Configuració segura de routers: guia completa i pràctica

Informatec Digital » Recursos » Configuració segura de routers: guia completa i pràctica

Si mai has pensat que el teu WiFi de casa està “bé perquè funciona” però mai t'has parat a mirar la configuració del router, tens un risc de seguretat just al centre del saló . El router és la porta d'entrada a Internet de tots els dispositius: ordinadors, mòbils, Smart TV, càmeres IP, altaveus intel·ligents… si aquesta porta està mal tancada, qualsevol es pot colar.

Més enllà que un veí es connecti “d'estrangis” a la teva xarxa, un router mal configurat pot permetre que interceptin les teves comunicacions, robin dades personals o facin servir la teva connexió per cometre delictes . La bona notícia és que no cal ser administrador de sistemes per deixar-ho molt més segur: amb uns quants ajustaments ben pensats pots blindar força la teva xarxa domèstica o de petita oficina.

Per què és tan important assegurar la configuració del router

El encaminador actua com un porter entre la teva xarxa privada i l'exterior: decideix què entra, què surt i qui es connecta . Igual que no deixaries la porta de casa oberta, tampoc no té sentit deixar el router amb tot “de fàbrica” i sense revisar. Gairebé tots els equips vénen amb paràmetres genèrics pensats perquè es connectin ràpid, no perquè siguin tan segurs com sigui possible.

No només parlem de la xarxa WiFi. També hi entren en joc la configuració del tallafocs, el xifrat sense fil, el sistema d'assignació d'IP (DHCP), la traducció d'adreces (NAT) , els ports oberts i un llarg etcètera. Cada ajustament mal posat és una escletxa més per on un atacant pot tafanejar o colar-se.

A més, els encaminadors són aparells que es queden encesos gairebé 24/7, moltes vegades durant anys, sense que ningú els toqui. Això significa que, si no els actualitzes, acumulen vulnerabilitats conegudes que els ciberdelinqüents saben explotar . Igual que actualitzes el mòbil o el PC, l'encaminador també necessita el seu manteniment.

Per si no n'hi hagués prou, un router compromès no només afecta el rendiment. Pot ser usat com a part d'una botnet, realitzar atacs DDoS , manipular el DNS per enviar-te a webs falsos de bancs o xarxes socials , o permetre atacs de tipus man in the middle sobre les comunicacions.

En resum: protegir el router és protegir la teva xarxa, els teus dispositius i, moltes vegades, la teva pròpia identitat digital i la teva butxaca . Val la pena dedicar-hi una estona.

Riscos d'un router mal configurat

Quan la configuració del router es deixa com ve de fàbrica o es toca “al boig”, els problemes van molt més enllà d'una connexió lenta. Els principals ciber riscos es poden agrupar en diverses categories que cal tenir molt presents.

Un dels efectes més immediats és laccés no autoritzat a la xarxa. Un intrús que aconsegueix connectar-se al teu WiFi pot consumir la teva amplada de banda, saturar la xarxa i provocar talls o una gran caiguda de velocitat . Això, encara que molest, és gairebé el més petit dels problemes.

Molt més delicat és el robatori de la informació que circula per la xarxa. Un router mal assegurat pot facilitar que algú intercepti trànsit, faci sniffing o supervisi quines pàgines visites, quins serveis uses i fins i tot robi credencials i dades sensibles , sobretot si accedeixes a llocs sense xifrat suficient o uses protocols insegurs.

Si l'atacant aconsegueix comprometre de veritat el router, pot prendre control de la pròpia xarxa local, arribant a accedir a fitxers compartits, càmeres, micròfons o sistemes d'emmagatzematge connectats . Des d'aquí és possible espiar, geolocalitzar dispositius, extreure fotos o documents, o fins i tot bloquejar-los amb codi maliciós (malware).

Un altre escenari preocupant és el famós segrest de DNS. Un atacant modifica els servidors DNS configurats al router perquè, quan tecleges la URL de la teva banca en línia o d'una xarxa social, en lloc del lloc legítim acabis en una còpia falsa dissenyada per robar-te usuari i contrasenya . Als teus ulls “tot sembla normal”, però en realitat estàs parlant amb el ciberdelinqüent.

