Networking

Problema En entornos donde OPNSense actúa como firewall, servidor OpenVPN y host de servicios como Caddy y Unbound, es frecuente que los clientes VPN pierdan la capacidad de resolver nombres internos (por ejemplo homeassistant.mynetwork.local) y, como consecuencia, no puedan alcanzar los sitios publicados por el reverse proxy. La conectividad IP (ping, acceso a interfaces LAN) funciona, pero cualquier solicitud basada en el nombre de dominio interno devuelve NXDOMAIN o timeout. El síntoma se reproduce tanto en IPv4 como en IPv6 y ocurre únicamente cuando el tráfico proviene de la interfaz tun0 del túnel VPN. ...

Problema Al actualizar a una versión reciente de pfSense Plus, muchos administradores descubren que el nuevo Netgate Nexus controller no está disponible o que, una vez habilitado, el firewall muestra comportamientos extraños: caída del DNS, reglas de firewall que no se aplican o incluso bloqueos de tráfico. El patrón típico es: después de la actualización, el GUI tradicional sigue activo, pero la opción “Enable Nexus” está gris o, al activarla, el puerto 8443 no responde. En entornos de producción, donde la disponibilidad del DNS interno y la consistencia de las listas de bloqueo (Threatgate) son críticas, este tipo de interrupción puede generar alertas de monitoreo y tickets de soporte. ...

Problema Muchas pymes y oficinas remotas utilizan los dispositivos Meraki MX como puerta de enlace VPN. Desde hace poco, Meraki permite túneles IKEv2/IPsec, que son mucho más rápidos que los basados en TLS/DTLS. El inconveniente habitual es que la autenticación se limita a usuario y contraseña contra un servidor RADIUS, sin soporte nativo para MFA ni para certificados de cliente. En entornos donde la identidad está gestionada por Azure AD/Entra ID, los administradores buscan una forma de exigir MFA antes de que el RADIUS acepte la conexión, pero sin adquirir licencias de AnyConnect Premium o desplegar una infraestructura AD completa. ...

Problema En entornos con múltiples servidores y subredes, es frecuente que el cliente SSH logre establecer la conexión TCP (el banner “Connection established” aparece) y luego se quede esperando sin mostrar la solicitud de contraseña ni ningún mensaje de error. El proceso parece colgar en el primer intercambio de datos después del handshake. El síntoma típico es: debug1: Connecting to 10.x.x.x [10.x.x.x] port 22. debug1: Connection established. debug1: Enabling compatibility mode for protocol 2.0 debug1: Local version string SSH-2.0-OpenSSH_7.4 y nada más. La sesión funciona desde otras máquinas, pero falla de forma consistente desde un host específico (por ejemplo, un jump server). La causa rara vez está en el daemon SSH; suele estar en la capa de red que impide que el paquete de banner del cliente llegue al servidor o que la respuesta del servidor regrese al cliente. ...

Problema Los diagnósticos de red automatizados suelen fallar en entornos donde la topología, la latencia o la disponibilidad de servicios cambian de forma inesperada. Cuando una herramienta de diagnóstico (por ejemplo, un cliente CLI que muestra rutas, DNS o estado de sockets) interpreta incorrectamente una condición transitoria, el operador recibe información errónea y pierde tiempo investigando. En producción, los síntomas aparecen como “no se detecta la caída de DNS”, “se reporta una ruta válida cuando está rota” o “se ignoran restablecimientos de conectividad”. El patrón recurrente es la falta de pruebas que reproduzcan exactamente esas condiciones, lo que impide validar la lógica del diagnóstico antes de que el error llegue a los usuarios. ...

Problema En entornos corporativos es habitual que el controlador inalámbrico (WLC) de Cisco delegue la autenticación 802.1X a un servidor RADIUS externo. Cuando se reemplaza un ISE por un NPS (Network Policy Server) de Windows, muchos administradores observan que los clientes nunca llegan a autenticarse: el WLC muestra errores como %DOT1X-3-AAA_AUTH_SEND_FAIL o %DOT1X-3-ABORT_AUTH, mientras que el NPS no registra ninguna solicitud. El síntoma típico es: Cliente lanza EAPOL‑Start, el WLC intenta enviar un Access‑Request al NPS y falla. En los logs del WLC aparecen “Unable to send AAA message” y “Authentication Aborted”. En el NPS no hay entradas de autenticación ni de accounting. Este patrón indica que la comunicación RADIUS entre el controlador y el servidor está rota o mal interpretada, no que el cliente sea el culpable. ...

Problema En entornos híbridos donde los controladores de dominio (DC) están tanto on‑premises como en Azure, los servidores Windows suelen apuntar al DC de Azure para resolver nombres internos. Cuando se habilitan Private Endpoints (por ejemplo, para Azure Files) se crea una zona DNS privada como privatelink.file.core.windows.net. Si la resolución de esa zona no llega al Azure DNS Private Resolver, los clientes no pueden autenticar ni montar recursos compartidos. El síntoma típico es un error de autenticación al intentar mapear un drive o una falla de resolución de *.privatelink.* desde máquinas en Azure o desde la red on‑prem. ...

Problema En muchos homelabs se implementan varias VLAN para aislar servicios críticos (DMZ, gestión, IoT, invitados, etc.). Cuando la tabla de PVID (Port VLAN ID) no está alineada con la lógica de firewall, aparecen síntomas como: Caídas intermitentes de SSID o rendimiento Wi‑Fi por debajo de 500 Mbps. Latencia alta y pérdida de paquetes en enlaces Ethernet que deberían estar por encima de 850 Mbps. Regla de firewall que “no debería” bloquear tráfico, pero lo hace, provocando que una VLAN no pueda comunicarse con otra ni con el router. Reinicios de contenedores o VMs que dependen de DNS/Internet cuando el tráfico se filtra por una VLAN equivocada. El patrón es claro: la segmentación está bien diseñada, pero la asignación de PVID a puertos físicos o a enlaces troncales está mal configurada, lo que genera “storm” de tráfico no etiquetado o etiquetado incorrectamente. ...

Problema Los usuarios que ejecutan servicios auto‑alojados (Immich, Nextcloud, Jellyfin, etc.) detrás de un CGNAT suelen recurrir a Cloudflare Tunnel para exponer sus aplicaciones sin una IP pública. La solución funciona bien para tráfico web típico, pero Cloudflare impone un límite de 100 MB al cuerpo de la petición cuando el túnel actúa como proxy. Subidas de vídeos, backups de fotos o cualquier archivo grande se interrumpen con errores de “request entity too large”. El síntoma es idéntico sin importar la aplicación: la carga falla justo después de alcanzar los 100 MB y el cliente muestra un mensaje de error de Cloudflare. ...

Problema En muchos homelabs la tentación de añadir varios dispositivos (NAS, servidores, Raspberry Pi, APs) lleva a una red plana donde todos los equipos comparten el mismo broadcast. Esa arquitectura simplifica la configuración inicial, pero rápidamente se vuelve un riesgo: dispositivos IoT pueden comprometerse y, sin aislamiento, pueden atacar máquinas de gestión o servidores críticos. El patrón recurrente es la necesidad de segmentar la red en zonas lógicas (trusted, internal, iot, guest, servers) y, al mismo tiempo, ofrecer a los usuarios finales una forma sencilla de acceder a servicios internos mediante nombres de dominio amigables y certificados válidos. Cuando la segmentación se combina con un proxy inverso como Nginx Proxy Manager (NPM) y una autoridad de certificación externa (Let’s Encrypt vía DNS‑01), la complejidad de la configuración aumenta y los errores de enrutamiento, firewall o resolución DNS son comunes. ...