts de Internet sin ningún problema, sin necesidad de abrir puertos ni hacer nada, ya que lo único que estamos haciendo es bloquear en el firewall del router cualquier ICMP Echo Request que recibamos. Normalmente, los routers utilizan el sistema operativo Linux en su interior y hacen uso de iptables. La regla que incorporan es la siguiente:

-A INPUT -p icmp --icmp-type echo-request -j DROP

Esta regla bloquea cualquier ICMP de tipo echo-request que se dirija directamente al router. El -j DROP indica que eliminará el paquete sin enviar ninguna respuesta al remitente, es decir, se descarta el paquete.

Un aspecto muy importante es que siempre deberíamos bloquear el ping en la WAN, pero no en la LAN, ya que si bloqueamos el ping en la LAN, no podremos hacer ping a la puerta de enlace predeterminada de nuestro equipo (que es el router) para detectar posibles fallos.

Aunque muchos modelos y marcas de routers admiten bloquear el ping en la WAN de Internet, hoy en día en RedesZone vamos a mostrar dos ejemplos de cómo bloquear el ping en la WAN en routers ASUS y en cualquier router del fabricante AVM FRITZ!Box.

Ejemplos para bloquear el ping en la WAN

Si deseas bloquear la posibilidad de enviar pings a través de la red de área amplia (WAN) de Internet, puedes hacerlo fácilmente y de manera rápida utilizando los menús de configuración de varios routers WiFi. La mayoría de los routers cuentan con esta funcionalidad, y en este artículo te mostraremos cómo hacerlo tanto en los routers de ASUS como en los de AVM FRITZ!Box.

Bloquear el ping en los routers ASUS

Tanto en el firmware del fabricante como en Asuswrt-Merlin, el proceso es el mismo. Debes acceder al menú de configuración del firmware y ir a la sección de «Firewall / General». A continuación, configura el firewall de la siguiente manera:

• Habilitar el firewall: Sí
• Habilitar la protección DoS: Sí
• Tipo de paquetes registrados: Ninguno. Si se desea realizar un seguimiento de todos los paquetes que pasan a través del firewall, se puede habilitar esta opción, pero no se recomienda dejarla siempre activada debido al consumo de recursos del router.
• Responder a las solicitudes de ping desde la WAN: No

Como se puede apreciar, desactivar la posibilidad de enviar pings desde la WAN de Internet es muy sencillo. En cuanto a la configuración IPv6, los routers de ASUS tienen bloqueado todo el tráfico entrante por defecto, por lo que es necesario permitirlo explícitamente en el menú de configuración.

Bloquear los ICMP Echo-request en los routers AVM FRITZ!Box

En los routers del fabricante alemán AVM también es posible bloquear los típicos pings en la WAN de Internet. Para ello, debes acceder al menú principal del router. En la esquina superior derecha, donde aparecen tres puntos verticales, haz clic en «Modo avanzado» para acceder a todas las opciones de configuración.

A continuación, ve a «Internet / Filtros / Listas» y desplázate hasta encontrar la opción «Cortafuegos en modo sigiloso». Activa esta opción y haz clic en «Aplicar cambios».

Esta función permite rechazar todas las solicitudes desde Internet, como se ha explicado anteriormente, y está al alcance de todos los usuarios.

Debido a la restricción del ping en la red de área amplia de Internet, será necesario realizar un escaneo de puertos para localizar nuestro host (router) en Internet y verificar si hay algún servicio en funcionamiento, ya sea en el router o en un servidor NAS de nuestra red local.

Otros tipos de mensajes ICMP

El protocolo ICMP es de gran importancia tanto en redes IPv4 como en redes IPv6, especialmente en este último protocolo, ya que cuenta con características adicionales en comparación con el ICMPv4 al que estamos acostumbrados. Otros mensajes ICMP muy relevantes que no deben ser bloqueados son los de «Fragmentation Required» para redes IPv4 y el de «Packet too big» para redes IPv6. Estos dos mensajes son fundamentales para el correcto funcionamiento de la comunicación, ya que el protocolo ICMP se encarga de informar sobre fallos relacionados con el MTU y el MSS del protocolo TCP, indicándonos la necesidad de ajustar adecuadamente estos valores. Por supuesto, si decidimos deshabilitar completamente el protocolo ICMP, enfrentaremos problemas al navegar por Internet, por lo que no se recomienda realizar esta acción.

La conocida herramienta traceroute también utiliza el protocolo ICMP para rastrear los distintos saltos de los paquetes. Si bloqueamos el ICMP de tipo «Time Exceed», cualquier persona que realice un traceroute verá asteriscos indicando que no podemos llegar a los hosts respectivos. Si tenemos un servidor, podemos bloquear estos mensajes para evitar que lleguen a nosotros, pero puede que no sea conveniente hacerlo, ya que es posible que necesitemos utilizarlos para diagnosticar posibles fallos.

Si estás utilizando el protocolo IPv6, debes tener en cuenta que se emplea el protocolo NDP (Neighbour Discovery Protocol) y el SLAAC, dos protocolos que utilizan mensajes RS, RA, NS y NA del ICMPv6. Por lo tanto, en este tipo de redes no se puede bloquear el protocolo ICMP, ya que estaríamos impidiendo una de las funciones principales de IPv6, que es la autoconfiguración de direcciones.