Cal no oblidar el risc legal: si algú utilitza la teva connexió per enviar spam massiu, llançar atacs de denegació de servei (DoS/DDoS) o descarregar contingut il·lícit, l'adreça IP que quedarà registrada és la del teu router . Demostrar que no vas ser tu pot ser un autèntic maldecap.

Finalment, moltes campanyes de codi maliciós busquen routers vulnerables per convertir-los en bots. Un cop infectat, el teu equip pot triturar el teu rendiment mentre participa en atacs coordinats i tot això sense que notis gens clar més enllà d'una connexió erràtica.

Abans de tocar res: accés i còpia de seguretat de la configuració

Abans de llançar-te a canviar ajustaments cal fer les coses amb un mínim d'ordre. El primer és accedir al panell del router de forma segura i, si és possible, guardar una còpia de la configuració actual per si cal fer marxa enrere.

L'ideal, si ets a prop físicament del router, és connectar l'ordinador per cable Ethernet. Una connexió cablejada evita interferències i redueix el risc que et connectis, per error, a una WiFi pública o aliena mentre toques ajustaments sensibles. Si no et queda cap altra que utilitzar WiFi, assegura't que ets a la teva pròpia xarxa.

En la majoria de casos, l' accés al router es fa teclejant al navegador una adreça tipus 192.168.1.1 o 192.168.0.1 . Aquesta informació sol venir en un adhesiu a la part inferior o posterior de laparell, juntament amb lusuari i contrasenya dadministració per defecte.

Si no tens l'adhesiu o el manual, pots buscar a Internet el model exacte del teu router (sovint subministrat per la teva operadora: Movistar, Orange, Vodafone, Jazztel, etc.) i consultar la guia oficial . En molts models antics les credencials predefinides són combinacions com admin/admin, admin/1234 o similars, cosa que òbviament cal canviar com més aviat millor.

Un cop dins del panell de gestió, localitza l'opció d' exportar o desar la configuració actual . No tots els routers ho permeten, però si el teu té l'opció, fes-la servir. Així pots restaurar l'estat previ si alguna prova surt malament o canvies alguna cosa que et deixa sense connexió.

Actualitzar el microprogramari: primer pas per tancar forats

Els fabricants i les pròpies operadores van publicant noves versions del microprogramari per afegir funcions, millorar el rendiment i tancar errors que podrien ser explotats per atacants . Si portes anys amb el mateix router i mai ho has actualitzat, és força probable que estiguis exposat a bugs ja documentats.

Depenent del model, el procés dactualització pot ser automàtic o manual. Molts routers moderns tenen una opció del tipus "cercar actualitzacions" dins del menú d'administració, o fins i tot una app mòbil des de la qual comprovar i llançar el update . En altres, hauràs de descarregar el fitxer des de la web oficial i pujar-lo a mà des del panell.

En routers doperadora, sovint les actualitzacions sempenyen de forma remota, normalment de matinada, el que es nota perquè lequip es reinicia només de tant en tant . Tot i així, convé entrar al panell i comprovar quina versió de firmware tens instal·lada i si coincideix amb l'última que apareix documentada per al teu model.

Mentre fas aquest procés, assegura't que els teus dispositius (PC, mòbil, tablet) també estan al dia, ja que molts problemes de compatibilitat o seguretat WiFi es redueixen simplement mantenint actualitzat tant el router com els equips que s'hi connecten.

Seguretat WiFi: nom de la xarxa, xifrat i contrasenya

El següent gran bloc és la seguretat de la xarxa sense fils. Aquí entren tres elements clau: el nom de la xarxa (SSID), el mètode de xifratge i la contrasenya WiFi . Junts determinen com de fàcil o difícil serà per a un tercer intentar colar-se.

Començant pel nom de la xarxa, evitar els SSID per defecte és una bona idea. Molts encaminadors vénen amb identificadors tipus MOVISTAR_XXXX, JAZZTEL_1234, Livebox-ABCD, etc. Això dóna pistes sobre el model i l'operadora, cosa que facilita a l'atacant buscar les credencials genèriques o explotar errors específics . Canvieu l'SSID per una cosa que no us identifiqui ni reveli la marca de l'ordinador ni la vostra ubicació.

