UPnP (Universal Plug and Play) es un servicio que permite a los dispositivos de una misma red local descubrirse mutuamente y conectarse automáticamente a través de protocolos de red estándar (como TCP/IP HTTP y DHCP). Esto puede servir para conectar algunos dispositivos UPnP como impresoras, videoconsolas, dispositivos WiFi, cámaras IP, routers, dispositivos móviles, Smart TV, etc.

UPnP también puede modificar la configuración del router para abrir puertos en un cortafuegos y facilitar la conexión de dispositivos fuera de una red. Este servicio reduce la complejidad de los dispositivos de red al reenviar automáticamente los puertos del router a nuevos dispositivos, eliminando la molestia del reenvío (port forwarding) manual.

El inconveniente es que esto puede conllevar importantes riesgos de seguridad.

¿UPnP es inseguro?

El servicio UPnP se vuelve peligroso si establece conexiones con dispositivos infectados con malware. Pero cuando UPnP permite que se conecten dispositivos seguros, la red establecida es segura. Así que la tecnología en sí es segura. Sólo se vuelve peligrosa cuando intervienen dispositivos infectados.

UPnP ofrece configuración cero, lo que significa que no se requiere autenticación humana para establecer una conexión. Los puertos se reenvían automáticamente para establecer una conexión cuando se recibe una solicitud UPnP. Con un mecanismo de red tan autónomo, resulta evidente lo fácil que es que el establecimiento de conexiones infectadas se descontrole.

El UPnP con dispositivos infectados con malware puede ocasionar:

• Conectar puertos internos a la cara externa del router para crear puertas de enlace (“hacer agujeros”) a través de cortafuegos.
• Reenvío de puertos a los detalles de administración web del router
• Reenvío de puertos a cualquier servidor externo situado en su superficie o en la web oscura.
• Cambiar la configuración del servidor DNS para que se cargue un sitio web señuelo de robo de credenciales en lugar de sitios web bancarios legítimos.
• Modificación de las credenciales administrativas
• Modificación de la configuración PPP
• Modificación de la configuración IP para todas las interfaces
• Modificación de la configuración WiFi
• Modificación o finalización de conexiones internas

Aunque el protocolo UPnP es seguro, puede facilitar conexiones inseguras. Un protocolo UPnP podría permitir que dispositivos con vulnerabilidades críticas se conectaran a tu red.

Por ejemplo, debido a eso el Departamento de Seguridad Nacional de Estados Unidos instó a todas las empresas a desactivar su UPnP tras un ciberataque en 2013 que afectó a decenas de millones de dispositivos. Aunque esto fue hace más de 10 años, todavía hoy se detectan ciberataques relacionados con UPnP.

Para evitar que se produzcan estas conexiones infecciosas, todo lo que esté asociado a una conexión UPnP debe mantenerse actualizado con los últimos parches. Esto incluye routers, cortafuegos, software antivirus y todos los dispositivos IoT (Internet de las Cosas) que vayan a conectarse. Y como ya sabrás, esto es imposible muchas veces ya que los fabricantes dejan de sacar actualizaciones a los pocos años de lanzar un producto.

En general, las políticas de seguridad de los routers son bastante buenas a la hora de bloquear conexiones externas hostiles, y un cortafuegos actualizado aumenta esta resistencia. Pero UPnP es capaz de saltarse estas barreras de seguridad permitiendo a dispositivos no autorizados “abrir agujeros” a través de las políticas del cortafuegos para establecer conexiones maliciosas persistentes.

UPnP en Consolas

Si quieres que tu consola tenga un tipo de NAT abierta, la opción más sencilla es dejar que sea ella misma la que abra los puertos que le interesan. Para ello tendrás que asegurarte que tu router tiene activado el protocolo UPnP. Al hacer la prueba de conexión la consola enviará las órdenes necesarias al router indicando de forma precisa los puertos a abrir.

Dejar UPnP activo permanentemente puede ser inseguro si en algún momento se te cuela malware en alguno de los dispositivos de tu red local, puesto que podrá redirigir puertos y alojar puertas remotas a su antojo sin que te percates, así que lo mejor es que una vez abiertos los puertos desactives UPnP. Si te quieres asegurar de que no se borran puedes comprobar qué puertos se han abierto automáticamente y convertirlos configuración manual.

Tipo de NAT en PlayStation

En Ajustes → Red > Probar conexión a Internet veremos qué valor tiene el Tipo de NAT. La documentación1 de PS4 define 3 tipos, de los que debes tratar de conseguir el Tipo 2.

Tipo 1: La consola está conectada directamente a internet sin pasar por un router, tiene asignada directamente la IP pública, de forma que si abre puertos estos son alcanzables desde internet. Esta situación es muy poco habitual, además de poco práctica como te habrás percatado. Al no haber router la consola monopoliza la conexión a internet y no podrás conectar más equipos. Un ejemplo de cómo conseguir este tipo de NAT sería poniendo el router de Movistar en monopuesto y conectando la consola directamente.

• Tipo 2: La consola está conectada al router y éste tiene debidamente configurada la redirección de puertos hacía la IP local de la consola. Éste es el tipo de NAT más habitual para PlayStation y con el que jugarás sin problemas.
• Tipo 3: El reenvío de puertos en el router no está correctamente configurado, por lo que no recibe tráfico originado desde el exterior.

Qué puertos abrir en PS4 y PS5 para tener tipo de NAT 2

Estos son los puertos que la documentación 1 de Sony indica que debes configurar en tu router para obtener un NAT de Tipo 2 y usar sin problemas PlayStation Network en PS4 y PS5.

Verás en la tabla que he marcado los puertos 80 y 443 con una advertencia, dado el riesgo que implica su apertura. Manuales realizados por la comunidad confirman que no es necesario abrirlos.

Tipo de NAT en Xbox

En Xbox → Perfil y sistema → Configuración → General → Configuración de red → Estado actual de la red verás el Tipo de NAT. La documentación 2 de Xbox lista 4 tipos de NAT de los que debes conseguir el de tipo Abierto:

• Abierto: Sobran explicaciones. Los puertos que abre la consola son accesibles desde el exterior, por lo que puedes jugar y ser anfitrión de partidas a las que pueden unirse usuarios con cualquier tipo de NAT.
• Moderado: A tus partidas no podrán unirse jugadores con tipo de NAT Estricto y normalmente no serás elegido como el anfitrión de la partida.
• Estricto: Sólo podrás comunicarte como participante con jugadores que tengan el Tipo de NAT Abierto.
• No disponible: No puedes jugar a partidas multijugador ni usar el chat de grupo.

Qué puertos abrir para tener tipo de NAT Abierto en Xbox Series S y X

Para conseguir el tipo Abierto y usar Xbox Live sin problemas en Series S y X, la documentación 3 de Microsoft pide abrir la siguiente lista de puertos:

Los manuales elaborados por la comunidad indican que en la mayoría de los casos solo es necesario abrir el puerto 3074, mientras que abrir el 53, 80, 88 y 500 no es recomendable por implicar riesgos.

Tipo de NAT en Switch

Fuentes:

https://www.wikiversus.com/informatica/routers/que-es-upnp/

https://bandaancha.eu/articulos/guia-conseguir-mejor-tipo-nat-10445