Quant al xifratge, el recomanable avui dia és fer servir WPA3-Personal sempre que el teu router i els teus dispositius ho suportin . És l'estàndard més modern i robust. Si no apareix aquesta opció, configureu almenys WPA2-Personal (AES). Evita costi el que costi WEP, WPA antic o modes mixtos tipus WPA/WPA2 amb TKIP, ja que són insegurs i, en alguns casos, fins i tot redueixen el rendiment.

La contrasenya del WiFi ha de ser forta i única. Res de fer servir el teu nom, el del teu gos o “Madrid2024”. L'ideal és crear una clau llarga que barregi majúscules, minúscules, números i símbols , sense relació directa amb el teu nom de xarxa ni amb dades personals. Un gestor de contrasenyes us pot facilitar molt aquesta tasca.

Si el teu proveïdor et va entregar el router amb una clau aleatòria impresa a l'adhesiu, pot ser acceptable com a punt de partida, però tot i així és recomanable canviar-la per una que controlis tu i que no sigui fàcilment deduïble a partir del propi SSID . I si en algun moment oblides la password, sempre podràs resetejar el router a l'estat de fàbrica, sabent que després toca reconfigurar-ho tot.

Pel que fa a amagar el SSID, convé tenir alguna cosa clara: no aporta pràcticament seguretat real . Les xarxes “ocultes” segueixen emetent i es poden descobrir amb eines bàsiques d'anàlisi WiFi, ia sobre obliguen els teus dispositius a anar “cridant” el seu nom, cosa que pot empitjorar la teva privadesa. És millor deixar visible i centrar-se en un bon xifrat i una contrasenya robusta.

Ajustaments de seguretat recomanats pels fabricants i Apple

Alguns fabricants, i en particular Apple per al seu ecosistema, publiquen guies força clares sobre quins paràmetres convé fer servir per evitar avisos de “xarxa insegura” o “seguretat feble”. Aplicar aquests criteris sol millorar tant la seguretat com l'estabilitat de la connexió.

Pel que fa a la seguretat sense fil, les recomanacions passen per fer servir WPA3-Personal quan sigui possible, o bé una manera WPA2/WPA3 Transicional si tens barreja d'equips moderns i antics. Si cap dels dos no està disponible, l'opció mínima acceptable és WPA2-Personal amb xifratge AES.

Es desaconsella completament utilitzar protocols vells com WPA sol, WEP (ni tan sols en variants “dinàmiques” amb 802.1X) o qualsevol configuració que inclogui TKIP al nom del xifratge . Aquestes opcions no només són vulnerables, també poden provocar problemes de rendiment i alertes constants en dispositius més nous.

També es recomana que totes les bandes d'un mateix encaminador (2,4 GHz, 5 GHz i, si s'aplica, 6 GHz) comparteixin el mateix SSID quan es tracta d'una xarxa domèstica típica. Posar noms diferents a cada banda pot provocar que els equips no es connectin correctament o saltin de l'una a l'altra sense criteri , cosa especialment problemàtica amb dispositius mòbils.

Un altre punt que genera avisos a iPhone, iPad o Mac és el bloqueig de DNS xifrat . Si el vostre router o el vostre proveïdor no permeten DNS sobre HTTPS o DNS sobre TLS, alguns sistemes mostraran advertiments. En aquests casos, actualitzar firmware, revisar la configuració de seguretat recomanada i, si cal, parlar amb el vostre proveïdor d'Internet o canviar a un DNS públic més modern sol ser la sortida.

Pel que fa als serveis del sistema, Apple insisteix que la localització estigui activada per a xarxes sense fil als seus dispositius, ja que les normatives de cada país limiten canals i potència d'emissió. Si desactiveu completament els serveis de localització relacionats amb WiFi, podeu tenir problemes per veure xarxes properes , utilitzar AirDrop, AirPlay o connectar a punts d'accés de forma estable.

Administració del router: contrasenya d'administrador, accés remot i WPS

Una de les configuracions més crítiques, i que molta gent oblida, és la contrasenya dadministració del router. Aquesta clau no és la del WiFi, sinó la que s'utilitza per entrar al tauler de control. Deixar - la amb els valors per defecte és pràcticament convidar que qualsevol la provi.

Normalment, en accedir per primera vegada veus usuaris tipus admin, 1234 o fins i tot en blanc. El primer que has de fer, un cop dins, és anar a la secció d'Administració, Seguretat o Configuració avançada i canviar la contrasenya d'administrador per una altra de forta i única . Si el router ho permet, canvia també l'usuari, no deixeu el típic “admin”.

Molt relacionat amb això hi ha l' accés remot a la consola. Alguns models permeten gestionar l'encaminador des de fora de la xarxa local, a través d'Internet. És còmode si administres moltes instal·lacions o necessites entrar des de la feina, però per a una llar és, en general, un risc innecessari.

Si no teniu una necessitat molt concreta, desactiva l'administració remota. En molts routers, si vols bloquejar-la del tot, pots indicar com a IP de gestió 0.0.0.0 o 255.255.255.255, o simplement desmarcar la casella d'“administració remota” al menú de seguretat. Com menys portes exposis a Internet, millor.

Un altre punt delicat és el Wi-Fi Protected Setup (WPS) . Aquesta funció es va inventar per facilitar la connexió de nous dispositius, bé prement un botó físic, bé introduint un PIN de 8 dígits. El problema és que aquest PIN es pot atacar per força bruta i reduir dràsticament la seguretat del xifratge WPA2.

Sempre que tinguis opció, entra al menú WPS del teu router i desactiva-ho. És cert que connectar un nou equip us portarà una mica més (haureu de teclejar la contrasenya), però el risc que suposa un WPS actiu no compensa la suposada comoditat . Si necessites connectar repetidors o PLC, ho fas una vegada i llest.

Firewall, NAT, ports i UPnP: controlar què entra i surt

Darrere de la part “amigable” del router hi ha un conjunt de funcions de xarxa que determinen com es parla amb Internet. Les més importants aquí són el tallafoc (firewall), la traducció d'adreces de xarxa (NAT), la gestió de ports i serveis com UPnP.

Gairebé tots els routers actuals inclouen un tallafocs integrat capaç de filtrar trànsit entrant i sortint en funció de regles de seguretat . És recomanable tenir-lo activat, i només obrir ports concrets si realment ho necessites per a jocs en línia, servidors casolans, càmeres IP o altres serveis específics.

La NAT és la funció que tradueix adreces IP privades de la vostra xarxa interna a la IP pública que us assigna el proveïdor. El més normal és que només el router faci aquesta traducció. Si teniu NAT activa en més d'un dispositiu (per exemple, en un mòdem i després en un router addicional) , podeu trobar-vos amb el famós problema de “doble NAT” — per evitar-ho consulta com connectar dos routers correctament.

Quan parlem d'obrir o tancar ports, es tracta d'indicar quins tipus de connexions entrants permeten des d'Internet cap a la teva xarxa. El router disposa de 65.536 ports teòrics; per defecte, la majoria estan tancats. Només hauríeu d'obrir els ports estrictament necessaris i tancar-los quan ja no es facin servir , perquè un port obert sense ús és una invitació a ser explorat per atacants. Si no estàs segur, segueix una guia per obrir ports al router de forma segura.

UPnP (Universal Plug and Play) és una altra comoditat perillosa. Permet que aplicacions i dispositius a la teva xarxa local obrin i tanquin ports automàticament al router, sense que tu hagis de configurar res. Sona bé, però si un codi maliciós s'instal·la al teu PC o consola, pot utilitzar UPnP per obrir-se buit cap a Internet sense que t'assabentis . Molta gent prefereix desactivar UPnP i gestionar manualment els ports que necessiten.

Alguns routers també ofereixen host DMZ: bàsicament, indicar una IP interna que queda més exposada (menys filtrada) cap a l'exterior. És una funció que només té sentit en escenaris molt concrets i controlats. En un entorn domèstic estàndard és molt més segur no utilitzar DMZ en absolut.

DHCP, DNS i altres ajustaments de xarxa a vigilar

Més enllà de la part sense fil, hi ha ajustaments de xarxa que convé revisar per evitar conflictes i per reduir la superfície d'atac. Els principals són el servidor DHCP, la configuració DNS i alguns paràmetres com els modes de ràdio o l'amplada de canal.

El servidor DHCP de l'encaminador és l'encarregat d'assignar adreces IP internes a cada dispositiu que s'hi connecta. El normal és que només hi hagi un servidor DHCP a la xarxa. Si per error actives DHCP també en un altre dispositiu (per exemple, un segon router en mode erroni) , pots tenir conflictes d'IP que es tradueixen en equips que no poden navegar o recursos que deixen de veure's.

El temps de concessió DHCP (lease time) indica quant de temps queda reservada una IP per a un aparell concret. Si tens moltíssims dispositius connectant-se i desconnectant-se, pot venir bé reduir una mica aquest temps perquè les adreces es reciclin més ràpid . En una casa normal, amb valors per defecte sol ser suficient.

Pel que fa a DNS, en general el router utilitza els servidors del teu proveïdor d'Internet i els distribueix als clients. Pots canviar els DNS al router si vols utilitzar DNS públics més ràpids o que suportin millor el xifratge de consultes. Però compte: si configures un DNS que no suporti DNS xifrat i els teus dispositius esperen aquesta funció, poden aparèixer advertiments de privadesa.

Pel que fa als modes de ràdio WiFi (802.11n, ac, ax, etc.) i les bandes (2,4 GHz, 5 GHz, 6 GHz), sol ser bona idea mantenir tots els modes compatibles habilitats , de manera que cada dispositiu usi el més modern que admeti. Això sí, a la banda de 2,4 GHz és recomanable fixar l'amplada de canal en 20 MHz per reduir interferències amb Bluetooth i altres xarxes veïnes.

En bandes de 5 GHz i 6 GHz, pots permetre amples més grans i selecció automàtica de canal, per aprofitar millor la capacitat de dades. Si el teu router no gestiona bé l'elecció automàtica, pots provar manualment diferents canals i quedar-te amb el que doni menys interferències i més estabilitat , sobretot si vius en un edifici ple de xarxes properes.

Filtratge MAC, aïllament de clients i llistes blanques/negres

Molts encaminadors inclouen funcions addicionals de control d'accés, com el filtratge per direcció MAC, l'aïllament de clients WiFi o les anomenades llistes blanques i negres. Encara que tenen la seva utilitat, convé entendre els seus límits per no confiar-se en excés.

L'adreça MAC és un identificador únic de la targeta de xarxa de cada dispositiu. El filtratge MAC permet dir “aquests aparells sí que es connecten, aquests no”. Sobre el paper sona a control total, però la realitat és que qualsevol atacant mitjanament hàbil pot falsificar (spoofejar) una MAC autoritzada , de manera que aquest mecanisme no s'ha d'usar com a única barrera de seguretat.

Les llistes blanques (permetre només determinats dispositius) i llistes negres (bloquejar alguns concrets) poden servir com a capa addicional per expulsar aparells indesitjats que hagis detectat a la xarxa , o per limitar qui es connecta en entorns on tu controles tot el maquinari. Però sempre amb un bon xifrat i contrasenyes robustes.

L'aïllament de clients WiFi (de vegades anomenat “AP isolation” o “Client isolation”) impedeix que els dispositius connectats a la mateixa xarxa sense fils es vegin entre si. Això és especialment interessant en xarxes de convidats o zones públiques , on no vols que el portàtil dun client pugui escanejar el mòbil dun altre.

Activar aquest aïllament a la xarxa de convidats de casa teva redueix el risc que una visita amb un portàtil infectat pugui atacar els teus altres dispositius. Això sí, a la xarxa principal potser no us interessi si depeneu de compartir fitxers, utilitzar impressores de xarxa o reproduir contingut en televisors intel·ligents.

En definitiva, aquestes funcions són eines útils dins d'una estratègia global: no substitueixen el xifratge modern ni les bones contrasenyes , però ajuden a afinar qui es connecta i com poden interactuar uns equips amb els altres.

Xarxa de convidats, control d'accés i ús responsable

Una de les millors pràctiques per mantenir la teva xarxa neta i ordenada és separar el trànsit dels teus dispositius principals del de visites, aparells menys fiables o atuells de domòtica. Per això hi ha les xarxes WiFi de convidats , que gairebé tots els routers moderns permeten crear.

La idea és senzilla: al menú del router habilites una segona xarxa sense fil, amb el seu propi nom i contrasenya, i especifiques si tindrà accés a altres equips de la teva xarxa interna o només a Internet. El més prudent és que els convidats només puguin sortir a la Xarxa i no veure els teus ordinadors, NAS o impressores.

Aquesta xarxa de convidats és perfecta per quan ve gent a casa, per a nens o adolescents que no controlen gaire el que descarreguen, i per a dispositius “barats” d'IoT que no t'inspiren gaire confiança, com bombetes intel·ligents, endolls WiFi o càmeres de marques poc conegudes . Si algun es veu compromès, el dany potencial queda força fitat.

Alguns routers permeten a més limitar l'amplada de banda o filtrar certs continguts a la xarxa de convidats. Així pots evitar que algú acapari tota la connexió descarregant boig o bloquejar webs poc apropiades per a menors. Configurar aquestes restriccions sol estar dins de les opcions de control parental o QoS.

Un altre bon costum és canviar la contrasenya del WiFi (o de la xarxa de convidats) de tant en tant , especialment si l'has compartit amb molta gent. No cal obsessionar-se, però un canvi periòdic redueix el risc que una clau antiga acabi filtrada o anotada en algun lloc poc segur.

Finalment, recorda que el router no és indestructible ni infal·lible. Si no l'usareu durant dies (viatges llargs, vacances, etc.), apagar-lo elimina de cop la superfície d'atac , a més d'estalviar una mica d'energia. És la “mesura de seguretat absoluta”: el que està apagat no es pot piratejar.

Supervisió, manteniment i hàbits de ciberseguretat

Deixar el router ben configurat una vegada és important, però la seguretat no és una cosa estàtica. Amb el temps, apareixen noves vulnerabilitats, afegeixes aparells, canvien els teus hàbits… per això va bé revisar periòdicament certs aspectes i adoptar bons hàbits d'ús.

Cada cert temps (per exemple, una vegada al mes) entra al panell del router i revisa la llista de dispositius connectats, tant per cable com per WiFi. Si veus noms o adreces MAC que no reconeixes, pot ser que tinguis intrusos a la xarxa . En aquest cas, canvia immediatament la contrasenya WiFi, avalua activar filtrat MAC i revisa altres ajustaments de seguretat.

Hi ha aplicacions i eines d'escaneig de xarxa que us poden ajudar a crear un inventari dels vostres dispositius, detectar ports oberts i alertar de possibles vulnerabilitats . Molts routers moderns fins i tot integren funcions d'“anàlisi de seguretat” que revisen la seva pròpia configuració i la dels equips connectats.

No oblideu que, encara que el router estigui blindat, un dispositiu desactualitzat o infectat és una porta d'entrada igual de perillosa. Mantingues tots els teus sistemes operatius, navegadors i aplicacions al dia , i utilitza solucions de seguretat fiables en ordinadors i mòbils.

Si et preocupa especialment la privadesa quan navegues, plantejar-te una VPN instal·lada directament al router pot ser interessant. D'aquesta manera, tot el trànsit que surt de la vostra xarxa passa per un túnel xifrat cap al proveïdor de VPN . Això sí, cal configurar-ho bé i tenir en compte que pot afectar el rendiment.

En definitiva, la clau és combinar una bona configuració inicial amb un mínim de vigilància i actualitzacions. No cal ser un expert per mantenir un nivell de seguretat molt digne si dediques una estona a entendre els conceptes bàsics i no deixes el router abandonat durant anys.

Dedicar una mica de temps a revisar el firmware, ajustar el xifratge WiFi, canviar contrasenyes per defecte, desactivar accessos innecessaris com WPS o administració remota i aprofitar funcions com les xarxes de convidats o el tallafoc integrat converteix un router “del munt” en un guardià molt més fiable de la teva connexió, els teus dispositius i la teva informació.